「网络安全」SQL注入攻击的真相

我们生活在数据的黄金时代。有些公司将其分析为更好的自己，有些公司为了获利而进行交易，没有一家公司因其价值而自由放弃 - 对于他们的业务和犯罪分子。

SQL（结构化查询语言）是一种非常流行的与数据库通信的方式。虽然许多新数据库使用非SQL语法，但大多数仍然与SQL兼容。这使得SQL成为任何想要访问数据的人的便利工具，无论他们的动机如何。

SQL注入（或SQLi）攻击已经存在了近20年。他们永远不会停止使用Imperva的Web应用程序防火墙（WAF）。所以我们有丰富的数据和经验可供分享。在这篇文章中，我们将分享Imperva保护下数千个网站的最新统计数据和图表，以及攻击示例以及保护网站的方法。

基于SQL的应用程序的常见攻击

SQL Injection是一种用于攻击应用程序的代码注入技术。攻击者可以使用工具，脚本甚至浏览器将SQL语句插入应用程序字段。然后由数据库引擎执行这些语句。此类攻击通常用于：

1. 欺骗身份
2. 篡改现有数据
3. 窃取数据
4. 销毁数据
5. 更改数据库权限

应用程序背后的数据通常是关键任务，这就是SQL注入攻击被认为非常严重的原因。

来自Imperva WAF的统计数据

Imperva的WAF每天都会在我们保护的网站上减少数百万次SQL注入攻击。我们保护的网站中至少有80％每个月都会受到攻击。我们的数百个网站每天都会面临SQLi攻击。

您可以在下面找到我们监控的攻击中使用的国家，行业和工具的统计数据。

图1：网站行业分布 - 由于BakerHostetler的2018年网络安全报告指出它是数据泄露最严重的行业，因此受攻击程度最高的行业是健康行业，这一点非常有意思，但并不奇怪。

没有图示的是受攻击最多的数据库（按递减顺序）：Oracle，PostgreSQL，MySQL和MongoDB。同时，受攻击最多的平台是WordPress，Drupal，Joomla和Quest。

图2：受攻击网站的国家/地区与攻击来源 - 看到黑客倾向于攻击自己国家/地区内的网站并不奇怪。当然，这有可能恰恰相反 - 这些结果可能反映了黑客使用在他们攻击的国家/地区拥有端点的V** /代理，以逃避地理阻塞。

每天大量使用SQLi公共漏洞。例如：CVE-2017-8917和CVE-2015-7858都是Joomla SQLi公共漏洞，这些漏洞在我们监控的66,000个事件中使用。

图3：顶级漏洞扫描程序 - 由于我们计算事件而非请求，每个扫描程序生成的有效负载数量都没有影响。尽管SQLi Dumper取得了成功，但Joomla扫描仪并不落后。

我们每月监控数万个攻击性IP，并使用攻击分析来查找恶意IP并防范它们。我们通过分析过去几个月的攻击IP收集了一些有趣的统计数据：

图4：日复一日尝试SQLi攻击的IP。蓝色：在当天和当天尝试SQLi攻击的IP的百分比，在当天尝试SQLi攻击的IP中。橙色：包含由这些攻击IP发送的SQLi尝试的请求的百分比，包含SQLi尝试的总请求数。

令人好奇的是，即使平均每天不到三分之一的IP攻击（蓝线），他们的请求构成了超过80％的SQLi请求（橙色线）。这可能是由于各种漏洞扫描程序正在进行扫描。这些工具倾向于轰炸目标以寻找漏洞，这解释了高IP到请求比率。

图5：顶级攻击工具 - 非常通用且广泛使用，因此cURL占据如此重要的位置并不奇怪。但是，深入分析显示，与cURL一起发送的大多数可疑请求实际上是攻击后检查，即被阻止的黑客，然后使用cURL来测试他们是否仍然可以访问该网站。cURL紧随其后的是Python - 黑客的首选武器，以及Ruby - 用于编写Metasploit的语言代码。

