实习第五天报告（8.30）

畸形包绕过（Pipeline绕过）：通过发送格式异常的HTTP请求包（如Connection: keep-alive，但实际上并不保持连接），试图绕过WAF的检测机制。这种方法利用了HTTP协议的一些特性，但可能导致请求被正常服务器拒绝。例如：修改Connection字段为keep-alive，但实际上发送的是不完整的请求包，然后再在请求包中插入无效字符或格式错误的头部字段。

协议覆盖：通过修改HTTP请求头中的Content-Type字段，尝试绕过WAF对特定内容类型的检测规则。例如，将Content-Type改为multipart/form-data并设置自定义的边界符，然后在边界符内嵌入恶意代码。

高并发绕过：通过发起高并发的请求，利用负载均衡机制将请求分发到不同的服务器节点，试图绕过部署在某些节点上的WAF，这种方法需要攻击者具备足够的资源来发起大规模的攻击。

脏数据绕过：通过在请求中插入大量无意义的数据（如大量重复的字符），试图耗尽WAF的处理资源或绕过其检测逻辑。这种方法特别适用于那些只检测请求开头部分内容的WAF。

请求方式差异规则松懈性绕过：某些WAF对不同请求方式（如GET、POST、PUT等）的处理规则可能不一致。攻击者可以尝试变换请求方式来绕过WAF的特定规则。

注入方式

SQL注入攻击的方式多种多样，主要包括以下几种：

基于错误的注入：通过故意构造错误的SQL语句，使数据库返回错误信息，从而获取数据库的内部信息。

基于布尔的盲注：通过构造SQL语句并观察应用程序的响应（如页面是否返回正常），来推断数据库的内部信息。

基于时间的盲注：利用SQL语句中的时间延迟函数（如Sleep()），通过测量应用程序的响应时间，来推断数据库的内部信息。

联合查询注入：通过构造联合查询（如Union select()），将恶意SQL语句与合法查询结合，以获取额外的数据库信息。

堆叠查询注入：在单个SQL查询语句中，通过分号分隔多个SQL语句，尝试执行多个非预期的数据库操作。

防御方式

为了有效防御SQL注入攻击，可以采取以下措施：

使用参数化查询或预编译语句：确保应用程序在处理用户输入时，将输入作为参数传递给SQL语句，而不是直接拼接到SQL语句中。

输入验证和过滤：对用户输入进行严格的验证和过滤，确保输入数据符合预期的格式和规范。

最小权限原则：为数据库用户分配最小的必要权限，避免使用具有广泛权限的数据库账户。

使用ORM框架：利用ORM框架自动处理SQL注入等安全问题。

及时更新和打补丁：定期更新数据库和应用程序的安全补丁，以修复已知的安全漏洞。

部署WAF：使用Web应用防火墙等安全设备，对进出Web应用程序的数据进行监控和过滤，及时发现并阻止SQL注入攻击。

靶场实战

第一关

查看网页内容，尝试输入?id=1，发现存在注入点

修改数字值，发现数字值不同，返回页面也不同，说明输入内容确实带到了数据库中进行了查询

判断注入是字符型还是数字型，发现返回页面未改变，说明是字符型注入，且存在拼接语句

判断数据库中当前表格存在几列，发现输入3不报错，输入4报错，说明存在3列

使用联合查询，尝试寻找回显位置，发现2、3位置会回显

注：

？id=1这部分尝试从表中选取id等于-1的记录。由于大多数情况下，id字段是主键或唯一索引，并且通常不会包含负数（除非特别设计），因此这部分查询很可能不会返回任何行，而select 1,2,3试图从数据库中检索硬编码的值1,2,3,而不是从原始查询中检索的数

使用mysql数据库的函数database(),version()，填充在2、3位置，以获取当前数据名和版本，通过结果知道当前数据看是security,版本是5.7.26

知道数据库版本后，因为Mysql 5 以上有内置库 information_schema ，存储着mysql的所有数据库和表结构信息，因此我们就可以利用该版本的一些函数来获取表名；information_schema.tables表示数据库下的tables表，“.”表示下一级。where后面是条件，group_concat()是将查询到结果连接起来。如果不用group_concat查询到的只有user。该语句的意思是查询information_schema数据库下的tables表里面且table_schema字段内容是security的所有table_name的内容。

?id=-1'union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='security'--+

我们通过sql语句查询知道当前数据库有四个表，根据表名知道可能用户的账户和密码是在users表中，接下来我们就需要得到该表下的字段名以及内容。该语句的意思是查询information_schema数据库下的columns表中table_users字段内容是users的所有column_name的内容。

注：table_name字段不是只存在于tables表，也存在于columns表中。表示所有字段对应的表名经过查询后得到两个关键字段username和password

?id=-1'union select 1,2,group_concat(column_name) from information_schema.columns where table_name='users'--+

