您好,登录后才能下订单哦!
这篇文章主要为大家展示了“Web安全解析Boolean注入攻击原理的示例分析”,内容简而易懂,条理清晰,希望能够帮助大家解决疑惑,下面让小编带领大家一起研究并学习一下“Web安全解析Boolean注入攻击原理的示例分析”这篇文章吧。
Boolean注入攻击的测试地址:http://127.0.0.1/sqli/boolean.php?id=1。
访问该网站时,页面返回yes,如图19所示。
图19 访问id=1时页面的结果
在URL后添加一个单引号,再次访问,发现返回结果由yes变成no,如图20所示。
图20 访问id=1'时页面的结果
访问id=1' and 1=1%23,id=1' and 1=2%23,发现返回的结果分别是yes和no,更爱ID的值,返现返回的仍然是yes或者no,由此可判断,页面只返回yes或no,而没有返回数据库中的数据,所以此处不可使用Union注入。
此处可以尝试利用Boolean注入,Boolean注入是指构造SQL判断语句,通过查看页面的返回结果来推测哪些SQL判断条件是成立的,以此获取数据库中的数据。我们先判断数据库名的长度,语句如下所示。
因为查询语句前面有单引号,所以和源码中的SQL语句拼接后会多出一个单引号,因此需要注释符来注释。
http请求中+会被替换为空格与--组合成为注释符,空格也可用%20来代替,--%20效果等同。
由于#是用来指导浏览器动作的,对服务器端完全无用,所以,HTTP请求中不包括#。在第一个#后面出现的任何字符,都会被浏览器解读为位置标识符。这意味着,这些字符都不会被发送到服务器端。所以如果想用#注释符,就要将#转换为%23。
故上面的语句还可写为:
' and length(database())>=1--%20
或
' and length(database())>=1%23
1的位置上可以是任意数字,如' and length(database())>=3--+和' and length(database())>=4--+,我们可以构造这样的语句,然后观察也免得返回结果,如图21~23所示。
图21 判断数据库库名的长度(1)
图22 判断数据库库名的长度(2)
图23 判断数据库库名的长度(3)
以上几个语句的意思是,数据库库名的长度大于等于3,结果为yes;数据库库名的唱的大于等于4,结果为no。结合以上几个语句,可以判断出数据库的长度为3。
接着,使用逐字符判断的方式获取数据库库民。数据库库名的范围一般在a~z、0~9之内,可能还有一些特殊字符,这里的字母不区分大小写。逐字符判断的SQL语句为:
' and substr(database(),1,1)='t'--+
substr是截取的意思,其意思是截取database()的值,从第一个字符开始,每次只返回一个。
substr的用法和limit的有区别,需要注意。limit是从0开始排序,而substr是从1开始排序。可以使用Burp的爆破功能爆破每个位置的字符值,如图24所示,爆破结果如图25所示。
图24 利用Burp爆破数据库的库名(1)
图25 利用Burp爆破数据库的库名(2)
其实还可以使用ASCII码的字符进行查询,t的ASCII码是116,而在MySQL中,ASCII转换的函数为ord(),则逐字符判断的SQL语句应该为如下所示。
' and ord(substr(database(),1,1))=116--+
从Union注入和Burp的爆破结果中我们知道,数据库名是'test'。
查询表名、字段名的语句也应粘贴在database()的位置,从Union注入中已经知道数据库'test'的第一个表名是emails,第一个字母应当是e,判断语句如下所示。
' and substr((select table_name from information_schema.tables where table_schema='test' limit 0,1),1,1)='e'--+
以此类推,就可以查询出所有的表名和字段名,如图27所示,利用Burp爆破的结果如图28所示。
在Boolean注入页面中程先获取GET参数ID,通过pre_match判断其中是否存在union/sleep/benchmark等危险字符。然后将参数ID拼接到SQL语句,从数据库中查询,如果有结果,则返回yes,否则返回no。当访问该页面时,代码根据数据库查询结果返回yes或no,而不返回数据库中的任何数据,所以页面上智慧显示yes或no,代码如下所示。
<?php $con=mysqli_connect("localhost","root","root","test"); // 检测连接 if (mysqli_connect_errno()) { echo "连接失败: " . mysqli_connect_error(); } $id = @$_GET['id']; if(preg_match("/union|sleep|benchmark/i",$id)) { exit("no"); } $sql = "select * from users where `id`='".$id."'"; $result = mysqli_query($con,$sql); if(!$result) { exit("no"); } $row = mysqli_fetch_array($result); if ($row) { exit("yes"); }else{ exit("no"); } ?>
当访问id=1' or 1=1%23时,数据库执行的语句为select * from users where ‘id'=‘1' or 1=1#,由于or 1=1是永真条件,所以此页面可定会返回yes。当访问id=1' and 1=2%23时,数据库执行的语句为select * from users where ‘id'=‘1' and 1=2#,由于and1=2是永假条件,所以此时页面肯定会返回no。
以上是“Web安全解析Boolean注入攻击原理的示例分析”这篇文章的所有内容,感谢各位的阅读!相信大家都有了一定的了解,希望分享的内容对大家有所帮助,如果还想学习更多知识,欢迎关注亿速云行业资讯频道!
免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。