Java自学者论坛

 找回密码
 立即注册

手机号码,快捷登录

恭喜Java自学者论坛(https://www.javazxz.com)已经为数万Java学习者服务超过8年了!积累会员资料超过10000G+
成为本站VIP会员,下载本站10000G+会员资源,会员资料板块,购买链接:点击进入购买VIP会员

JAVA高级面试进阶训练营视频教程

Java架构师系统进阶VIP课程

分布式高可用全栈开发微服务教程Go语言视频零基础入门到精通Java架构师3期(课件+源码)
Java开发全终端实战租房项目视频教程SpringBoot2.X入门到高级使用教程大数据培训第六期全套视频教程深度学习(CNN RNN GAN)算法原理Java亿级流量电商系统视频教程
互联网架构师视频教程年薪50万Spark2.0从入门到精通年薪50万!人工智能学习路线教程年薪50万大数据入门到精通学习路线年薪50万机器学习入门到精通教程
仿小米商城类app和小程序视频教程深度学习数据分析基础到实战最新黑马javaEE2.1就业课程从 0到JVM实战高手教程MySQL入门到精通教程
查看: 13|回复: 0

Web系统常见安全漏洞及解决方案-SQL盲注

[复制链接]
  • TA的每日心情
    奋斗
    昨天 21:54
  • 签到天数: 95 天

    [LV.6]常住居民II

    1378

    主题

    1435

    帖子

    5万

    积分

    管理员

    Rank: 9Rank: 9Rank: 9

    积分
    50644
    发表于 2021-6-14 13:59:27 | 显示全部楼层 |阅读模式

    关于web安全测试,目前主要有以下几种攻击方法:

    1.XSS

    2.SQL注入

    3.跨目录访问

    4.缓冲区溢出

    5.cookies修改

    6.Htth方法篡改(包括隐藏字段修改和参数修改)

    7.CSRF

    8.CRLF

    9.命令行注入

    今天主要讲下SQL盲注。

    一、SQL 盲注、发现数据库错误模式、跨站点脚本编制

     

    严重性:

    类型:

    应用程序级别测试

    WASC威胁分类:

    命令执行类型:SQL 注入

    CVE 引用:

    不适用

    安全风险:

    1.      可能会查看、修改或删除数据库条目和表   ---SQL盲注

    2.      可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看或变更用户记录以及执行事务    ---跨站的脚本编制

     

