中国网络渗透测试联盟
标题:
PHP中SQL注入，绕开过滤，照样注入
[打印本页]
作者:
admin
时间:
2013-1-13 09:50
标题:
PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守.
" N+ p4 h3 d0 A
7 l# `. ~5 t8 \1 [: ^
有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。
+ N# H8 _" \2 P) K, O
/ p7 [! v o& ^" N
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。
5 k- o/ x; Y/ {/ d2 I6 w& [
- h% a" ]7 H: k8 J9 Q
我们通常有以下几种技巧，去避开这些过滤。
4 J5 J2 B8 e5 {6 }
6 m+ `% b. b5 b2 M
1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。
7 j1 w/ K+ |5 A% d
% c5 } R! y# c/ c8 i
A，如果注入一个数字数据字段，就不需要使用单引号。
0 i( f- ]+ |4 H% \
! D& Z' V3 i# @6 K m
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。
% A$ J! v8 w5 E1 k4 b8 K
% u& S9 ?* R0 N# @( Y
比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a
1 B5 z5 |0 |/ r
1 i8 a2 h* ^2 m
目的其实很简单，就是把后面的单引号给闭合掉。
( X1 A0 G: |, q$ [/ ^4 \9 f2 B
c* p6 d. z4 f: g$ I6 R5 z5 y
C，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
@ |' ^8 v+ l' e& o3 K
$ i9 k7 @* } ~8 c3 f- F
只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。
' u# Y) v4 ?! V' G. i; s
9 L) T" R/ u- G3 z$ \2 ~9 F
2，避免使用简单确认
6 c( J( _4 N1 ?* n9 H
4 u7 R0 k0 v/ Y! S+ g
一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。
2 b1 D4 a. o0 U6 {6 [1 q
! `) n! j3 x0 x2 o) J
这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。
7 f! b2 q4 R- J9 z, x
1 @0 t w- p, e. H8 P! N
A，如果select关键词被阻止或删除
8 w& ]0 |% \' v, c5 V' U$ E$ p8 y- p
* m0 z: Y% s$ Z: G
我们可以输入：
5 W8 D9 [; V4 r" I+ V% `6 m G5 J7 V6 n
! y% Y) |) L2 X% y3 s* O- O
SeLeCt 注意大小写
$ `8 w: X; l4 p
! c8 y; d# x, f& ] [% T3 B
selselectect 还记得ewebeditor是怎么过滤asp的么？
* }0 |" X/ F8 J
# P; R& U2 f: I7 C# e
%53%45%4c%45%43%54 URL编码
$ h, z1 z1 l! `: }; Z
& U( }' h3 E3 ]) W |5 K
%2553%2545%254c%2545%2543%2554 对上面的每个%后加了一个25
' n( }9 F: n) M6 I$ \
8 _3 o0 O! x. x9 S7 [1 d
3，使用SQL注释符
& \% `7 u/ \$ u2 k* c% e' B7 N
( F8 q$ V- ^. P) U0 p& {7 G
A,使用注释来冒充注入的数据中的空格。
8 ]1 ]- F( \0 o( n: v( T4 |
# b1 G9 u j8 }! M+ g
select/*yesu*/username,password/*yesu*/from/*yesu*/admin
9 h( x% }$ X' g
, ^" v$ Q9 f, G% q5 a7 }4 h$ \7 P; S( o
/*yesu*/来冒充空格
3 N6 C1 O% Q/ ?6 F; R8 Z: M6 L9 E
: H0 W0 T% R. s U4 z4 T* Y
B,使用注释来避开某些注入的确认过滤。
/ J+ B( c9 o$ T8 M1 k" G; n
; E5 k; a7 g" S1 f0 a
SEL/*yesu*/ECT username,password fr/*yesu*/om admin
, M0 ?& U0 J; `1 P$ D9 s7 Q8 h
: X! `# V2 {9 h4 C
4,处理被阻止的字符串
& A) C/ g& O# Y z0 l9 X/ h+ g
, U! | ]" J3 Q% i u
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。
1 W" a; c: H P( l0 u
- u/ `( i$ M- M2 B' O+ D. O
我们可以这样
! h6 D6 q" A X7 H
. A5 t: N" b- Z! ~6 ]1 R8 |; m) w
A，oracle数据库： ‘adm’||’in’
8 l4 l2 a- m7 h" w$ k. W: S
. v% {/ L! A2 U/ i: h# _- R) y
B,MSSQL数据库： ‘adm’+’in’
* `* I# C" n# F- V! v
- G; B" ^( R. Z1 t8 O. z* |
C,MYSQL数据库： concat (‘adm’,’in’)
0 k" N% t1 q/ R/ }' g# W$ ^
0 S. ?' b; n$ t! z0 c& a- y4 k
D,oracle中如果单引号被阻止了，还可以用chr函数
2 `; y$ ~: M6 `. G# b
- K7 a, I( t0 L' j
sleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)
( C' u9 S5 V/ e0 ?0 n
, u! I) A# @! K# q6 I+ A8 z* X
还有其他方法。正在收集中.
0 |/ E; y5 f3 l n( }) w* j
# [/ n: l5 n2 K/ Q7 ]
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2