判断sql注入的流量特征

判断sql注入的流量特征

sql注入漏洞的原理

SQL注入是开发者对用户输入的参数过滤不严格，通过把SQL命令插入到Web表单提交、输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，导致用户输入的数据能够影响预设查询功能的一种技术。它是一种通过在用户可控参数中注入SQL语句，破坏原有的SQL结构，达到编写程序时意料之外结果的攻击行为。

sql注入漏洞的分类

• 按照构造和提交SQL语句的方式进行划分，SQL注入又分为GET型注入、POST型注入和Cookies型注入。
• GET 型 SQL 注入提交数据的方式为 GET , 注入点的位置在 GET 参数部分，通常发生在网页的 URL。
• POST 型 SQL 注入使用 POST 方式提交数据，注入点位置在 POST 数据部分，通常发生在表单输入框中。
• Cookie 型 SQL 注入HTTP 请求时通常有客户端的 Cookie, 注入点存在 Cookie 的某个字段中。
• 按照提交的数据类型有：数字型、字符型和搜索型；
• 按照执行效果有：基于布尔的盲注、基于时间的盲注、基于报错注入、联合查询注入等；

sql注入漏洞的危害

• 数据获取：通过构造恶意的 SQL 语句，从数据库中获取敏感信息。
• 数据操纵：通过插入恶意的 SQL 语句，在数据库中进行操作，从而造成损害。

sql注入的流量特征

（1）对sqlmap的判断：
若攻击者使用sqlmap不添加–random-agent参数，则可通过捕获请求包的USER-AGENT字 段来判断攻击者是否在使用sqlmap进行攻击

（2）出现一些特殊字符：比如单引号括号’(

（3）出现SQL命令/语句–增删改查语句或者各语句之间的联合

（4）出现注释符号：比如连续两个减号-- /**/等特殊符号

（5）出现常见的特殊函数，如：database()、updatexml()、extractvalue()、group_concat()、concat()、limit()、order by()、and、or等函数。

（6）出现常见的base64\url等编码

通过wireshark抓取sqlmap进行注入时的流量特征

1.打开sql-labs靶场第一关

2.wireshark开启抓包

3. 使用sqlmap工具对目标网址进行攻击
   

4.返回wireshark 抓取可疑的数据流

5.分析数据 可以看到有明显的SELECT语句

6.使用bp自带的解码模块进行这条数据的解码 可以看到是一条明显的sql查询语句