SQL隱碼攻擊之二次注入（sql-lab第24關）

Waffle666發表於2020-12-22

什麼是二次注入

二次注入可以理解為，攻擊者構造的惡意資料儲存在資料庫後，惡意資料被讀取並進入到SQL查詢語句所導致的注入。防禦者可能在使用者輸入惡意資料時對其中的特殊字元進行了轉義處理，但在惡意資料插入到資料庫時被處理的資料又被還原並儲存在資料庫中，當web程式呼叫儲存在資料庫中的惡意資料並執行SQL查詢時，就發生了SQL二次注入。
在這裡插入圖片描述

二次注入原理分為兩步

二次注入，可以概括為以下兩步：
第一步：插入惡意資料
進行資料庫插入資料時，對其中的特殊字元進行了轉義處理，在寫入資料庫的時候又保留了原來的資料。

第二步：引用惡意資料
開發者預設存入資料庫的資料都是安全的，在進行查詢的時候，直接從資料庫中取出惡意資料，沒有進行進一步的檢驗的處理。

二次注入的過程

找到注入點
然後構造注入語句

以sql-lab第24關為例：

在這裡插入圖片描述
可以看到一個輸入框——》註冊一個新使用者

可以看到有一個abcd使用者，密碼是abcd
username：abcd’#（單引號來閉合前面的單引號，#註釋後面內容）
password：1234

登入：
username：abcd’#
password：1234

登入後出現如下效果：you are logged in
在這裡插入圖片描述

檢視一下
在這裡插入圖片描述

後臺程式碼

new_user.php


<?php
include '../sql-connections/sql-connect.php' ;
?>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" >
<html>
<head>
<meta http-equiv="content-type" content="text/html; charset=ISO-8859-1">
<title><?php echo $feedback_title_ns; ?> </title>
</head>

<body bgcolor="#000000">
<div align="right">
<a style="font-size:.8em;color:#FFFF00" href='index.php'><img src="../images/Home.png" height='45'; width='45'></br>HOME</a>
</div>
<font size="3" color="#FFFF00">
<div style="text-align:center">

<form name="mylogin" method="POST" action="login_create.php">

<h2 style="text-align:center;background-image:url('../images/Less-24-new-user.jpg');background-repeat:no-repeat;background-position:center center">
<div style="padding-top:300px;text-align:center;color:#FFFF00;"><?php echo $form_title_ns; ?></div>
</h2>

<div align="center">
<table style="margin-top:50px;">
<tr>
<td style="text-align:right">
<font size="3" color="#FFFF00">
<strong>Desired Username:</strong></font>
</td>
	<td style="text-align:left">
		<input name="username" id="username" type="text" value="" /> 
	</td>
</tr>
<tr>
<td style="text-align:right">
<font size="3" color="#FFFF00">
	<strong>Password:</strong>
</font>
</td>
<td style="text-align:left">
	<input name="password" id="password" type="password" value="" />
</td>
</tr>

<tr>
<td style="text-align:right">
<font size="3" color="#FFFF00">
<strong>Retype Password:</strong>
</font>
</td>
<td style="text-align:left">
<input name="re_password" id="re_password" type="password" value="" />
</td>
</tr>




<tr>
<td colspan="2" style="text-align:right">
<input name="submit" id="submit" type="submit" value="Register" /><br/><br/>
</td>
</tr>

</table>
</div>
</form>
</div>
</body>
</html>

index.php

<?PHP
session_start();
if (isset($_SESSION['username']) && isset($_COOKIE['Auth'])) {
   header('Location: logged-in.php');
}
?>
<?php
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");
?>
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" >
<html>
<head>
<meta http-equiv="content-type" content="text/html; charset=ISO-8859-1">
<title>Less-24 - Second Degree Injections </title>
</head>
<body bgcolor="#000000">

<div style="text-align:center">
<form name="login" method="POST" action="login.php">

