0x01 SQL注入漏洞背后的故事

在软件开发过程中，数据库访问是一个非常重要的环节。然而，许多开发人员因时间紧迫或对安全性认识不足，常常忽视了对SQL查询的参数化处理，导致SQL注入漏洞的产生。SQL注入是一种通过向应用程序的输入域插入恶意SQL代码来操控数据库的攻击技术。其核心问题在于应用程序将用户输入直接嵌入到SQL查询中，没有经过验证和过滤。当攻击者能够控制SQL查询结构时，他们就可以访问、修改甚至删除数据库中的信息。

经典案例：一个简单的登录框

在经典的登录框场景中，用户输入用户名和密码进行身份验证。如果应用程序直接将输入作为SQL查询的一部分而没有适当的处理，比如在拼接SQL查询时不使用预编译语句或参数化查询，攻击者可以输入以下内容进行攻击：

这个输入将验证条件变为始终为真的表达式，即使密码不正确，攻击者也能登录系统。

0x02 实战环境搭建

为了深入理解SQL注入的攻击技术，我们需要搭建一个安全实验环境。这不仅有助于测试各种攻击Payload，还能模拟真实的攻击场景。

环境准备

我们选择使用Docker来搭建实验环境，因为它简单易用且能够提供隔离的测试环境。我们的实验环境需要一个包含SQL注入漏洞的Web应用和一个数据库。

安装Docker：下载并安装Docker Desktop，确保系统能运行Docker容器。
拉取漏洞应用镜像：这里推荐使用DVWA（Damn Vulnerable Web Application），它专为安全测试设计。

<pre><code class="language-shell">docker pull vulnerables/web-dvwa</code></pre>

启动DVWA应用：

<pre><code class="language-shell">docker run -d -p 8080:80 vulnerables/web-dvwa</code></pre>

访问http://localhost:8080，即可进入DVWA应用界面。

数据库配置：DVWA需要连接数据库，请确保MySQL服务正常运行，并修改相应配置。

配置环境

在DVWA中，选择SQL Injection模块进行测试。首先，确保DVWA的安全等级调至“低”，以便我们能顺利进行注入测试。

0x03 Payload构造的艺术

构造一个有效的Payload是SQL注入攻击的关键。为了尽可能扩展攻击的范围，我们可以使用不同的技巧和策略，比如联合查询、基于时间的盲注、基于错误的盲注等。

基本SQL注入攻击

对于一个简单的用户认证表，我们可以尝试以下Payload：

黑客示意图

这个Payload将原本的用户验证逻辑绕过，使任何输入都能成功通过验证。

联合查询注入

联合查询适用于当我们希望从数据库中提取更多信息时。假设应用将执行以下查询：

<pre><code class="language-sql">SELECT id, name FROM users WHERE username = 'admin'</code></pre>

我们可以构造一个联合查询Payload，以获取表中的所有信息：

<pre><code class="language-sql">' UNION SELECT null, table_name FROM information_schema.tables --</code></pre>

基于时间的盲注

在某些情况下，错误信息或输出被屏蔽，我们可以使用基于时间的盲注来确认查询是否成功。通过引入延时函数，例如SLEEP，我们可以观察响应时间来推断数据库的行为：

<pre><code class="language-sql">' OR IF(1=1, SLEEP(5), 0) --</code></pre>

这个Payload会让响应延迟5秒，以此判断条件是否为真。

0x04 绕过与免杀技巧

攻击者通常需要绕过安全防护措施，如WAF（Web应用防火墙）。以下是一些常用的绕过技巧：

混淆Payload

通过对Payload进行变形或使用非标准编码，攻击者可以绕过简单的过滤规则：

<pre><code class="language-sql">SELECT FROM users WHERE username = 'admin' /*/ AND password = 'password'</code></pre>

使用变种注入

不同数据库的SQL语法存在差异，攻击者可以利用这些变种来尝试绕过过滤：

<pre><code class="language-sql">' OR 1=1; -- (MySQL) ' OR 'a'='a'; -- (Oracle)</code></pre>

内存加载与动态执行

黑客示意图

攻击者可以将复杂的Payload分段执行，这样可以避免被简单的字符替换规则检测：

<pre><code class="language-sql">import base64 encoded_payload = base64.b64encode(b"' OR '1'='1")</code></pre>

然后在服务器端解码并执行。

0x05 检测与防御策略

虽然SQL注入攻击可能带来严重的安全威胁，但我们可以通过以下方法有效检测并预防攻击：