「Burpsuite练兵场」SQL注入及相关实验（一）

2、针对SQL注入的专项训练推荐使用sqli-labs开源靶场，阅读源码了解后台逻辑有助于进一步理解SQL注入原理；

3、SQL注入可分为数字型和字符型，不同语句注入的payload不同。

数字型查询语句为：

SELECT * FROM products WHERE category = 1 -- 注入语句为 or 1=1 --

字符型查询语句为：

SELECT * FROM products WHERE category = 'value' -- 注入语句为 'or 1=1 --

本节实验均基于字符型注入。

实验一：检索隐藏数据

首先来看这样一个URL：

https://insecure-website.com/products?category=Gifts

是不是非常熟悉，category为查询参数，后台执行的SQL语句为：

SELECT * FROM products WHERE category = 'Gifts' AND released = 1

当我们把查询参数变更为Gifts'这样，则查询语句变为了：

SELECT * FROM products WHERE category = 'Gifts'--' AND released = 1

原先查询的另一条件released=1就被注释掉了，因此查询会返回所有category = 'Gifts'的数据。

我们进一步将查询参数变更为category=Gifts'+OR+1=1，查询语句变为了：

SELECT * FROM products WHERE category = 'Gifts' OR 1=1--' AND released = 1

结果将会返回products数据表中的所有数据，以此就可进行一次成功的SQL注入。

在这里再介绍一下不同数据库注释语句的差异（可以发现比较好的通用注释方式即为-- ）

• Oracle：REM 单行注释   -- 单行注释  /*多行注释*/

  
  

• MS SQL Server： -- 单行注释   /*多行注释*/

  
  

• MySQL：# 单行注释   -- 单行注释（特别注意，-- 后需跟空格或控制字符）  /*多行注释*/

  
  

• PostgreSQL： -- 单行注释   /*多行注释*/

这就是这个实验的SQL注入漏洞原理，下面我们进入到实验环境当中：

通过实验介绍，我们知道完成该实验需要执行一次SQL注入以显示所有产品细节，无论是否满足release=1参数。

为了方便这一系列注入实验的进行，推荐可以安装一个chrome插件Harkbar，注意使用插件后虽然方便直接操作请求，但是需要注意url编码问题，比如 -- 这一注释后的空格是否成功附着到url中，可通过观察地址栏是否为 -- %27进行探查，由于插件本身问题可能存在错误，这时还是推荐使用burpsuite来对请求进行修改。

这一插件具有许多有用的功能，在chrome环境下安装好后按f12后点击Harkbar切换到相应选项卡，点击LOAD加载当前页面url，点击EXECUTE发送请求。

构造如图所示url参数（注意 -- 后的空格），发送请求即可完成sql注入攻击。

成功返回结果，实验结束

实验二：颠覆应用程序逻辑（任意用户登录）

我们在一些SQL注入教程中经常能看到类似'or 1=1这样的注入语句用于绕过用户登录验证，在这个实验中学习的正是这样的背后逻辑。

SELECT * FROM users WHERE username = 'wiener' AND password = 'bluecheese'

这一条非常经典的在登录过程中，应用后台的数据库查询语句，通过语句执行后的返回值是否为真判断数据库中是否有匹配的账户存在。

因此，我们只需要构造paylaod使该语句执行结果总为真即可实现任意用户登录，常见的payload如' or 1=1 -- 

SELECT * FROM users WHERE username = ''or 1 -- ' AND password = '123'

进入实验，实验完成要求：以administrator账号身份登录。

进入account login页面，账号值构造如图所示，密码输入任意值。

成功登录即可完成实验

实验三：从其他数据表中检索数据（联合查询UNION注入）

在进行sql注入攻击时，我们可以通过union语句进行联合查询，获取其他数据表中的数据，这里以Mysql为例，简要介绍下UNION操作符：

SELECT expression1, expression2, ... expression_n
FROM tables
[WHERE conditions]
UNION [ALL | DISTINCT]
SELECT expression1, expression2, ... expression_n
FROM tables
[WHERE conditions];

• expression1, expression2, ... expression_n：要检索的列；

  
  

• tables：要检索的数据表；

  
  

• WHERE conditions：可选， 检索条件；

  
  

• DISTINCT：可选，删除结果集中重复的数据。默认情况下 UNION 操作符已经删除了重复数据，所以 DISTINCT 修饰符对结果没啥影响；

  
  

• ALL：可选，返回所有结果集，包含重复数据。

SELECT a, b FROM table1 UNION SELECT c, d FROM table2;          -- 从table1中检索a，b并从table2中检索c，d

注意执行union查询需要满足两个条件：

• 各个查询必须返回相同数量的列；

  
  

• 每个列中的数据类型必须在各个查询之间兼容。

所以我们在进行union注入时需要先确定查询语句中的列数，在这个实验教程中介绍了两种方法。

使用Order By子句

order by子句可以用于对查询结果进行排序，通过接收一个列名为参数或一个简单的能识别特定列的数字。

SELECT Company, OrderNumber FROM Orders ORDER BY Company  -- 从Orders数据表中检索Company, OrderNumber列，并按Orders列排序

通过不断递增指向列的数字，直到返回错误以推断出最大列数。

' ORDER BY 1--
' ORDER BY 2--
' ORDER BY 3--

使用Union子句

如前所述，联合查询需要每个返回的列数相同，因此若列数不同便会返回错误，通过不断递增列直到返回正确信息。

' UNION SELECT NULL--
' UNION SELECT NULL,NULL--
' UNION SELECT NULL,NULL,NULL--

接下来进入实验

实验需要我们探测出查询语句中列的正确的数量，并执行SQL注入返回包含null数据的附加列。

使用order by子句进行猜测，使用'order by 3时成功返回结果。

使用'order by 4时返回结果错误，可以推断出查询语句中的列数量为3。