快捷導(dǎo)航

利用SQL注入漏洞登錄后臺(tái)的實(shí)現(xiàn)方法

更新時(shí)間：2012年01月12日 21:42:55 作者：

工作需要，得好好補(bǔ)習(xí)下關(guān)于WEB安全方面的相關(guān)知識(shí)，故撰此文，權(quán)當(dāng)總結(jié)，別無(wú)它意。讀這篇文章，我假設(shè)讀者有過(guò)寫(xiě)SQL語(yǔ)句的經(jīng)歷，或者能看得懂SQL語(yǔ)句

早在02年，國(guó)外關(guān)于SQL注入漏洞的技術(shù)文章已經(jīng)很多，而國(guó)內(nèi)在05年左右才開(kāi)始的。
　　如今，談SQL注入漏洞是否已是明日黃花，國(guó)內(nèi)大大小小的網(wǎng)站都已經(jīng)補(bǔ)上漏洞。但，百密必有一疏，入侵是偶然的，但安全絕對(duì)不是必然的。
　　前些天，網(wǎng)上傳得沸沸揚(yáng)揚(yáng)的“拖庫(kù)”事件給我們敲響了安全警鐘。
　　在開(kāi)發(fā)網(wǎng)站的時(shí)候，出于安全考慮，需要過(guò)濾從頁(yè)面?zhèn)鬟f過(guò)來(lái)的字符。通常，用戶(hù)可以通過(guò)以下接口調(diào)用數(shù)據(jù)庫(kù)的內(nèi)容：URL地址欄、登陸界面、留言板、搜索框等。這往往給駭客留下了可乘之機(jī)。輕則數(shù)據(jù)遭到泄露，重則服務(wù)器被拿下。
現(xiàn)在，很多網(wǎng)站開(kāi)發(fā)人員知其然而不知其所以然，小弟也是，所以趕緊惡補(bǔ)下，總結(jié)如學(xué)習(xí)內(nèi)容。希望對(duì)初學(xué)者能夠起到拋磚引玉的作用。
一、SQL注入的步驟
a) 尋找注入點(diǎn)(如：登錄界面、留言板等)
b) 用戶(hù)自己構(gòu)造SQL語(yǔ)句(如：' or 1=1#，后面會(huì)講解)
c) 將sql語(yǔ)句發(fā)送給數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)
d) DBMS接收請(qǐng)求，并將該請(qǐng)求解釋成機(jī)器代碼指令，執(zhí)行必要的存取操作
e) DBMS接受返回的結(jié)果，并處理，返回給用戶(hù)
因?yàn)橛脩?hù)構(gòu)造了特殊的SQL語(yǔ)句，必定返回特殊的結(jié)果(只要你的SQL語(yǔ)句夠靈活的話)。
下面，我通過(guò)一個(gè)實(shí)例具體來(lái)演示下SQL注入
二、SQL注入實(shí)例詳解(以上測(cè)試均假設(shè)服務(wù)器未開(kāi)啟magic_quote_gpc)
1) 前期準(zhǔn)備工作
先來(lái)演示通過(guò)SQL注入漏洞，登入后臺(tái)管理員界面
首先，創(chuàng)建一張?jiān)囼?yàn)用的數(shù)據(jù)表：

復(fù)制代碼代碼如下:

 
CREATE TABLE `users` ( 
`id` int(11) NOT NULL AUTO_INCREMENT, 
`username` varchar(64) NOT NULL, 
`password` varchar(64) NOT NULL, 
`email` varchar(64) NOT NULL, 
PRIMARY KEY (`id`), 
UNIQUE KEY `username` (`username`) 
) ENGINE=MyISAM AUTO_INCREMENT=3 DEFAULT CHARSET=latin1; 

添加一條記錄用于測(cè)試：

復(fù)制代碼代碼如下:

 
INSERT INTO users (username,password,email) 
VALUES('MarcoFly',md5('test'),'marcofly@test.com'); 

接下來(lái)，貼上登錄界面的源代碼：

復(fù)制代碼代碼如下:

 
<html> 
<head> 
<title>Sql注入演示</title> 
<meta http-equiv="content-type" content="text/html;charset=utf-8"> 
</head> 
<body > 
<form action="validate.php" method="post"> 
<fieldset > 
<legend>Sql注入演示</legend> 
<table> 
<tr> 
<td>用戶(hù)名：</td><td><input type="text" name="username"></td> 
</tr> 
<tr> 
<td>密&nbsp;&nbsp;碼：</td><td><input type="text" name="password"></td> 
</tr> 
<tr> 
<td><input type="submit" value="提交"></td><td><input type="reset" value="重置"></td> 
</tr> 
</table> 
</fieldset> 
</form> 
</body> 
</html> 

附上效果圖：

當(dāng)用戶(hù)點(diǎn)擊提交按鈕的時(shí)候，將會(huì)把表單數(shù)據(jù)提交給validate.php頁(yè)面，validate.php頁(yè)面用來(lái)判斷用戶(hù)輸入的用戶(hù)名和密碼有沒(méi)有都符合要求（這一步至關(guān)重要，也往往是SQL漏洞所在）
代碼如下：

