本文轉(zhuǎn)載自微信公眾號「Java極客技術(shù)」，作者鴨血粉絲 。轉(zhuǎn)載本文請聯(lián)系Java極客技術(shù)公眾號。  

一QQ視頻

騰訊視頻

IBM視頻

SQL 注入攻擊是網(wǎng)絡(luò)上非常常見的一種攻擊!

黑客通過將惡意的 SQL 查詢或者添加語句插入到應(yīng)用的輸入?yún)?shù)中，然后在后臺 SQL 服務(wù)器上解析執(zhí)行進(jìn)行程序攻擊!

[[376047]]

那黑客具體是如何將惡意的 SQL 腳本進(jìn)行植入到系統(tǒng)中，從而達(dá)到攻擊的目的呢?

現(xiàn)在的 Web 程序基本都是三層架構(gòu)，也就是我們常說的 MVC 模式：

• 表示層：用于數(shù)據(jù)的展示，也就是前端界面
• 業(yè)務(wù)邏輯層：用于接受前端頁面?zhèn)魅氲膮?shù)，進(jìn)行邏輯處理
• 數(shù)據(jù)訪問層：邏輯層處理完畢之后，會將數(shù)據(jù)存儲到對應(yīng)的數(shù)據(jù)庫，例如mysql、oracle、sqlserver等等

例如在上圖中，用戶訪問主頁進(jìn)行了如下過程：

• 在 Web 瀏覽器中輸入www.shiyanlou.com接到對應(yīng)的服務(wù)器
• Web服務(wù)器從本地存儲中加載index.php腳本程序并解析
• 腳本程序會連接位于數(shù)據(jù)訪問層的DBMS(數(shù)據(jù)庫管理系統(tǒng))，并執(zhí)行Sql語句
• 數(shù)據(jù)庫管理系統(tǒng)返回Sql語句執(zhí)行結(jié)果給Web服務(wù)器
• Web服務(wù)器將頁面封裝成HTML格式發(fā)送給Web瀏覽器
• Web瀏覽器解析HTML文件，將內(nèi)容展示給用戶

整個(gè)過程中間的業(yè)務(wù)邏輯層只是進(jìn)行邏輯處理，從用戶到獲取數(shù)據(jù)，簡單的說，三層架構(gòu)是一種線性關(guān)系。

二、SQL 注入漏洞詳解

剛剛我們也講到，當(dāng)我們訪問網(wǎng)頁時(shí)，Web 服務(wù)器會向數(shù)據(jù)訪問層發(fā)起 SQL 查詢請求，如果權(quán)限驗(yàn)證通過就會執(zhí)行 SQL 語句。

一般來說，如果是正常使用是不會有什么危險(xiǎn)的，但是如果用戶輸入的數(shù)據(jù)被構(gòu)造成惡意 SQL 代碼，Web 應(yīng)用又未對動態(tài)構(gòu)造的 SQL 語句使用的參數(shù)進(jìn)行檢查，則會帶來意想不到的危險(xiǎn)!

廢話也不多說來，下面我們就一起來看看，黑客是如何繞過參數(shù)檢查，從而實(shí)現(xiàn)竊取數(shù)據(jù)的目的!

1. SQL 注入示例一：猜解數(shù)據(jù)庫

下面我們使用DVWA 滲透測試平臺，作為攻擊測試的目標(biāo)，讓你更加清楚的理解 SQL 注入猜解數(shù)據(jù)庫是如何發(fā)生的。

啟動服務(wù)之后，首先觀察瀏覽器中的URL，先輸入 1 ，查看回顯!

從圖中可以看出，ID : 1，F(xiàn)irst Name：admin，Surname：Admin信息!

那后臺執(zhí)行了什么樣的 SQL 語句呢?點(diǎn)擊view source查看源代碼 ，其中的 SQL 查詢代碼為：

SELECT first_name, last_name FROM users WHERE user_id = '1'; 

OK!

如果我們不按常理出牌，比如在輸入框中輸入1' order by 1#。

實(shí)際執(zhí)行的 SQL 語句就會變成這樣：

SELECT first_name, last_name FROM users WHERE user_id = '1' order by 1# 

這條語句的意思是查詢users表中user_id為1的數(shù)據(jù)并按第一字段排行。

其中#后面的 SQL 語句，都會當(dāng)作注釋進(jìn)行處理，不會被執(zhí)行!

輸入 1' order by 1#和 1' order by 2#時(shí)都能返回正常!

當(dāng)輸入1' order by 3#時(shí)，返回錯(cuò)誤!

由此得知，users表中只有兩個(gè)字段，數(shù)據(jù)為兩列!

接下來，我們玩點(diǎn)高級的!

我們使用union select聯(lián)合查詢繼續(xù)獲取信息!

直接在輸入框中輸入1' union select database(),user()#進(jìn)行查詢!

實(shí)際執(zhí)行的Sql語句是：

SELECT first_name, last_name FROM users WHERE user_id = '1' union select database(),user()#' 

通過返回信息，我們成功獲取到：

• 當(dāng)前網(wǎng)站使用數(shù)據(jù)庫為dvwa
• 當(dāng)前執(zhí)行查詢用戶名為root@localhost

接下來我們嘗試獲取dvwa數(shù)據(jù)庫中的表名!

在輸入框中輸入1' union select table_name,table_schema from information_schema.tables where table_schema= 'dvwa'#進(jìn)行查詢!

實(shí)際執(zhí)行的Sql語句是：

SELECT first_name, last_name FROM users WHERE user_id = '1' union select table_name,table_schema from information_schema.tables where table_schema= 'dvwa'#' 

通過上圖返回信息，我們再獲取到：dvwa 數(shù)據(jù)庫有兩個(gè)數(shù)據(jù)表，分別是 guestbook 和 users

可能有些同學(xué)還不夠滿足，接下來嘗試獲取重量級的用戶名、密碼!

