中国网络渗透测试联盟

标题: PHP中SQL注入，绕开过滤，照样注入 [打印本页]
作者: admin    时间: 2013-1-13 09:50
标题: PHP中SQL注入，绕开过滤，照样注入
SQL注入。有攻有防。知道进攻。才懂得防守.
' Q) F* |- t4 C; Y; s+ V# l" s
  |+ ~& F+ x- g- ~  o" Z) v有的时候，很容易受到SQL注入攻击的程序，可能会进行输入过滤，用来防止攻击者无限制的利用其中存在的设计缺陷。
0 M: B2 c. G9 X4 u! s8 R  [  g- G0 c+ Y0 s* Q, ^
唱出会删除或者净化一些字符，或者阻止常用的sql关键词。  r9 m8 I; e8 K; U& O1 i$ u

" U* P* M* |+ c) I3 `; d我们通常有以下几种技巧，去避开这些过滤。
3 k2 _: P6 B9 E# Y3 H0 z  s* T
& i3 g: U# P  ^' ^1，避免使用被阻止的字符，即不使用这些字符仍然达到攻击目的。
4 _) s" P6 [' Q  {
' ]$ K% Y: w5 h' J3 t& C$ v& HA，如果注入一个数字数据字段，就不需要使用单引号。6 F7 T" u/ ~" n+ u! S
6 |$ D- i! H, ~; K/ M: q/ j
B，输入注释符号被阻止使用，我们可以设计注入的数据，既不破坏周围的查询语法。
% S; w8 t5 ~4 J% f* b5 F, O5 n/ d
  V0 a; B4 @! c/ p/ i9 N0 S) t比如， ?id=1′ 这里存在注入，过滤了注释符合，我们可以输入 ?id=1′ or ‘a’=’a1 a* o! o* i  e

- [+ M- g2 @' P/ R$ p8 I( g3 i' Z目的其实很简单，就是把后面的单引号给闭合掉。7 s% n( H) M2 y4 T( v5 ^

- S! ^& z+ g7 P/ T) DC，在一个MSSQL注入中注入批量查询的时候，不必使用分号分隔符。
6 M2 L. @- W# l
. V+ @  t1 z! _只要纠正所有批量查询的语法，无论你是否使用分号，查询的解析器依然能正确的去解释它们的。# s6 Q/ B6 D$ S1 ^5 a, t3 z
, z5 a, [& \0 O& A+ ]* Y% L
2，避免使用简单确认3 @; R8 ]. g; i# o
# {$ h# W4 J7 }! l  V. I9 D: G
一些输入确认机制使用一个简单的黑名单，组织或删除任何出现在这个名单中的数据，比如防注入程序。) i: M- j0 C$ b+ R7 i+ X- `

& f+ B( m6 S: t- J$ R这一般要看这个机制是否做的足够的好了，黑名单是否足够能确保安全。如果只是简单的黑名单，那也有机会突破的。& R. u! Y9 `1 k

0 I; z$ b' {5 sA，如果select关键词被阻止或删除
( t. I0 [, c* w2 i7 h
5 Y- [$ P* [5 ^) @- R: w" D- |& s( h0 g我们可以输入：
( B3 M2 b# C6 b2 x
8 N- h. l" x8 _- Q, f- Q3 ^SeLeCt       注意大小写
; v; F; C7 z* Z* K5 f9 t
: \" y) Y( {4 yselselectect    还记得ewebeditor是怎么过滤asp的么？' z! w$ q0 H- j: G1 J% U& i
; j3 Y4 Q2 N8 H2 V4 o5 y$ b) }
%53%45%4c%45%43%54                        URL编码2 L9 l& h6 j$ Q$ y$ F9 J4 w
" m2 F& L9 g& Y9 }
%2553%2545%254c%2545%2543%2554    对上面的每个%后加了一个25, G4 Q- P3 f5 h0 B  W( J4 v2 n  ~
4 _1 C8 B2 b/ N9 [7 m
3，使用SQL注释符6 _' k7 Z2 l* Z% ?: j1 O
- _8 v1 @' Z6 P* _/ f
A,使用注释来冒充注入的数据中的空格。
% y. x: h9 r9 S/ \( Z, X: I' G
! g* l4 W( J* h% g* B# p; D+ H$ ~select/*yesu*/username,password/*yesu*/from/*yesu*/admin2 P8 _6 e+ l. o$ ]  N
3 Z/ a7 J0 r2 G9 N& U, F
/*yesu*/来冒充空格/ L) m/ D$ r6 |/ H" ]: @

# Q; g" R' N  _  L8 r6 N9 {! y9 WB,使用注释来避开某些注入的确认过滤。) j8 t& D8 e$ o. ~: m3 a

5 G9 R: X/ i! jSEL/*yesu*/ECT username,password fr/*yesu*/om admin
1 O' I, ?- Q; y2 z/ R8 V- j8 |! V2 o3 D; l! ]2 t  C) {# M* z
4,处理被阻止的字符串  S' Q  h! B  s  M' ~, O# q1 v+ ]
7 D9 x. H- h6 o, T' I' M
比如，程序阻止了admin，因为怕攻击者注入admin表单中的数据。
0 v3 D% G; C1 o9 g
! ~8 T6 c+ E0 @0 ]1 ^5 x. _2 z我们可以这样/ s6 K4 j/ b) ?) t# g

! T) g/ z$ t8 }3 v( b7 s' }A，oracle数据库： ‘adm’||’in’
; ?) D/ L$ A* g" q9 F
+ J& W- Q2 @1 Q1 @B,MSSQL数据库： ‘adm’+’in’- p6 ?% X* [  P8 l+ E' a- f  H
' a/ s1 d$ L& U0 U* O0 d
C,MYSQL数据库： concat (‘adm’,’in’)5 a) e( @+ y8 ?: l' `% @2 T

. a' K4 `; c! C9 ]D,oracle中如果单引号被阻止了，还可以用chr函数
% g# U+ S/ R- T3 }4 _# ^% e9 g4 y$ N$ H5 _/ C1 D; M( W6 b
sleect password from admin where username = char(97) || chr(100) || chr(109) || chr(105) || chr(110)
7 t+ l& `9 C% P! N/ L* z$ w, V6 ]1 S4 q, I3 K- P& L- Z/ D( o$ p
还有其他方法。正在收集中.
8 A) T( V8 o1 n+ l& M5 T+ I: L/ D/ d( v6 w1 \: t+ M




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2