    发现数据库错误模式、跨站点脚本编制都是此类行Bug

    l          可能原因

    1.       未对用户输入正确执行危险字符清理 

    l          技术描述

    AppScan 在测试响应中发现到“SQL 注入以外的攻击所触发的数据库错误  虽然不确定,但这个错误可能表示应用程序有“SQL 注入漏洞。

    Web 应用程序通常在后端使用数据库,以与企业数据仓库交互。查询数据库事实上的标准语言是 SQL(各大数据库供应商都有自己的不同版本)。Web 应用程序通常会获取用户输入(取自 HTTP 请求),将它并入 SQL 查询中,然后发送到后端数据库。接着应用程序便处理查询结果,有时会向用户显示结果。  如果应用程序对用户(攻击者)的输入处理不够小心,攻击者便可以利用这种操作方式。在此情况下,攻击者可以注入恶意的数据,当该数据并入 SQL 查询中时,就将查询的原始语法更改得面目全非。例如,如果应用程序使用用户的输入(如用户名和密码)来查询用户帐户的数据库表,以认证用户,而攻击者能够将恶意数据注入查询的用户名部分(和/或密码部分),查询便可能更改成完全不同的数据复制查询,可能是修改数据库的查询,或在数据库服务器上运行 Shell 命令的查询。  一般而言,攻击者会分步实现这个目标。他会先学习 SQL 查询的结构,然后使用该知识来阻挠查询(通过注入更改查询语法的数据),使执行的查询不同于预期。假设相关查询是:  SELECT COUNT(*) FROM accounts WHERE username='$user' AND password='$pass' 
    其中 $user  $pass 是用户输入(从调用构造查询的脚本的 HTTP 请求收集而来  可能是来自 GET 请求查询参数,也可能是来自POST 请求主体参数)。此查询的一般用法,其值为 $user=john$password=secret123。形成的查询如下:SELECT COUNT(*) FROM accounts WHERE username='john' AND password='secret123' 
    如果数据库中没有这个用户密码配对,预期的查询结果便是 0,如果此类配对存在(也就是数据库中有名称为“john”的用户,且其密码为“secret123”),结果便是 >0。这是应用程序的基本认证机制。但攻击者可以用下列方式来更改此查询:  攻击者可以提供单引号字符(')所组成的输入,使数据库发出错误消息,其中通常包含关于 SQL 查询的有价值的信息。攻击者只需在发送的请求中包含用户值 ',并在密码中包含任何值(如 foobar)。结果便是下列(格式错误)的 SQL 查询:SELECT COUNT(*) FROM accounts WHERE username=''' AND password='foobar' 
    这可能会产生以下错误消息(取决于后端所使用的特定数据库):查询表达式 'username = ''' AND password = 'foobar'' 中发生语法错误(遗漏运算符)。  这时攻击者便得知查询是根据表达式 username='$user' AND password='$pass' 来构建的。利用手边的 SQL 查询时需要这一关键信息。攻击者了解查询的格式后,下一步只需使用: 
    user = ' or 1=1 or ''=' password = foobar  生成的查询如下: 
    SELECT COUNT(*) FROM accounts WHERE username='' or 1=1 or ''='' AND password='foobar'  这表示查询(在 SQL 数据库中)对于“accounts”表的每项记录都会返回 TRUE,因为 1=1 表达式永远为真。因此,查询会返回“accounts”中的记录数量,于是用户(攻击者)也会被视为有效。这个探测方法有若干变体,例如,发送 '; or /'(您应该记住,几乎所有供应商都有他们自己唯一的 SQL“版本。具体地说,发送 ' having 1=1,也会生成错误消息,此消息会泄露有关列名称的信息。在某些情况下,用户输入不会并入字符串上下文(用单引号括住),而是并入数字上下文,换言之,就是依现状嵌入。因此,在这种情况下,可以使用输入字符串 1 having 1=1  盲目 SQL 注入技术:  
    降低 SQL 注入攻击风险的一般方式,是禁止详细的 SQL 错误消息,攻击者通常便利用这些消息(如上述示例所说明),轻易找出容易遭受“SQL 注入的脚本。  这个(以遮盖获取安全)解决方案可以利用称为盲目 SQL 注入的技术来略过,黑客不需要依赖返回 SQL 错误消息,便能找出容易遭受“SQL 注入的脚本。 
    这项技术需要发送易受攻击的参数(被嵌入在 SQL 查询中的参数)已被修改的请求,将参数修改成,使响应指出是否在 SQL 查询上下文中使用数据。这项修改包括搭配原始字符串来使用 AND Boolean 表达式,使它一时得出 true,一时得出 false。在一种情况中,最终结果应该与原始结果相同(例如:登录成功),在另一情况中,结果应该不同(例如:登录失败)。在某些少见的情况中,得出 true  OR 表达式也很有用。  如果原始数据是数字,可以耍较简单的花招。原始数据(如 123)可以在一个请求中替换为 0+123,在另一个请求中替换为456+123。第一个请求的结果应该与原始结果相同,第二个请求的结果应该不同(因为得出的数字是 579)。在某些情况中,我们仍需要上面所说明的攻击版本(使用 AND  OR),但并不转义字符串上下文。  盲目 SQL 注入背后的概念是,即使未直接收到数据库的数据(以错误消息或泄漏信息的形式),也可能抽取数据库中的数据,每次一个位,或以恶意方式修改查询。观念在于,应用程序行为(结果与原始结果相同,或结果与原始结果不同)可以提供关于所求值(已修改)之查询的单位元相关信息,也就是说,攻击者有可能规划出以应用程序行为(相同/不同于原始行为)的形式来影响其求值(单位元)的 SQL Boolean 表达式。

    l          受影响产品

    该问题可能会影响各种类型的产品。

    l          引用和相关链接

    § “Web 应用程序分解与 ODBC 错误消息(作者:David Litchfield):

    §             搭配 SQL 注入使用二分搜索法(作者:Sverre H. Huseby

    §             盲目 SQL 注入培训模块

     

    二、修改建议

    一般

    若干问题的补救方法在于对用户输入进行清理。  通过验证用户输入未包含危险字符,便可能防止恶意的用户导致应用程序执行计划外的任务,例如:启动任意 SQL 查询、嵌入将在客户端执行的 Javascript. 代码、运行各种操作系统命令,等等。  建议过滤出所有以下字符:

    [1] |(竖线符号)[2] & 符号)[3];(分号)[4] $(美元符号)[5] %(百分比符号)[6] @at 符号)

    哎...今天够累的,签到来了1...
    回复

    使用道具 举报

    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    QQ|手机版|小黑屋|Java自学者论坛 ( 声明:本站文章及资料整理自互联网,用于Java自学者交流学习使用,对资料版权不负任何法律责任,若有侵权请及时联系客服屏蔽删除 )

    GMT+8, 2021-8-3 09:41 , Processed in 0.077350 second(s), 29 queries .

    Powered by Discuz! X3.4

    Copyright © 2001-2020, Tencent Cloud.

    快速回复 返回顶部 返回列表