继续使用联合查询得到username和password字段中的内容，id起到隔开username和password的作用，便于查看

?id=-1' union select 1,2,group_concat(username ,id , password) from users--+

使用sqlmap验证结果正确性，数据库正确

表正确

字段正确

数据正确，完成

第二关

和第一关一样，先对注入类型进行判断，由于无论是单引号还是双引号都会报错，可以判断为数字型注入

接着和第一关一样的步骤，判断数据库中当前表格存在几列，发现和第一关一样存在三列

使用联合查询寻找回显位置，发现和第一关一样是2、3位置回显

剩下步骤同第一关，查询数据库、数据库版本，然后使用information_schema表查询表名、字段和

数据

使用sqlmap验证正确性，完成

第三关

先对注入类型进行判断，先尝试单引号双引号，均报错，根据报错信息，可推测查询语句中存在括号

尝试使用括号闭合，不再报错

判断数据库中当前表格存在几列，发现存在三列

使用联合查询判断回显位置为2、3

查询数据库、数据库版本，然后使用information_schema表查询表名、字段和数据，并使用sqlmap验证，完成

第四关

根据页面报错信息可判断为双引号字符型加括号

判断列数为3

判断回显位置为2、3

查询数据库、数据库版本，然后使用information_schema表查询表名、字段和数据，并使用sqlmap验证，完成

第五关

判断注入类型为双引号字符型，且由于页面没有回显内容，不适合采用联合查询，因为数据不显示，只有对错页面显示，我们可以选择布尔盲注。

判断数据库中当前表格存在几列，发现存在三列

接下来通过length()函数判断数据库长度，原理同联合查询的order by语句，这里我们用and逻辑符拼接，当and后的语句，即数据库名长度为n时，页面才会正常回显，经过多次尝试，确定数据库名长度为8

?id=1'and length((select database()))=n--+

然后我们可以使用数据库中的一个函数substr()来取出数据库名的每一位来进行盲注，用来猜数据库名。第一个参数为传入字符串，第二个参数作用是取几位，第三个参数为步长，该语句的作用即是：检查当前数据库名称的第一个字符是否是'*'。如果是，这个条件就会返回true，否则返回False，这也是布尔盲注花费大量时间的原因，因为需要挨个挨个猜测数据库名、表名、字段等等，所以布尔盲注大多数使用工具，例如sqlmap进行注入，但无奈老师要求不使用sqlmap，在这里由于其他题的经验，我猜数据库名是security，表名是users，字段有username，password等，而若要检测数据内容就不得不借用工具了^_^

?id=1' and substr(database(),1,1)=‘*’  #用于推测数据库名

使用sqlmap验证我的猜想，果然是对的^_^

第六关

判断注入类型为单引号字符型，且由于页面没有回显内容，不适合采用联合查询，因为数据不显示，只有对错页面显示，我们可以选择布尔盲注。

接下来步骤同第五关，有了上次的经验，这次我们直接借助工具sqlmap^_^

后续题目有兴趣做在更新^_^

总结

SQLi手工注入步骤一般如下：

判断注入点：首先确定应用程序中可能存在SQL注入漏洞的输入点，如URL参数、表单字段等；通过输入特殊字符（如单引号、双引号、括号等，使用闭合绕过的方式来确定注入类型是字符型（分为双引号型和单引号型）还是数字型）或特定的SQL语句片段（如and 1=1、and 1=2，布尔盲注），观察应用程序的响应或报错信息来判断是否存在注入点，并确定闭合方式

猜解字段数量：使用ORDER BY语句：通过逐渐增加ORDER BY子句中的数字，观察应用程序何时报错，以确定数据库表中字段的数量。

确定回显点：使用UNION SELECT语句：在确认字段数量后，通过构造UNION SELECT语句将恶意查询结果与原查询结果合并输出，以找到回显点（即应用程序中显示数据库查询结果的位置）。注：应确保UNION SELECT语句中的字段数量与原始查询一致，以避免SQL语法错误。

信息收集：利用回显点，通过执行内置数据库函数（如version()、database()、user()等）获取数据库版本、当前数据库名、当前用户名等敏感信息；然后利用information_schema数据库中的tables和columns表，查询数据库中所有表名和列名。这通常需要使用GROUP_CONCAT()函数将多个结果合并为一个字符串输出。

数据提取：根据已获取的表名和列名，构造特定的SQL查询语句以提取所需的数据；如有条件，还可以将提取的数据导出到文件或通过网络传输到攻击者控制的服务器。

附（Ai说的）：绕过安全机制：应对WAF和IPS：尝试使用编码绕过（如URL编码、Base64编码）、分块传输、畸形包、协议覆盖等方法绕过WAF（Web应用防火墙）和IPS（入侵防御系统）的检测；根据应用程序的具体安全措施（如输入验证、参数化查询等），采取相应的绕过策略