中国网络渗透测试联盟

标题: PHP中SQL注入，绕开过滤，照样注入 [打印本页]
作者: admin    时间: 2013-1-13 09:50
标题: PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守.
' m, F( |2 D* ~$ P! t: p' F3 U) {! X) X- I% J4 U
有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。+ u  K3 w  v$ T. s
0 s" I* v4 A0 |0 ^
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。
3 c, f" {1 z& t) s- A& x7 C7 O
: I0 X! L2 l! H$ i) i* S% w0 {我们通常有以下几种技巧，去避开这些过滤。. z5 r( T* y0 E3 A' ?
, s: b* M; b; e; ]+ \8 \6 y5 z7 j
1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。. s- o. {6 [4 o  o- r5 _* G5 J
0 ~+ O* ?) Z( S7 h8 r: r" P" S% N
A，如果注入一个数字数据字段，就不需要使用单引号。1 S% V6 B% u: o! p
. a/ c" O; B3 Q4 u% ~9 J
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。  u- X5 J# O' I' ^
. q% e2 Z! v" H! V
比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a
* F& m5 e% ^! }: X7 G2 Y
* m* h8 L! Q- X4 D" [7 Y6 ?目的其实很简单，就是把后面的单引号给闭合掉。
5 }, f1 G: s' H" t- V7 Q. d# R$ M- I  z6 X* ^0 V
C，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
* ], j& W9 |* n6 p1 c: T. v6 s
. M$ e0 R8 N1 L4 L% u只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。
1 p9 H" d! E$ C9 Y
8 |4 J; x' j6 m- \( G* k8 ?: ?2，避免使用简单确认
4 M; g6 P6 m. E4 `" V+ y# z5 \: w% K, Q/ n% [
一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。) H; d3 p5 G% i2 d2 v+ @+ I7 g
( e7 q  ~+ q5 S0 Y6 f- w
这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。
7 l' }6 y# N" c: j/ W
7 S0 Z: W0 X/ V  n8 J: P/ w- d0 R, M  h1 ?A，如果select关键词被阻止或删除' i7 J! X9 s) T, w& s

- X% ]" ^6 J9 N8 Y! F' ?我们可以输入：
1 v% g% B+ }) I" b  R5 _
  N: O9 u; A1 l3 S# u, nSeLeCt       注意大小写1 b9 a) ?2 ]" w4 w, ^& B  O) s
0 ^; F. D# i3 W! u1 [- Q
selselectect    还记得ewebeditor是怎么过滤asp的么？
2 [' w% C; ]) `' `  |/ t% l3 e$ j; o6 n( p
%53%45%4c%45%43%54                        URL编码4 j) O5 `4 X  p7 R8 K; u% N

7 z! o6 Z8 X4 i$ R%2553%2545%254c%2545%2543%2554    对上面的每个%后加了一个25
0 [% A6 ~4 s8 a4 A3 Y  T: i! Z7 N* M8 c, C" y" `& p: s
3，使用SQL注释符, r2 `4 G5 W3 j& p1 g+ i, m

7 a4 m5 D4 m: R8 C" e. |- CA,使用注释来冒充注入的数据中的空格。
  e3 Y4 C3 p0 _; r2 f5 l
% q' Y0 O5 X+ ~select/*yesu*/username,password/*yesu*/from/*yesu*/admin1 K: N8 S1 d7 z+ f) [/ w7 ^3 S
5 R. `( z: t& \. B
/*yesu*/来冒充空格
# g! a* q8 W& D* `$ T( E9 j; l; i3 L$ W; B# F& w% k
B,使用注释来避开某些注入的确认过滤。
& N- T& H+ t9 k# L' K; J
; Z7 {1 k1 I. y! FSEL/*yesu*/ECT username,password fr/*yesu*/om admin6 T  D0 A& l4 `' G" ?

7 ]: f) O8 n* N  z6 G& E- H4,处理被阻止的字符串* o( y  ^- ?6 _
4 f/ y" A$ L- E3 `: }! ~
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。
2 e( y: J+ B- _& @
/ ~" d0 v- L5 }4 Y& m) I, U我们可以这样
, I' j. t3 l: i$ D4 @
, {0 D& ]2 |" Q4 F$ |2 HA，oracle数据库： ‘adm’||’in’
6 Y$ T1 V- h( x% _' |
4 m6 W6 T7 Q, ], C+ SB,MSSQL数据库： ‘adm’+’in’5 h, F9 k: z. v9 q
% n+ [; @! y* Z, _
C,MYSQL数据库： concat (‘adm’,’in’)
( s- z  X1 z7 M8 C5 E. T- W% n% U1 u5 K
8 L0 l" Z2 N) u- mD,oracle中如果单引号被阻止了，还可以用chr函数* [6 c; o, a9 n# C8 Z4 y
; e7 d( t4 K) i: v& \, Z
sleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)4 k) J& J4 o! m: h$ v
4 z( J( B' R6 E7 f  Q
还有其他方法。正在收集中.
7 U% y3 J- V, b2 t+ I7 Q( m" i8 X) A




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2