中国网络渗透测试联盟

标题: PHP中SQL注入，绕开过滤，照样注入 [打印本页]
作者: admin    时间: 2013-1-13 09:50
标题: PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守." s/ U$ X, i( s2 x

$ p3 F, g2 w$ I7 l( j& V有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。5 t* [6 g5 V1 ]! x$ Y
  D  X$ w/ C# Y8 f6 h& I3 n& ^  k' {2 t
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。  i4 b: G1 D% ~! b0 v6 \
. P" K# x5 Z$ A+ p$ t/ L- Q0 [) V6 h
我们通常有以下几种技巧，去避开这些过滤。! {( R/ O2 p: x/ \( l8 F: z& `
; H& q; ^: [. M6 t$ D$ j
1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。
" r0 h4 l7 d" N; S3 V2 I* j* H0 g1 {# T+ q5 u7 o' ?) n8 `
A，如果注入一个数字数据字段，就不需要使用单引号。! A  I4 h* D/ k3 Q1 X) e& U
" n% _; o+ ?% K& V/ u% m/ Q$ v  L4 i
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。
) G9 J+ x0 K$ f" n* [5 f9 t1 C) ?% i* x3 \
比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a
* o0 c* P# m7 H$ p. X: D! D+ n3 {$ ]; C1 O3 `6 @- |% |+ w$ z$ }, l
目的其实很简单，就是把后面的单引号给闭合掉。
7 c) C& Z& s2 b! }/ v, `
- N, w, o2 O8 ?8 k- I- z* j2 m* \C，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
0 r1 C4 f% a% {# q  d; a( J$ ?1 t! l1 e: k+ J) P) V4 E4 H* `
只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。  B/ m6 o" E$ _! M) L
' {1 H# [' m7 r$ M3 q4 ~0 n" @
2，避免使用简单确认$ S% S9 E5 Q5 c) k& m1 g* B/ K& y

/ I( F6 q, Y+ [" e# D一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。. P: ~$ ?* h9 P& [1 L: \
& {& a/ s& ]! f# h, G
这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。0 x7 L  K. P( ]; h( ]0 O' e/ V
5 h* _! r( X" K1 c
A，如果select关键词被阻止或删除- G6 X& v7 x: L" F( {. J8 Q

- M1 Z7 U5 z; H8 m  y$ R$ h! M# P6 F我们可以输入：
) E6 a+ A1 [! c% U: g
/ t: K7 M, U4 \SeLeCt       注意大小写
& j; z( X2 j6 Q, w+ l( _9 E) ~1 s8 o$ }" A& s
selselectect    还记得ewebeditor是怎么过滤asp的么？
2 J9 W3 V& I% f' _, |
5 ?' f) K0 p' p0 e%53%45%4c%45%43%54                        URL编码1 B/ I: N' w5 }1 r& t

" n8 M7 Q. a9 Y1 e) e%2553%2545%254c%2545%2543%2554    对上面的每个%后加了一个25! ]" Y) s5 j7 R9 [. \
. Y8 A* m8 j, c8 s& A& ~' H
3，使用SQL注释符
' v6 a  g3 Y3 U, U; w' ]5 W
( b, w. E  y8 ]1 iA,使用注释来冒充注入的数据中的空格。
7 Y& n! S/ C3 s
. S, |* I+ ]& E- q2 Uselect/*yesu*/username,password/*yesu*/from/*yesu*/admin
; |1 h9 U7 Y+ x8 Y- X' l, T- l- p. G5 `8 J; ~+ i3 [4 ]- U
/*yesu*/来冒充空格7 o( v; i: b- g/ n9 G: U

' Z; t+ Q+ P5 A7 w+ G( ]+ H4 S9 ZB,使用注释来避开某些注入的确认过滤。4 t' w! }, M4 i8 `$ ]& D0 r
. P* r- e- I2 x* g* O8 c
SEL/*yesu*/ECT username,password fr/*yesu*/om admin; h3 {9 T( X; b; h4 V
/ |) E& h7 S' N& f! |' H) {4 e1 J( b
4,处理被阻止的字符串
& P. x; V9 v) a8 ]8 }" Y( I, d( P/ \7 \
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。5 h* G/ p# p% N$ F* B5 T
2 r' f! Q8 G7 M1 p! B" T
我们可以这样5 ^3 F; z& I! H) S5 p
; N+ Z8 b; [. m3 C
A，oracle数据库： ‘adm’||’in’
8 v$ l: B- l' F3 r. I4 S
* v6 [- m0 Q/ K" E; H$ J1 tB,MSSQL数据库： ‘adm’+’in’  k3 R2 S1 \' c9 u- n: A$ s/ Z' O

  ?6 @# y- S& ]2 R: pC,MYSQL数据库： concat (‘adm’,’in’)% m) @4 k/ Z/ Z" V( d; _

$ t# t" E, k0 r  t! rD,oracle中如果单引号被阻止了，还可以用chr函数8 d7 V1 ~9 o9 u  M9 j  F

) H# p( J! e9 S+ _, psleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)
8 R8 b' ^. A) B9 y" F) l+ X7 w
5 W  v9 |( t6 R: K还有其他方法。正在收集中.
/ g* r+ `- D$ G8 V1 E. O7 k  e/ F
; {+ g( Z( u! ~1 o& Y5 _: T



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2