中国网络渗透测试联盟
标题:
PHP中SQL注入，绕开过滤，照样注入
[打印本页]
作者:
admin
时间:
2013-1-13 09:50
标题:
PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守.
$ \9 v( ^' ]! M1 f
3 _% |2 f% i, ]' y% y
有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。
# d1 z4 f+ `* d# R* l0 D2 k& B7 a
, @& W( u F# l: k( Q
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。
8 m* h5 W2 Q A2 {2 V$ i. Z: J) S
7 D! x3 U7 m+ f8 c; f$ V% g
我们通常有以下几种技巧，去避开这些过滤。
$ W; L; O; _' H. b( D- \+ h
4 d3 h9 e) |$ u, p' Q; f
1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。
. `, g @) g. ^9 o
6 e$ Z1 B: w- I0 x4 t
A，如果注入一个数字数据字段，就不需要使用单引号。
6 m& R8 d, _0 {7 Z
5 Q" \9 z/ p- [8 [' Z. F
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。
, h/ X% U5 g6 R L6 c3 |
. ]2 h4 h, q9 L' \1 V% D6 d
比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a
0 W- E, c. K) k! R4 X
# d0 d4 K# U N
目的其实很简单，就是把后面的单引号给闭合掉。
+ X; l3 p7 u' X4 F7 w+ k: h
$ u* z. g8 {% y2 P' Z
C，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
3 Z; c" { n; O! v# N0 Q
) D% y0 z9 l0 v) A- `) n) L; ]
只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。
* G: N5 \0 I/ N0 }0 Q
& |/ u3 I% g2 N3 F2 i/ V
2，避免使用简单确认
8 x+ A: D) o$ B
! h, G2 F& W/ k H0 c0 k, }' N0 I
一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。
. |( n( Y; } s$ ^, o, R
5 G7 k6 E7 a* i( ~- n& b0 S
这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。
* @$ X: X9 {+ F/ d
1 l! h. ]3 @8 O+ Q* ~2 e4 R
A，如果select关键词被阻止或删除
) a1 r7 ^+ D3 N
% L& ^) [ {# |! x5 w# C
我们可以输入：
% q; y! [1 r% j7 j# u
& @& ^7 y5 \* m7 N7 O
SeLeCt 注意大小写
% @7 a! n+ e7 a
1 |6 ^" H2 l& I" R
selselectect 还记得ewebeditor是怎么过滤asp的么？
# z7 f+ T" g Z, n8 Q; ]/ u2 z
d( Y; z$ O( C0 ]
%53%45%4c%45%43%54 URL编码
9 D6 d) c/ |9 l
# R6 l+ W! `+ M. f' o7 d
%2553%2545%254c%2545%2543%2554 对上面的每个%后加了一个25
$ P5 ]2 R! _3 h% t" g* ~
; [, u- b7 S' }. r; }+ Z
3，使用SQL注释符
9 |: @4 L# ?/ p/ p* C( w" e
9 P( k3 w9 u/ r8 E6 |" w
A,使用注释来冒充注入的数据中的空格。
5 i ^$ v' c! y# \ W/ {
4 \1 E8 n1 e( D: l9 u
select/*yesu*/username,password/*yesu*/from/*yesu*/admin
* f. L$ i3 M8 Q3 @6 z. e
X- S" S1 `$ `0 @) y
/*yesu*/来冒充空格
7 r' ?9 b ]' b1 h- ^/ G6 w- s/ e
' ^' ^* t3 y0 `7 T; W; W' h
B,使用注释来避开某些注入的确认过滤。
6 D1 [( D/ O% L
; |9 {0 M2 ]* G5 w) Z8 s
SEL/*yesu*/ECT username,password fr/*yesu*/om admin
/ q3 v: s+ T9 ^+ L
9 T+ }5 X$ g2 r1 F
4,处理被阻止的字符串
& ?" F" f3 P* f9 ]7 w
8 b% A) y# j7 ?
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。
1 g3 O/ T" T# A$ o4 |
1 G6 E1 E9 T9 q3 w3 e& h+ G
我们可以这样
5 C. y; R$ v2 b5 k) U/ j% y
5 n4 a/ ?+ N- B: f2 R5 l/ ]: @* f; V' C
A，oracle数据库： ‘adm’||’in’
w* V o |; T# q6 y
8 b0 m5 ~2 u Y9 Z8 t
B,MSSQL数据库： ‘adm’+’in’
* }# C4 o' \7 u. O, y
: r' f8 W& G0 p' i% w+ G0 G
C,MYSQL数据库： concat (‘adm’,’in’)
8 q/ E' r5 ^. _$ w& v4 E; M- q7 G
- P0 e6 s; m& |
D,oracle中如果单引号被阻止了，还可以用chr函数
7 i+ `) W$ n' s9 b O6 ]
9 }6 M! _' s/ X
sleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)
2 F# ^1 l$ H; L# U2 e
% o* ~) r! ]: d5 ?/ O1 }
还有其他方法。正在收集中.
6 O4 o6 H3 l! s( x. o( r
+ r$ {: X. ` n' g3 U& K
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2