4

所以我一直在尝试复制二阶 SQL 注入。这是我准备的两个基于 php 的站点的示例模板。我们就叫它选民登记表吧。用户可以注册，然后您可以检查您是否是注册选民。

插入.php

<?php

$db_selected = mysql_select_db('canada',$conn);
if (!db_selected)
    die("can't use mysql: ". mysql_error());

$sql_statement = "INSERT into canada (UserID,FirstName,LastName,Age,State,Town)
                    values ('".mysql_real_escape_string($_REQUEST["UserID"])."',
                    '".mysql_real_escape_string($_REQUEST["FirstName"])."',
                    '".mysql_real_escape_string($_REQUEST["LastName"])."',
                    ".intval($_REQUEST["Age"]).",
                    '".mysql_real_escape_string($_REQUEST["State"])."',
                    '".mysql_real_escape_string($_REQUEST["Town"])."')";

echo "You ran the sql query=".$sql_statement."<br/>";
$qry = mysql_query($sql_statement,$conn) || die (mysql_error());
mysql_close($conn);
Echo "Data inserted successfully";
}
?>

选择.php

<?php


$db_selected = mysql_select_db('canada', $conn);
if(!db_selected)
    die('Can\'t use mysql:' . mysql_error());
$sql = "SELECT * FROM canada WHERE UserID='".addslashes($_POST["UserID"])."'";
echo "You ran the sql query=".$sql."<br/>";
$result = mysql_query($sql,$conn);
$row=mysql_fetch_row($result);

$sql1 = "SELECT * FROM canada WHERE FirstName = '".$row[1]."'";
echo "The web application ran the sql query internally=" .$sql1. "<br/>";
$result1 = mysql_query($sql1, $conn);
$row1 = mysql_fetch_row($result1);

mysql_close($conn);
echo "<br><b><center>Database Output</center></b><br><br>";

echo "<br>$row1[1] $row1[2] , you are a voter! <br>";

echo "<b>VoterID: $row[0]</b><br>First Name: $row[1]<br>Last Name: $row[2]
    <br>Age: $row[3]<br>Town: $row[4]<br>State: $row[5]<br><hr><br>";
}
?>

所以我故意让这个易受攻击来展示二阶 SQL 注入是如何工作的，用户可以在名字部分输入代码（我目前被卡住了，我尝试了很多不同的方法，但似乎我无法得到它可以做任何事情）。然后当一个人想要激活他在名字部分插入的代码时，他只需输入用户ID，代码就会被插入。

例如：我将在 insert.php 页面中键入：userid = 17

名字=（我需要在这里注入一些东西）

姓氏 = ..

年龄=..

镇=..

状态 = ..

然后当我检查我的详细信息并输入 17 时，注入的 SQL 脚本将被激活。我可以举几个例子来说明我可以通过这个展示什么样的漏洞吗？

4

2 回答 2

4

有什么可以证明的？

二阶SQL注入无非就是SQL注入，但不安全的代码不是第一行。

所以，为了证明：

1) 创建一个 SQL 注入字符串，该字符串在执行时会做一些不需要的事情而不会转义。

2）将该字符串安全地存储在您的数据库中（带有转义）。

3）让你的代码的其他部分获取该字符串，并在其他地方使用它而不转义。

编辑：添加了一些示例代码：

一张桌子：

CREATE TABLE tblUsers (
  userId serial PRIMARY KEY,
  firstName TEXT
)

假设你有一些像这样的安全代码，从表单中接收名字：

$firstname = someEscapeFunction($_POST["firstname"]);

$SQL = "INSERT INTO tblUsers (firstname) VALUES ('{$firstname }');";
someConnection->execute($SQL);

到目前为止，一切都很好，假设 someEscapeFunction() 做得很好。无法注入 SQL。

如果我将以下行作为 firstname 的值发送，您不会介意：

布拉'); 从 tblUsers 中删除；//

现在，假设同一系统上的某个人想要将 firstName 从 tblUsers 传输到 tblWhatever，然后这样做：

$userid = 42;
$SQL = "SELECT firstname FROM tblUsers WHERE (userId={$userid})";
$RS = con->fetchAll($SQL);
$firstName = $RS[0]["firstName"];

然后将其插入 tblWhatever 而不转义：

$SQL = "INSERT INTO tblWhatever (firstName) VALUES ('{$firstName}');";

现在，如果 firstname 包含一些删除命令，它仍然会被执行。

于 2012-10-18T10:16:07.573 回答
3

使用以下名字：

' OR 1 OR '

这将在第二个 SQL 中产生一个 where 子句

WHERE FirstName = '' OR 1 OR ''

因此，结果将是表中的第一条记录。

通过添加 LIMIT 子句，您可以从表中提取所有行：

' OR 1 ORDER BY UserID ASC LIMIT 0, 1 --

显然它一次只会提取 1 行，因此您需要重复该操作并在 LIMIT 中增加 0。此示例使用注释--来终止剩余的 SQL，否则会导致查询失败，因为它会在您的 LIMIT 之后添加一个单引号。

上面是一个简单的例子，更复杂的攻击是使用 UNION SELECT，它可以让你通过使用 information_schema 访问整个数据库。

您也在addslashes()其中一个查询中使用。这不如mysql_real_escape_string()反过来安全：使用任何一个转义引号不如使用准备好的语句或参数化查询安全，例如在 PDO 或 MySQLi 中。

于 2012-10-18T10:31:30.403 回答