0x01 深入SQL注入的世界

SQL注入（SQL Injection）是一种广为人知但依然有效的攻击方式。这种技术通过构造特定的SQL语句，攻击者可以从数据库中提取敏感信息，甚至在某些情况下执行高权限操作。SQL注入攻击的成因通常是由于应用程序没有对用户输入进行有效过滤，导致这些输入被直接拼接到SQL查询中。

漏洞成因

从根本上看，SQL注入的产生是因为应用程序将用户输入作为可信数据直接嵌入到SQL查询中。这种信任关系被攻击者利用，通过构造恶意输入，拼接出预期之外的SQL语句，最终实现任意查询和修改数据库的目的。例如，假设有一个简单的用户认证查询：

<pre><code class="language-sql">SELECT * FROM users WHERE username = &#039;user_input&#039; AND password = &#039;user_input&#039;;</code></pre>

如果应用程序直接将用户输入拼接进上述查询中而没有进行正确的过滤和转义，攻击者就可以通过如下输入实现绕过：

  • 用户名：admin' OR '1'='1
  • 密码：' OR '1'='1

拼接后，SQL查询变为：

<pre><code class="language-sql">SELECT * FROM users WHERE username = &#039;admin&#039; OR &#039;1&#039;=&#039;1&#039; AND password = &#039;&#039; OR &#039;1&#039;=&#039;1&#039;;</code></pre>

这实际上忽略了密码验证，任何人都可以以管理员身份登录。

0x02 在本地搭建实验室

对于任何安全研究，构建一个独立的实验环境都是至关重要的。这个环境不仅可以帮助模拟真实攻击情境，还能保证你的测试不会影响到生产系统。

环境准备

  1. 数据库与应用：为了模拟常见的Web应用架构，建议选择LAMP（Linux, Apache, MySQL, PHP）或类似的组合。在Linux服务器上安装MySQL数据库，以及包含漏洞的Web应用程序。
  1. 数据集与表结构：在MySQL中创建一个简单的用户表，用来模拟受攻击的目标。

<pre><code class="language-sql">CREATE DATABASE test_db; USE test_db; CREATE TABLE users ( id INT AUTO_INCREMENT PRIMARY KEY, username VARCHAR(255) NOT NULL, password VARCHAR(255) NOT NULL );

INSERT INTO users (username, password) VALUES (&#039;admin&#039;, &#039;admin123&#039;), (&#039;user&#039;, &#039;user123&#039;);</code></pre>

  1. 应用逻辑：编写一个简单的PHP页面，模拟用户登录功能。

<pre><code class="language-php">&lt;?php $conn = new mysqli(&#039;localhost&#039;, &#039;root&#039;, &#039;&#039;, &#039;test_db&#039;); $username = $_POST[&#039;username&#039;]; $password = $_POST[&#039;password&#039;]; $sql = &quot;SELECT * FROM users WHERE username = &#039;$username&#039; AND password = &#039;$password&#039;&quot;; $result = $conn-&gt;query($sql);

if ($result-&gt;num_rows &gt; 0) { echo &quot;Login successful.&quot;; } else { echo &quot;Invalid credentials.&quot;; } ?&gt;</code></pre>

0x03 Payload构造的艺术

在攻击中，Payload的构造是核心部分。如何精巧地构造SQL语句，以在不被检测的情况下实现最大化的效果，是攻击者与防御者之间永恒的博弈。

基本Payload

如前述示例，简单的利用可以通过插入True条件短路掉密码验证：

<pre><code class="language-sql">&#039; OR &#039;1&#039;=&#039;1</code></pre>

盲注与时间注入

有时应用程序不会直接返回错误信息，这种情况下，盲注和时间注入是两种常用的技术。

黑客示意图

  • 盲注：通过观察应用程序反应的变化间接判断SQL是否执行成功。
  • 时间注入：利用SQL的延时函数，观察响应时间的差异来推断SQL执行过程中的逻辑。

<pre><code class="language-sql">&#039; OR SLEEP(5) AND &#039;1&#039;=&#039;1</code></pre>

在上面的例子中，如果响应时间明显增加，我们可以推测SQL语句执行到了SLEEP函数。

0x04 绕过常见防御机制

随着防御技术的进步，攻击者需要不断更新技术，以应对各种过滤和检测机制。

输入过滤绕过

  • 编码转换：使用不同的编码方式（如URL编码、Unicode编码）绕过简单的过滤器。

<pre><code class="language-sql">%27%20OR%20%271%27%3D%271</code></pre>

  • 注释利用：利用SQL注释符号，混淆输入字符串。

<pre><code class="language-sql">admin&#039;-- </code></pre>

WAF绕过

Web应用防火墙（WAF）通常会检测并阻止明显的SQL注入Payload，以下是一些常用的绕过技术：

  • 混淆关键字：用其他字符分割关键词，避免完全匹配。

<pre><code class="language-sql">SELEC/comment/T * FROM users</code></pre>

  • 动态生成：使用函数或者变量来动态生成注入语句。

黑客示意图

0x05 检测与防御的反制策略

攻击者往往在防御者的密切注视下进行操作。了解检测与防御技术的运作原理，可以帮助我们在攻击中规避风险。

常见检测方法

  • 日志分析：对Web服务器和数据库的日志进行分析，识别可疑的输入模式。
  • 行为分析：监控异常的请求行为和响应时间，发现可能的注入攻击。

防御策略

  • 输入验证与参数化查询：使用预编译的参数化查询而非直接拼接SQL字符串。

<pre><code class="language-go">stmt, err := db.Prepare(&quot;SELECT * FROM users WHERE username=? AND password=?&quot;) defer stmt.Close() rows, err := stmt.Query(username, password)</code></pre>

  • 最小化权限：限制数据库用户的权限，仅允许执行必要的操作。

0x06 个人经验与总结

在多年的渗透测试经验中，SQL注入一直是一个常见而有效的攻击手段。通过对不同类型的应用程序进行攻击测试，我逐渐总结出以下经验：

  1. 细节决定成败：无论是攻击还是防御，细节总是最关键的。一个小小的输入过滤疏漏或权限配置不当可能为攻击者打开方便之门。
  1. 不断学习与更新：攻击技术和防御技术都在不断演变，作为安全从业者，保持学习热情，掌握最新技术是必不可少的。
  1. 模拟真实场景：在测试中尽量模拟真实的攻击场景，考虑各种参数变化和网络环境对攻击的影响。
  1. 与时俱进的工具使用：善于利用现有的安全工具可以大大提高攻击效率，但也要警惕工具的局限性和误报。

通过对SQL注入的深入探讨，我们不仅了解了攻击的技术细节，也对如何更好地保护系统有了新的认知。希望本文能为读者提供启发，帮助大家在安全领域不断进步。

黑客示意图