根據(jù)經(jīng)驗(yàn)我們可以大膽猜測users表的字段為 user 和 password，所以輸入：1' union select user,password from users#進(jìn)行查詢：

實(shí)際執(zhí)行的Sql語句是：

SELECT first_name, last_name FROM users WHERE user_id = '1' union select user,password from users#' 

可以看到成功爆出了用戶名、密碼，密碼通過猜測采用 md5 進(jìn)行加密，可以直接到www.cmd5.com網(wǎng)站進(jìn)行解密。

2. SQL 注入示例二：驗(yàn)證繞過

接下來我們再試試另一個(gè)利用 SQL 漏洞繞過登錄驗(yàn)證的示例!

這是一個(gè)普通的登錄頁面，只要輸入正確的用戶名和密碼就能登錄成功。

我們先嘗試隨意輸入用戶名 123 和密碼 123 登錄!

好像不太行，登錄被攔截，從錯(cuò)誤頁面中我們無法獲取到任何信息!

點(diǎn)擊view source查看源代碼 ，其中的 SQL 查詢代碼為：

select * from users where username='123' and password='123' 

按照上面示例的思路，我們嘗試在用戶名中輸入 123' or 1=1 #, 密碼同樣輸入 123' or 1=1 #。

恭喜你，登錄成功!

為什么能夠登陸成功呢?實(shí)際執(zhí)行的語句是：

select * from users where username='123' or 11=1 #' and password='123' or 11=1 #' 

按照 Mysql 語法，# 后面的內(nèi)容會被忽略，所以以上語句等同于：

select * from users where username='123' or 11=1 

由于判斷語句 or 1=1 恒成立，所以結(jié)果當(dāng)然返回真，成功登錄!

我們再嘗試不使用 # 屏蔽單引號，在用戶名中輸入 123' or '1'='1, 密碼同樣輸入 123' or '1'='1。

依然能夠成功登錄，實(shí)際執(zhí)行的 SQL 語句是：

select * from users where username='123' or '1'='1' and password='123' or '1'='1' 

兩個(gè) or 語句使 and 前后兩個(gè)判斷永遠(yuǎn)恒等于真，所以能夠成功登錄!

3. SQL 注入示例三：判斷注入點(diǎn)

通常情況下，可能存在 SQL 注入漏洞的 Url 是類似這種形式 ：http://xxx.xxx.xxx/abcd.php?id=XX。

對 SQL 注入的判斷，主要有兩個(gè)方面：

• 判斷該帶參數(shù)的 Url 是否可以進(jìn)行 SQL 注入
• 如果存在 SQL 注入，那么屬于哪種 SQL 注入

可能存在 SQL 注入攻擊的動態(tài)網(wǎng)頁中，一個(gè)動態(tài)網(wǎng)頁中可能只有一個(gè)參數(shù)，有時(shí)可能有多個(gè)參數(shù)。有時(shí)是整型參數(shù)，有時(shí)是字符串型參數(shù)，不能一概而論。

總之，只要是帶有參數(shù)的動態(tài)網(wǎng)頁且此網(wǎng)頁訪問了數(shù)據(jù)庫，那么就有可能存在 SQL 注入。

例如現(xiàn)在有這么一個(gè) URL 地址：http://xxx/abc.php?id=1

首先根據(jù)經(jīng)驗(yàn)猜測，它可能執(zhí)行如下語句進(jìn)行查詢：

select * from <表名> where id = x 

因此，在 URL 地址欄中輸入http://xxx/abc.php?id= x and '1'='1頁面依舊運(yùn)行正常，繼續(xù)進(jìn)行下一步!

當(dāng)然不帶參數(shù)的 URL 也未必是安全的，現(xiàn)在有很多第三方的工具，例如postman工具，一樣可以模擬各種請求!

黑客們在攻擊的時(shí)候，同樣會使用各種假設(shè)法來驗(yàn)證自己的判斷!

三、如何預(yù)防 SQL 注入呢

上文中介紹的 SQL 攻擊場景都比較基礎(chǔ)，只是簡單的向大家介紹一下!

那對于這種黑客攻擊，我們有沒有什么辦法呢?

答案肯定是有的，就是對前端用戶輸入的所有的參數(shù)進(jìn)行審查，最好是全文進(jìn)行判斷或者替換!

例如，當(dāng)用戶輸入非法字符的時(shí)候，使用正則表達(dá)式進(jìn)行匹配判斷!

private String CHECKSQL = "^(.+)\\sand\\s(.+)|(.+)\\sor(.+)\\s$"; 
Pattern.matches(CHECKSQL,targerStr); 

或者，全局替換，都可以!

public static String TransactSQLInjection(String sql) { 
   return sql.replaceAll(".*([';]+|(--)+).*", " ");    
} 

還可以采用預(yù)編譯的語句集!

例如當(dāng)使用Mybatis的時(shí)候，盡可能的用#{}語法來傳參數(shù)，而不是${}!

舉個(gè)例子!

如果傳入的username 為 a' or '1=1,那么使用 ${} 處理后直接替換字符串的sql就解析為

select * from t_user where username = 'a' or '11=1' 

這樣的話所有的用戶數(shù)據(jù)就被查出來了，就屬于 SQL 注入!

如果使用#{}，經(jīng)過 sql動態(tài)解析和預(yù)編譯，會把單引號轉(zhuǎn)義為 \'，SQL 最終解析為

select * from t_user where username = "a\' or \'1=1 " 

這樣會查不出任何數(shù)據(jù)，有效阻止 SQL 注入!