攻击示例

以下是我们最近一个月跟踪的一些流行攻击：

Vector	Incidents	Description
1 and 1=2 union select password from qianbo_admin	634,566	Trying to query passwords
1’A=0	125,365	Probing
N;O=D and 1=1 nessus= or 1=1–CONCAT(‘whs(‘,’)SQLi’)	76,155	Probing by vulnerability scanners: Veracode, Nessus and WhiteHat Security, respectively
‘ union select unhex(hex(version())) —	848,096	Attempting to discover database version
;WAITFOR DELAY ’00:00:28′;	1,226,955	Blind probing — testing for delay in response

表1：SQL注入攻击的示例

如何保护您的应用程序免受SQL注入

有许多方法可以保护您的应用程序免受SQL注入攻击。有些应该在应用程序开发期间使用，其他应该在部署应用程序后使用。

开发阶段：

使用预准备语句 - 一种“模板化”SQL以使其适应SQL注入的方法。只有某些输入值可以发送到数据库，因此无法运行模板化语句以外的语句。稍后使用不同协议传输的值不像语句模板那样编译。因此不能发生SQL注入。

这里有两个Python代码示例，包含和不包含预准备语句。该代码基于MySQL连接器驱动程序（https://dev.mysql.com/doc/connector-python/en/）：

def add_employee(id: int, email: str):

sql = “””INSERT INTO employees (id, email) VALUES (%s, %s)””” cursor = connection.cursor(prepared=True) cursor.execute(sql, (id, email)) cnx.commit() cursor.close()

Python代码示例。这些值将发送到与SQL文本分开的“执行方法”。

def add_employee(id: int, email: str): sql = f”””INSERT INTO employees (id, email) VALUES ({id}, {email})””” cursor = connection.cursor() cursor.execute(sql)

上面是没有预准备语句的Python代码示例。电子邮件可能包含可由数据库引擎执行的SQL注入语句。

除了预处理语句之外，还有其他方法可以在开发和部署应用程序期间阻止SQL注入：

1. 消毒 - 摆脱任何可能是恶意的特殊字符，单词或短语。例如，删除保留字SELECT或CONTACT，或删除短语WAIT FOR DELAY或DROP TABLE。这不是最佳实践，但在某些情况下它可能很有用。
2. 转义 - 转义在SQL中具有特殊含义的字符。例如，用两个单引号替换双引号。这是一种简单但易于出错的方式。
3. 转义和模式检查 - 可以验证数字和布尔参数数据类型，而字符串参数可以限制为模式。
4. 数据库权限限制 - 将应用程序用户的权限限制为仅需要的权限，因为它可能有助于降低攻击的有效性。

后开发 - 应用程序安全性：

• 漏洞扫描程序 - 这些可以检测应用程序中的SQL注入漏洞，以后可以由开发团队修复。请记住，应用程序会不断变化 - 因此您应定期运行扫描程序。
• Web应用程序防火墙 - WAF还可以检测和阻止对您的应用程序的攻击。

总结

保护产品免受SQL注入是必不可少的，以确保其正常运行并防止数据泄露。

当您编写访问数据库的代码时，考虑从一开始就防止SQL注入是一种很好的做法。这是防止这些漏洞发生的最佳时机，而不是以后修补它们。开发过程应包括针对SQL注入的测试，然后是外部扫描程序。

应用程序防火墙 - WAF还可以检测和阻止对您的应用程序的攻击。

总结

保护产品免受SQL注入是必不可少的，以确保其正常运行并防止数据泄露。

当您编写访问数据库的代码时，考虑从一开始就防止SQL注入是一种很好的做法。这是防止这些漏洞发生的最佳时机，而不是以后修补它们。开发过程应包括针对SQL注入的测试，然后是外部扫描程序。

最后，WAF是您产品保护的重要补充。它可以保护您免受错过的漏洞，同时让您有时间尽可能地修补它们。学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础 时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境 时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作 时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！