初心者レベルのチュートリアル-DVWA完全なチュートリアルのSQLインジェクション

その他 2019-06-17 09:17:10 訪問数: null

システム環境

dvwa上のインターネット関連情報は比較的古いので、私は、脆弱性の再住むそれぞれの種類しばらくdvwa、ついでに初期エントリPHPコードの監査関連の知識にしたいです。設置環境は、直接オンラインチュートリアル参照することができます初心者のためのガイドを：あなた自身の侵入テスト環境を構築する方法をあなたに教え、私たちは非常に詳細に書かれているし、ステップバイチュートリアルのステップに従って直接インストールすることができます。

簡単な紹介

SQLインジェクションは、それはSQLインジェクションでは、悪質なSQL文を実行するための目的を達成するために、SQLクエリ文の構造を破壊し、悪質なSQLコマンドを注入することにより、攻撃者を指します。SQLインジェクションの脆弱性被害が甚大で、多くの場合、データベース全体が「オフパンツ」である原因は、しかし、SQLインジェクションは、今も最も一般的なWeb脆弱性の一つです。別の後に非常に最近の火災事件の大使館が黒で、それはハッカーであることをすると、一般的なSQLインジェクションの脆弱性に依存することであると述べました。

アイデアのマニュアル注入

、SQLMAPもちろん使いやすいアーティファクトを自動化されたが、それでも手を注入し、手動の注入に続いては、ステップのいくつかを説明するいくつかのアイデアを持っている必要があります。
1は、注射があるかどうかを判断し、注入は、文字または数値である
フィールドのSQLクエリステートメント推測2.ソリューション
フィールドの表示順序を決定する3.
4.現在のデータベースを取得
データベーステーブルを取得5.
6.捕捉テーブルは、フィールド名
7.ダウンロードデータ
4レベルのコード分析以下


4267332-7fb997200eeb03ab.png
image.png

低サーバ側コアコード

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {
    // Get input
    $id = $_REQUEST[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Get values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
    }

    mysqli_close($GLOBALS["___mysqli_ston"]);
}

?>

任意のチェックおよび濾過明白なSQLインジェクションせずに、クライアントからのパラメータID低レベルのコードを見ることができます。
エクスプロイト
は、次の手順をに基づいてソースコードを見ることができない手動注入で推奨されているように、現実のシナリオでは、バックエンドのコードを参照することはできません
が注入されているかどうかを判断1.、注入は、文字または数値であります

4267332-cb054e172d7ae7ef.png
image.png

入力し 1'or'1'='1 たクエリの成功を。
4267332-f5770bee90b69a83.png
image.png

入力し 1'and'1'='2 たクエリが失敗し、リターンはnull
4267332-1fc0552cd938324e.png
image.png

プレゼンス噴射示す文字
2. SQLクエリ溶液中のフィールドの数を推測する
推測により順序によって
入力1'or 1＃によって1 = 1ため 、 クエリが成功しました
4267332-f11bc1d2228c790d.png
image.png

2＃による1'or 1 = 1順序を入力し、クエリが成功します
4267332-0868a61f17781b0a.png
image.png

入力を続行し、1'or 3＃による1 = 1順序、クエリが失敗します
4267332-b1a02732bda0df47.png
image.png

2つのフィールドのみでのSQLクエリの実行の説明は、これは、姓最初の名前です。ここにも労働組合を入力フィールドの数を推測するために1,2,3 ...ソリューションを選択することができます
のフィールドの表示順序を決定する3
入力1「組合を1,2＃を選択し、クエリが成功しました。
4267332-a4f93ba45953c954.png
image.png

表ID =「ID」....から姓SQL文の最初の名前SELECT、するための手順
4.現在のデータベースゲット
入力1「組合は1、データベース（選択 ）＃を、 クエリが成功します。
4267332-163f114a3406431e.png
image.png

現在のデータベースはdvwaです。
データベース内の捕捉テーブル
入力1「組合1、GROUP_CONCAT（選択 TABLE_SCHEMA =データベース（）＃INFORMATION_SCHEMA.TABLESからTABLE_NAME）を、 クエリが成功し
4267332-bca7a7825927f0e8.png
image.png

