1. 程式人生 > >SQL約束攻擊

SQL約束攻擊

轉載----https://www.freebuf.com/articles/web/124537.html
前言
值得慶幸的是如今開發者在構建網站時,已經開始注重安全問題了。絕大部分開發者都意識到SQL注入漏洞的存在,在本文我想與讀者共同去探討另一種與SQL資料庫相關的漏洞,其危害與SQL注入不相上下,但卻不太常見。接下來,我將為讀者詳細展示這種攻擊手法,以及相應的防禦策略。

注意:本文不是講述SQL注入攻擊

背景介紹:
最近,我遇到了一個有趣的程式碼片段,開發者嘗試各種方法來確保資料庫的安全訪問。當新使用者嘗試註冊時,將執行以下程式碼:

<?php
// Checking whether a user with the same username exists
$username = mysql_real_escape_string($_GET['username']);
$password = mysql_real_escape_string($_GET['password']);
$query = "SELECT *
          FROM users
          WHERE username='$username'";
$res = mysql_query($query, $database);
if($res) {
  if(mysql_num_rows($res) > 0) {
    // User exists, exit gracefully
    .
    .
  }
  else {
    // If not, only then insert a new entry
    $query = "INSERT INTO users(username, password)
              VALUES ('$username','$password')";
    .
    .
  }
}

使用以下程式碼驗證登入資訊:

<?php
$username = mysql_real_escape_string($_GET['username']);
$password = mysql_real_escape_string($_GET['password']);
$query = "SELECT username FROM users
          WHERE username='$username'
              AND password='$password' ";
$res = mysql_query($query, $database);
if($res) {
  if(mysql_num_rows($res) > 0){
      $row = mysql_fetch_assoc($res);
      return $row['username'];
  }
}
return Null;

安全考慮:
過濾使用者輸入引數了嗎? — 完成檢查
使用單引號(’)來增加安全性了嗎? — 完成檢查
按理說應該不會出錯了啊?
然而,攻擊者依然能夠以任意使用者身份進行登入!

攻擊手法:
在談論這種攻擊手法之前,首先我們需要了解幾個關鍵知識點。

在SQL中執行字串處理時,字串末尾的空格符將會被刪除。換句話說“vampire”等同於“vampire ”,對於絕大多數情況來說都是成立的(諸如WHERE子句中的字串或INSERT語句中的字串)例如以下語句的查詢結果,與使用使用者名稱“vampire”進行查詢時的結果是一樣的。

SELECT * FROM users WHERE username='vampire ';

但也存在異常情況,最好的例子就是LIKE子句了。注意,對尾部空白符的這種修剪操作,主要是在“字串比較”期間進行的。這是因為,SQL會在內部使用空格來填充字串,以便在比較之前使其它們的長度保持一致。

在所有的INSERT查詢中,SQL都會根據varchar(n)來限制字串的最大長度。也就是說,如果字串的長度大於“n”個字元的話,那麼僅使用字串的前“n”個字元。比如特定列的長度約束為“5”個字元,那麼在插入字串“vampire”時,實際上只能插入字串的前5個字元,即“vampi”。

現在,讓我們建立一個測試資料庫來演示具體攻擊過程。

[email protected]:~$ mysql -u root -p
mysql> CREATE DATABASE testing;
Query OK, 1 row affected (0.03 sec)
mysql> USE testing;
Database changed
接著建立一個數據表users,其包含username和password列,並且欄位的最大長度限制為25個字元。然後,我將向username欄位插入“vampire”,向password欄位插入“my_password”。

mysql> CREATE TABLE users (
-> username varchar(25),
-> password varchar(25)
-> );
Query OK, 0 rows affected (0.09 sec)
mysql> INSERT INTO users
-> VALUES(‘vampire’, ‘my_password’);
Query OK, 1 row affected (0.11 sec)
mysql> SELECT * FROM users;
±---------±------------+
| username | password |
±---------±------------+
| vampire | my_password |
±---------±------------+
1 row in set (0.00 sec)
為了展示尾部空白字元的修剪情況,我們可以鍵入下列命令:

mysql> SELECT * FROM users
-> WHERE username='vampire ';
±---------±------------+
| username | password |
±---------±------------+
| vampire | my_password |
±---------±------------+
1 row in set (0.00 sec)
現在我們假設一個存在漏洞的網站使用了前面提到的PHP程式碼來處理使用者的註冊及登入過程。為了侵入任意使用者的帳戶(在本例中為“vampire”),只需要使用使用者名稱“vampire[許多空白符]1”和一個隨機密碼進行註冊即可。對於選擇的使用者名稱,前25個字元應該只包含vampire和空白字元,這樣做將有助於繞過檢查特定使用者名稱是否已存在的查詢。

mysql> SELECT * FROM users
-> WHERE username=‘vampire 1’;
Empty set (0.00 sec)
需要注意的是,在執行SELECT查詢語句時,SQL是不會將字串縮短為25個字元的。因此,這裡將使用完整的字串進行搜尋,所以不會找到匹配的結果。接下來,當執行INSERT查詢語句時,它只會插入前25個字元。

mysql> INSERT INTO users(username, password)
-> VALUES (‘vampire 1’, ‘random_pass’);
Query OK, 1 row affected, 1 warning (0.05 sec)
mysql> SELECT * FROM users
-> WHERE username=‘vampire’;
±--------------------------±------------+
| username | password |
±--------------------------±------------+
| vampire | my_password |
| vampire | random_pass |
±--------------------------±------------+
2 rows in set (0.00 sec)
很好,現在我們檢索“vampire”的,將返回兩個獨立使用者。注意,第二個使用者名稱實際上是“vampire”加上尾部的18個空格。現在,如果使用使用者名稱“vampire”和密碼“random_pass”登入的話,則所有搜尋該使用者名稱的SELECT查詢都將返回第一個資料記錄,也就是原始的資料記錄。這樣的話,攻擊者就能夠以原始使用者身份登入。這個攻擊已經在MySQL和SQLite上成功通過測試。我相信在其他情況下依舊適用。

防禦手段
毫無疑問,在進行軟體開發時,需要對此類安全漏洞引起注意。我們可採取以下幾項措施進行防禦:

將要求或者預期具有唯一性的那些列加上UNIQUE約束。實際上這是一個涉及軟體開發的重要規則,即使你的程式碼有維持其完整性的功能,也應該恰當的定義資料。由於’username’列具有UNIQUE約束,所以不能插入另一條記錄。將會檢測到兩個相同的字串,並且INSERT查詢將失敗。

最好使用’id’作為資料庫表的主鍵。並且資料應該通過程式中的id進行跟蹤

為了更加安全,還可以用手動調整輸入引數的限制長度(依照資料庫設定)

*參考來源:dhavalkapil,FB小編鳶尾編譯,轉載請註明來自FreeBuf(FreeBuf.COM