<h2 style="text-align:center;background-image:url('../images/Less-24.jpg');background-repeat:no-repeat;background-position:center center">
<div style="padding-top:300px;text-align:center;color:#FFFF00;"><?php echo $form_title_in; ?></div>
</h2>

<div align="center">
<table style="margin-top:50px;">
<tr>
<td style="text-align:right">
<font size="3" color="#FFFF00">
<strong>Username:</strong>
</td>
<td style="text-align:left">
<input name="login_user" id="login_user" type="text" value="" />
</td>
</tr>
<tr>
<td style="text-align:right">
<font size="3" color="#FFFF00">
<strong>Password:</strong>
</td>
<td style="text-align:left">
<input name="login_password" id="login_password" type="password" value="" />
</td>
</tr>
<tr>
<td colspan="2" style="text-align:right">
<input name="mysubmit" id="mysubmit" type="submit" value="Login" /><br/><br/>

<a style="font-size:.8em;color:#FFFF00" href="forgot_password.php">Forgot your password?</a><font size="3" color="#FFFF00">
||</font>
<a style="font-size:.8em;color:#FFFF00" href="new_user.php">New User click here?</a>
</td>
</tr>

</table>
</div>
</form>
</div>
</body>
</html>

login.php

<html>
<head>
</head>
<body bgcolor="#000000">
<font size="3" color="#FFFF00">
<div align="right">
<a style="font-size:.8em;color:#FFFF00" href='index.php'><img src="../images/Home.png" height='45'; width='45'></br>HOME</a>
</div>
<?PHP

session_start();
//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");


function sqllogin(){

   $username = mysql_real_escape_string($_POST["login_user"]);
   $password = mysql_real_escape_string($_POST["login_password"]);
   $sql = "SELECT * FROM users WHERE username='$username' and password='$password'";
//$sql = "SELECT COUNT(*) FROM users WHERE username='$username' and password='$password'";
   $res = mysql_query($sql) or die('You tried to be real smart, Try harder!!!! :( ');
   $row = mysql_fetch_row($res);
	//print_r($row) ;
   if ($row[1]) {
			return $row[1];
   } else {
      		return 0;
   }

}



$login = sqllogin();
if (!$login== 0) 
{
	$_SESSION["username"] = $login;
	setcookie("Auth", 1, time()+3600);  /* expire in 15 Minutes */
	header('Location: logged-in.php');
} 
else
{
?>
<tr><td colspan="2" style="text-align:center;"><br/><p style="color:#FF0000;">
<center>
<img src="../images/slap1.jpg">
</center>
</p></td></tr>
<?PHP
} 
?>


</body>
</html>

pass_change.php

<html>
<head>
</head>
<body bgcolor="#000000">
<?PHP
session_start();
if (!isset($_COOKIE["Auth"]))
{
	if (!isset($_SESSION["username"])) 
	{
   		header('Location: index.php');
	}
	header('Location: index.php');
}
?>
<div align="right">
<a style="font-size:.8em;color:#FFFF00" href='index.php'><img src="../images/Home.png" height='45'; width='45'></br>HOME</a>
</div>
<?php

//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");



if (isset($_POST['submit']))
{
	
	
	# Validating the user input........
	$username= $_SESSION["username"];
	$curr_pass= mysql_real_escape_string($_POST['current_password']);
	$pass= mysql_real_escape_string($_POST['password']);
	$re_pass= mysql_real_escape_string($_POST['re_password']);
	
	if($pass==$re_pass)
	{	
		$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";
		$res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( ');
		$row = mysql_affected_rows();
		echo '<font size="3" color="#FFFF00">';
		echo '<center>';
		if($row==1)
		{
			echo "Password successfully updated";
	
		}
		else
		{
			header('Location: failed.php');
			//echo 'You tried to be smart, Try harder!!!! :( ';
		}
	}
	else
	{
		echo '<font size="5" color="#FFFF00"><center>';
		echo "Make sure New Password and Retype Password fields have same value";
		header('refresh:2, url=index.php');
	}
}
?>
<?php
if(isset($_POST['submit1']))
{
	session_destroy();
	setcookie('Auth', 1 , time()-3600);
	header ('Location: index.php');
}
?>
</center>  
</body>
</html>

$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";abcd'#

上面這條語句就會變成：

update users set password='aaaa' where username='abcd'# and password=xxxx

#把後面語句全部註釋掉了

先插入資料——》再引用插入資料

防禦：
過濾危險字元
採用PDO程式設計

SQL隱碼攻擊之二次，加解密，DNS等注入
2021-08-02
SQL解密DNS
SQL隱碼攻擊-堆疊注入
2021-07-04
SQL
SQL隱碼攻擊 - 手工注入sqli-labs
2024-03-05
SQL
SQL隱碼攻擊中二階注入原理
2024-12-04
SQL
SQL隱碼攻擊原理——萬能密碼注入
2018-08-06
SQL密碼
SQL隱碼攻擊關聯分析
2020-08-19
SQL
SQL隱碼攻擊
2024-07-02
SQL
SQL隱碼攻擊【sqli靶場第11-14關】(三)
2024-11-14
SQL
SQL隱碼攻擊之字元型和數字型注入
2024-04-22
SQL字元
SQL隱碼攻擊之常見注入的步驟④
2020-11-11
SQL
SQL隱碼攻擊(pikachu)
2024-05-10
SQL
SQL隱碼攻擊方法
2024-07-08
SQL
MYSQL SQL隱碼攻擊
2021-11-20
MySql
SQL隱碼攻擊原理是什麼?如何防範SQL隱碼攻擊？
2022-11-24
SQL
一次SQL隱碼攻擊實戰記錄
2024-04-07
SQL
封神臺 SQL隱碼攻擊靶場（貓舍）手動注入
2024-10-13
SQL
SQL隱碼攻擊導圖
2018-06-15
SQL
SQL隱碼攻擊語句
2018-07-25
SQL
pikachu-SQL隱碼攻擊
2020-11-21
SQL
SQL隱碼攻擊總結
2024-08-31
SQL
XSS與SQL隱碼攻擊
2020-12-25
SQL
DVWA-SQL Injection（SQL隱碼攻擊）
2023-03-18
SQL
SQL隱碼攻擊速查表（下）與Oracle注入速查表
2020-08-19
SQLOracle
【網路安全】什麼是SQL隱碼攻擊漏洞?SQL隱碼攻擊的特點!
2021-09-06
SQL
攻擊JavaWeb應用[4]-SQL隱碼攻擊[2]
2020-08-19
JavaWebSQL
攻擊JavaWeb應用[3]-SQL隱碼攻擊[1]
2020-08-19
JavaWebSQL
一次簡單的SQL隱碼攻擊繞WAF
2021-10-18
SQL
Less靶場SQL隱碼攻擊通關寶典
2024-05-18
SQL
Mybatis如何防止SQL隱碼攻擊
2020-09-23
MyBatisSQL
Nacos Derby SQL隱碼攻擊漏洞
2024-06-27
SQL
MSSQL SQL隱碼攻擊總結
2021-11-08
SQL
Oracle SQL隱碼攻擊總結
2021-11-09
OracleSQL
SQL隱碼攻擊基礎原理
2020-12-10
SQL
【網路安全入門】SQL隱碼攻擊是什麼?SQL隱碼攻擊危害有哪些?
2021-11-05
SQL
什麼是SQL隱碼攻擊（SQLi）
2018-11-29
SQL
SQL隱碼攻擊讀寫檔案
2018-07-27
SQL
Mura CMS processAsyncObject SQL隱碼攻擊漏洞
2024-05-14
ObjectSQL
SQL隱碼攻擊速查表（上）
2020-08-19
SQL