復(fù)制代碼代碼如下:

 
<html> 
<head> 
<title>登錄驗(yàn)證</title> 
<meta http-equiv="content-type" content="text/html;charset=utf-8"> 
</head> 
<body> 
<?php 
$conn=@mysql_connect("localhost",'root','') or die("數(shù)據(jù)庫(kù)連接失??！");; 
mysql_select_db("injection",$conn) or die("您要選擇的數(shù)據(jù)庫(kù)不存在"); 
$name=$_POST['username']; 
$pwd=$_POST['password']; 
$sql="select * from users where username='$name' and password='$pwd'"; 
$query=mysql_query($sql); 
$arr=mysql_fetch_array($query); 
if(is_array($arr)){ 
header("Location:manager.php"); 
}else{ 
echo "您的用戶(hù)名或密碼輸入有誤，<a href=\"Login.php\">請(qǐng)重新登錄！</a>"; 
} 
?> 
</body> 
</html> 

注意到了沒(méi)有，我們直接將用戶(hù)提交過(guò)來(lái)的數(shù)據(jù)(用戶(hù)名和密碼)直接拿去執(zhí)行，并沒(méi)有實(shí)現(xiàn)進(jìn)行特殊字符過(guò)濾，待會(huì)你們將明白，這是致命的。
代碼分析：如果，用戶(hù)名和密碼都匹配成功的話，將跳轉(zhuǎn)到管理員操作界面(manager.php)，不成功，則給出友好提示信息。
登錄成功的界面：

登錄失敗的提示：

到這里，前期工作已經(jīng)做好了，接下來(lái)將展開(kāi)我們的重頭戲：SQL注入
2) 構(gòu)造SQL語(yǔ)句
填好正確的用戶(hù)名(marcofly)和密碼(test)后，點(diǎn)擊提交，將會(huì)返回給我們“歡迎管理員”的界面。
因?yàn)楦鶕?jù)我們提交的用戶(hù)名和密碼被合成到SQL查詢(xún)語(yǔ)句當(dāng)中之后是這樣的：
select * from users where username='marcofly' and password=md5('test')
很明顯，用戶(hù)名和密碼都和我們之前給出的一樣，肯定能夠成功登陸。但是，如果我們輸入一個(gè)錯(cuò)誤的用戶(hù)名或密碼呢？很明顯，肯定登入不了吧。恩，正常情況下是如此，但是對(duì)于有SQL注入漏洞的網(wǎng)站來(lái)說(shuō)，只要構(gòu)造個(gè)特殊的“字符串”，照樣能夠成功登錄。
比如：在用戶(hù)名輸入框中輸入:' or 1=1#,密碼隨便輸入，這時(shí)候的合成后的SQL查詢(xún)語(yǔ)句為：
select * from users where username='' or 1=1#' and password=md5('')
語(yǔ)義分析：“#”在mysql中是注釋符，這樣井號(hào)后面的內(nèi)容將被mysql視為注釋內(nèi)容，這樣就不會(huì)去執(zhí)行了，換句話說(shuō)，以下的兩句sql語(yǔ)句等價(jià)：

復(fù)制代碼代碼如下:

select * from users where username='' or 1=1#' and password=md5('')

等價(jià)于

復(fù)制代碼代碼如下:

select * from users where username='' or 1=1

因?yàn)?=1永遠(yuǎn)是都是成立的，即where子句總是為真，將該sql進(jìn)一步簡(jiǎn)化之后，等價(jià)于如下select語(yǔ)句：
select * from users
沒(méi)錯(cuò)，該sql語(yǔ)句的作用是檢索users表中的所有字段
小技巧：如果不知道' or 1=1#中的單引號(hào)的作用，可以自己echo 下sql語(yǔ)句，就一目了然了。
看到了吧，一個(gè)經(jīng)構(gòu)造后的sql語(yǔ)句竟有如此可怕的破壞力，相信你看到這后，開(kāi)始對(duì)sql注入有了一個(gè)理性的認(rèn)識(shí)了吧~
沒(méi)錯(cuò)，SQL注入就是這么容易。但是，要根據(jù)實(shí)際情況構(gòu)造靈活的sql語(yǔ)句卻不是那么容易的。有了基礎(chǔ)之后，自己再去慢慢摸索吧。
有沒(méi)有想過(guò)，如果經(jīng)由后臺(tái)登錄窗口提交的數(shù)據(jù)都被管理員過(guò)濾掉特殊字符之后呢？這樣的話，我們的萬(wàn)能用戶(hù)名' or 1=1#就無(wú)法使用了。但這并不是說(shuō)我們就毫無(wú)對(duì)策，要知道用戶(hù)和數(shù)據(jù)庫(kù)打交道的途徑不止這一條。
更多關(guān)于SQL注入的信息請(qǐng)看我的另一篇博文：利用SQL注入漏洞拖庫(kù)
原創(chuàng)文章：WEB開(kāi)發(fā)_小飛
轉(zhuǎn)載請(qǐng)注明：http://www.cnblogs.com/hongfei/archive/2012/01/12/sql-injection-tuoku.html

您可能感興趣的文章: