WEB 漏洞 - SQL 注入之 MySQL 注入深度解析

目录

WEB 漏洞 - SQL 注入之 MySQL 注入深度解析

一、从宇宙奇想到 SQL 注入

二、SQL 注入原理回顾

（一）基本概念

（二）以简单 PHP 代码示例说明

三、MySQL 注入步骤

（一）确定注入点

（二）判断注入类型

（三）利用注入获取信息或执行恶意操作

四、防御 MySQL 注入的方法

（一）使用参数化查询

（二）输入验证与过滤

（三）最小权限原则

在网络安全的奇妙世界里，我们就像在宇宙中探索未知一样，不断挖掘各种隐藏的奥秘。今天，我们要深入探讨 WEB 漏洞中 SQL 注入在 MySQL 环境下的相关内容。

一、从宇宙奇想到 SQL 注入

在开始技术讲解之前，我们先来聊聊一些有趣的宇宙遐想。就像我们在视频中提到的，宇宙中可能存在着各种超出我们想象的现象和生物。人类的感知是有限的，我们只能看到电磁波中的可见光，就像存在着其他智慧生物，它们可能就在我们身边，却因为我们无法感知而不被发现。这种感知的局限和未知，其实和 SQL 注入在某些方面有相似之处。SQL 注入往往隐藏在看似正常的代码和交互中，就像那些隐藏在黑暗中的宇宙奥秘一样，需要我们深入挖掘才能发现。

二、SQL 注入原理回顾

（一）基本概念

SQL 注入是一种恶意攻击技术，攻击者通过在输入字段中注入恶意的 SQL 语句，利用程序对用户输入数据验证不足或不当的漏洞，从而达到破坏数据库或获取敏感信息的目的。

（二）以简单 PHP 代码示例说明

以下是一个常见的 PHP 代码示例，展示了 SQL 注入可能出现的情况：

<?php
$id = $_REQUEST['id'];
$query = "SELECT * FROM users WHERE id = $id LIMIT 0,1";
$result = mysql_query($query);
while ($row = mysql_fetch_array($result)) {
    // 展示数据逻辑
}
?>

在这个代码中，$id是从请求中获取的参数，并且直接拼接到了 SQL 查询语句中。正常情况下，它会按照预期查询数据库中的数据。但如果攻击者在id参数中注入恶意 SQL 语句，比如1 OR 1=1，那么查询语句就会变成SELECT * FROM users WHERE id = 1 OR 1=1 LIMIT 0,1，这可能导致查询出所有用户的数据，从而造成数据泄露。

三、MySQL 注入步骤

（一）确定注入点

1. URL 参数分析
   仔细观察网页的 URL，查找那些接受用户输入作为参数的部分。例如，http://example.com/index.php?id=2018中的id参数就是一个可能的注入点。可以通过手动修改参数值，添加一些特殊字符（如单引号、双引号、分号等），观察网页的反应，看是否有报错信息或者异常行为。
2. POST 数据检查
   对于通过 POST 方法提交数据的表单（如登录表单），可以使用工具（如 Burp Suite）来拦截和修改 POST 数据。尝试在用户名、密码等字段中注入恶意 SQL 语句，观察服务器的响应。以下是一个简单的 Python 代码示例，用于模拟通过 POST 方式发送包含恶意 SQL 语句的数据（仅作示例，实际应用中不应该进行非法攻击）：

import requests

url = "http://example.com/login"
data = {
    "username": "admin",
    "password": "admin' OR '1'='1"
}
response = requests.post(url, data=data)
print(response.text)

（二）判断注入类型

1. 基于回显的注入判断
   如果注入的 SQL 语句执行后，服务器将查询结果在页面中显示出来，那么就是基于回显的注入。可以通过构造简单的查询语句，如1' UNION SELECT 1,2,3 --（假设是在数字类型的字段注入，--用于注释掉后面的 SQL 语句），看页面是否有额外的数字显示。如果有，则可能是基于回显的注入。
2. 盲注判断（布尔盲注和时间盲注）
   • 布尔盲注：当注入 SQL 语句后，页面不会直接显示查询结果，但可以通过页面的不同反应（如正常显示或报错）来推断 SQL 语句的执行情况。例如，可以构造条件判断语句1' AND (SELECT COUNT(*) FROM users) > 0 --（假设users表存在），如果页面正常显示，说明users表中的记录数大于 0。通过不断修改条件，可以逐步猜解数据库中的信息。
   • 时间盲注：利用数据库函数（如 MySQL 中的SLEEP()函数）来使数据库查询延迟执行。例如，构造语句1' AND IF((SELECT COUNT(*) FROM users) > 0, SLEEP(5), 0) --，如果页面响应时间明显延迟，说明users表中的记录数大于 0。通过这种方式，可以在没有回显内容的情况下获取数据库信息。

（三）利用注入获取信息或执行恶意操作

1. 基于回显注入的信息获取
   如果是基于回显的注入，可以使用UNION操作符来联合查询其他表的信息。例如，1' UNION SELECT username, password, email FROM users --（假设users表有username、password和email字段），这样就可以获取用户的登录信息。
2. 盲注的信息猜解
   对于盲注，无论是布尔盲注还是时间盲注，都需要编写脚本来自动化猜解数据库中的信息。以下是一个简单的 Python 示例脚本，用于布尔盲注猜解数据库名长度（仅作示例，实际应用中可能更复杂）：

import requests

url = "http://example.com/vulnerable_page.php"
length = 0
for i in range(1, 100):  # 假设数据库名长度不超过 100
    payload = "1' AND (LENGTH(DATABASE()))={} --".format(i)
    data = {"id": payload}  # 假设注入点是 id 参数
    response = requests.post(url, data=data)
    if "正常页面内容" in response.text:  # 根据正常页面内容的标识来判断条件是否成立
        length = i
        break
print("数据库名长度:", length)

四、防御 MySQL 注入的方法

（一）使用参数化查询

在后端代码中，使用参数化查询是防止 SQL 注入的有效方法。以 Java 和 JDBC 为例，以下是一个安全的查询示例：

String sql = "SELECT * FROM users WHERE username =? AND password =?";
PreparedStatement statement = connection.prepareStatement(sql);
statement.setString(1, username);
statement.setString(2, password);
ResultSet resultSet = statement.executeQuery();

在这个代码中，?是参数占位符，通过setString等方法设置参数的值。这样，用户输入的值就不会被当作 SQL 语句的一部分进行解析，从而避免了 SQL 注入。

（二）输入验证与过滤

对用户输入的数据进行严格的验证和过滤。例如，对于数字类型的输入，只允许输入数字；对于字符串类型的输入，可以使用正则表达式等方法来检查是否包含恶意的 SQL 关键字或特殊字符。以下是一个简单的 Java 示例，用于过滤 SQL 注入相关的特殊字符：

public static boolean isSafe(String input) {
    String[] maliciousKeywords = {"SELECT", "INSERT", "UPDATE", "DELETE", "DROP", "UNION"};
    for (String keyword : maliciousKeywords) {
        if (input.toUpperCase().contains(keyword)) {
            return false;
        }
    }
    return true;
}

（三）最小权限原则

在数据库中，为应用程序使用的账户分配最小的权限。例如，只允许执行必要的查询操作，不赋予其创建表、删除表等危险操作的权限。这样，即使发生 SQL 注入，攻击者也无法对数据库造成太大的破坏。

希望通过以上对 MySQL 注入的详细讲解，包括从宇宙奇想到技术原理、步骤和防御方法，能让大家更好地理解和应对这种 WEB 漏洞，就像我们在探索宇宙奥秘一样，逐步揭开 SQL 注入的神秘面纱，保障我们的网络安全。同时，要注意所有的测试和学习都应该在合法合规的环境下进行，不要进行非法的攻击行为。