2つのデータベースのテーブルには、ユーザーは、ゲストブックの、現在ありません。
テーブルのフィールド名を取得6
入力1「組合は1、GROUP_CONCAT（選択ユーザー＃TABLE_NAME = information_schema.columnsからCOLUMN_NAME）」を、 クエリが成功しました。
4267332-1052898954cc3deb.png
image.png

テーブルには8つのフィールド、それぞれのuser_id、FIRST_NAME、LAST_NAME、_user、パスワード、アバター、LAST_LOGIN、failed_loginを持っています。
7.ダウンロードしたデータ
入力1「または1 = 1組合選択 GROUP_CONCAT（user_idは、FIRST_NAME、LAST_NAME）、GROUP_CONCAT（パスワードを）のユーザー＃から、クエリが成功します
4267332-e4463289bd24ece0.png
image.png

ミディアムコアコード・サーバー

<?php

if( isset( $_POST[ 'Submit' ] ) ) {
    // Get input
    $id = $_POST[ 'id' ];

    $id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);

    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query) or die( '<pre>' . mysqli_error($GLOBALS["___mysqli_ston"]) . '</pre>' );

    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Display values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
    }

}

// This is used later on in the index.php page
// Setting it here so we can close the database connection in here like in the rest of the source scripts
$query  = "SELECT COUNT(*) FROM users;";
$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );
$number_of_rows = mysqli_fetch_row( $result )[0];

mysqli_close($GLOBALS["___mysqli_ston"]);
?>

フロントページは、ユーザーの希望を制御するために、ドロップダウン選択形式を提供しながら、\のX1Aはエスケープ、中レベルの特殊記号\ X00をmysql_real_escape_stringの機能を使用してコード、\ nは、\ rを,,」、」見ることができます入力。


4267332-40e5d9a49a22c72c.png
image.png

エクスプロイト
フロントエンドは、ドロップダウン選択メニューを使用しますが、我々はまだ不正なクエリパラメータを提出し、キャプチャによってパラメータを変更することができますが。
1注射があるか否かを判定する、注射は、文字や数字、ある
捕捉パラメータIDは1「または1 = 1＃、所定の変更します


4267332-45a2eb7f335f1cde.png
image.png

エーテル、クエリが成功したパラメータIDが1または1 = 1＃で変更
4267332-c0846b0c01cf0279.png
image.png

説明は、デジタル型インプラントです。（それはデジタル型インプラントであるので、デジタル型インプラントは、引用符を使用する必要がないため、サーバ側mysql_real_escape_stringの関数は、空になるであろう。ので）
2. SQLクエリ溶液中のフィールドの数を推測
EtherealのパラメータIDを変更することは、3＃によって1次ですエラー


4267332-69b4dcb339355545.png
image.png

SQLクエリの実装では、ステートメント中国の2つのフィールドのみ、すなわち、ここでは最初の名前、姓をフィールド。
3のフィールドの表示順序を決定する
1,2＃を選択するパラメータID 1つの組合を変更するには、キャプチャを、クエリが成功しました。
4267332-b18794ce19d49782.png
image.png

SQLステートメントの実装はまず名前、テーブルのID = IDから姓を選択するために.... WHERE
4.取得し、現在のデータベースの
1つの組合へのキャプチャidパラメータの変更は1、データベース（）を選択し 、＃をクエリが成功しました。
4267332-57d93858d9bee043.png
image.png

dvwaの現在のデータベースの説明。
データベーステーブルへのアクセス

エーテルTABLE_SCHEMA =データベース（）＃INFORMATION_SCHEMA.TABLESからGROUP_CONCAT（TABLE_NAME）、パラメータIDは1つの組合は、1を選択している変更、クエリが成功しました。


4267332-2711daf946fc36b5.png
image.png

二つのテーブルdvwa説明データベース、およびゲストブックのユーザー
テーブル取得の6フィールド名
パラメータID 1組合へのキャプチャの変更1を選択し、GROUP_CONCAT（COLUMN_NAME information_schema.columns TABLE_NAME =「ユーザー」＃から）、 クエリが失敗しました。
4267332-f6509eb13d82ad4c.png
image.png

単一引用符ので「に変換されます。図16は、パラメータIDの変更キャプチャするために、バンドをバイパスするために利用することができる
GROUP_CONCAT（COLUMN_NAME、1を選択1組合を TABLE_NAME = 0×7573657273＃information_schema.columnsから）
4267332-e6a0143d6a4482f6.png
image.png

説明ユーザテーブルは8つのフィールド、それぞれのuser_id、FIRST_NAME、LAST_NAME、ユーザー、持っている パスワード、アバター、last_login、failed_loginを。
7.ダウンロードデータの
パラメータIDを変更するには、キャプチャが1または1 = 1組合選択GROUP_CONCATあるユーザー＃から（user_idは、FIRST_NAME、LAST_NAME）、GROUP_CONCAT（パスワード）、 クエリが成功します。
4267332-ca92c8e428f26d71.png
image.png

これは、FIRST_NAME、LAST_NAME、パスワードデータをUSER_IDすべてのユーザーのユーザーテーブルになりました。

ハイサーバー側のコアコード

<?php

if( isset( $_SESSION [ 'id' ] ) ) {
    // Get input
    $id = $_SESSION[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
    $result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( '<pre>Something went wrong.</pre>' );

    // Get results
    while( $row = mysqli_fetch_assoc( $result ) ) {
        // Get values
        $first = $row["first_name"];
        $last  = $row["last_name"];

        // Feedback for end user
        echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
    }

    ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);        
}

?>

これは、中レベルのコードに比べて見ることができ、ハイレベルの出力だけに一つだけの結果を制御することを期待して、SQLクエリ文で空腹LIMIT 1を追加します。
エクスプロイトは、
LIMIT 1を加算しながら、しかし、低レベルに似たので直接のデモ最後のステップ手動注入プロセスは、データ、入力1または1 = 1組合選択GROUP_CONCATをダウンロードするので、我々は＃は、それをコメントアウトすることができます （user_idは、FIRST_NAME、LAST_NAME ユーザーから）、GROUP_CONCAT（パスワード） ＃、 クエリが成功しました

特別な言及が表示されたページが同じではありませんハイレベルなクエリの提出と、検索結果ページで、また302回のジャンプを実行し、目的はありませんで、注入プロセスの間にSQLMAPため、一般的なSQLMAPインジェクションを防ぐためです提出されたクエリの結果ページ上のクエリは、何のフィードバック、およびなし、さらに注射アプローチがありません。


4267332-73ee36f48ea9c447.png

インポッシブルサーバーのコアコード

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

    // Get input
    $id = $_GET[ 'id' ];

    // Was a number entered?
    if(is_numeric( $id )) {
        // Check the database
        $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
        $data->bindParam( ':id', $id, PDO::PARAM_INT );
        $data->execute();
        $row = $data->fetch();

        // Make sure only 1 result is returned
        if( $data->rowCount() == 1 ) {
            // Get values
            $first = $row[ 'first_name' ];
            $last  = $row[ 'last_name' ];

            // Feedback for end user
            echo "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
        }
    }
}

// Generate Anti-CSRF token
generateSessionToken();

?>

あなたは「Tuokuを防ぐ効果的に、出力は成功します、クエリ結果の数は一瞬だけ返されながら、効果的に、SQLインジェクションを防ぐため、コードとデータのラインを引かれ、インポッシブルレベルのコードはPDO技術を使用して、見ることができます」、アンチCSRFtokenメカニズムは、さらに安全性を向上させるために添加します。

参考記事

おすすめ

転載: blog.csdn.net/weixin_33957648/article/details/90930498
おすすめ
ランキング
uni.request在接口状态码403等还是走success
Springboot は mybatisplus を統合しており、ページング クエリによって返される Page オブジェクトの合計は常に 0 です。
System.InvalidOperationExceptionが：「BuildWindowCoreは、子ウィンドウのハンドル搭乗を返しません。」
[Example 08] IPD system advancement: version naming rules for version management
カスタム NavigationBar -- UIView による描画
データとデータの移行を復元します（個人的なメモ、無用リーダー）
4. 2次元配列で検索する
vim的私人订制
Flutterのカスタムルーティング切り替えアニメーション
Javaコンテナの方法の簡単なアプリケーションのArrayList
アーカイブ
もっと
2024-05-12(27)
2024-05-11(31)
2024-05-10(33)
2024-05-09(30)
2024-05-08(18)
2024-05-07(34)
2024-05-06(6)
2024-05-05(0)
2024-05-04(18)
2024-05-03(8)

コードワールド

© 2018 codetd.com