戰(zhàn)：SQL注入原理、攻擊手法與防御修復(fù)全解析)
SQL注入這四個(gè)字凡是接觸過(guò)Web開(kāi)發(fā)或后端的人基本都聽(tīng)過(guò)但多數(shù)人對(duì)它的認(rèn)知停留在“知道有這么一個(gè)漏洞”。真正能在本地搭一個(gè)可控靶場(chǎng)親手構(gòu)造幾條注入語(yǔ)句看著數(shù)據(jù)被一條條帶回再回頭理解修復(fù)方案的人反而不多。我?guī)氯巳腴T(mén)安全時(shí)最常遇到的瓶頸就在這里理論看去都對(duì)一上手卻不知道從哪條語(yǔ)句開(kāi)始。這篇文章就直接從DVWADamn Vulnerable Web Application這個(gè)開(kāi)源靶場(chǎng)講起先把環(huán)境完整搭起來(lái)再以SQL注入為主線(xiàn)把字符型、數(shù)字型、聯(lián)合查詢(xún)、盲注這些基礎(chǔ)點(diǎn)在一個(gè)真實(shí)可復(fù)現(xiàn)的實(shí)驗(yàn)環(huán)境里講透。適合剛開(kāi)始學(xué)Web安全、或者想補(bǔ)一下后端防漏洞知識(shí)的人也適合準(zhǔn)備做團(tuán)隊(duì)內(nèi)部分享的同事直接拿去當(dāng)素材。1. 先搞明白SQL注入到底是怎么發(fā)生的1.1 一次“拼接失誤”引發(fā)的數(shù)據(jù)泄露SQL注入的根源說(shuō)穿了就四個(gè)字字符串拼接。大多數(shù)語(yǔ)言里拼SQL太方便了很多早期代碼直接就把用戶(hù)輸入塞進(jìn)查詢(xún)語(yǔ)句。你可以把SQL查詢(xún)想象成一張事先印好的正式合同用戶(hù)在網(wǎng)頁(yè)表單里輸入的內(nèi)容相當(dāng)于填在空白欄里的信息。正常流程是用戶(hù)填什么合同保留什么但如果這個(gè)“填內(nèi)容”的動(dòng)作沒(méi)做任何校驗(yàn)用戶(hù)輸入里夾帶的其他“條款”也會(huì)被原樣寫(xiě)進(jìn)合同。舉個(gè)例子。DVWA低難度級(jí)別的用戶(hù)查詢(xún)模塊核心SQL長(zhǎng)這樣SELECT first_name, last_name FROM users WHERE user_id $id;單引號(hào)把$id包起來(lái)本意是把它當(dāng)成一個(gè)字符串值?？扇绻脩?hù)在ID輸入框里提交的是一段自帶單引號(hào)的文本比如1 OR 11那么拼出來(lái)的SQL就變成了SELECT first_name, last_name FROM users WHERE user_id 1 OR 11;11永遠(yuǎn)為真整個(gè)WHERE條件直接失效查詢(xún)返回的不再是一條用戶(hù)記錄而是全表數(shù)據(jù)。對(duì)比一下合同類(lèi)比對(duì)方不僅在空白欄里填了內(nèi)容還在末尾追加了一段“所有條款作廢”的文字。這就是SQL注入最核心的原理其余各種花活——報(bào)錯(cuò)注入、聯(lián)合查詢(xún)、盲注——全都是在這個(gè)基礎(chǔ)上演變出來(lái)的。1.2 注入成立需要滿(mǎn)足的兩個(gè)前提不是任何輸入都會(huì)導(dǎo)致注入。一個(gè)頁(yè)面存在SQL注入漏洞必須同時(shí)滿(mǎn)足兩個(gè)條件第一個(gè)條件是“可控?cái)?shù)據(jù)進(jìn)SQL”。用戶(hù)輸入GET參數(shù)、POST表單、Cookie、請(qǐng)求頭、文件上傳的文件名等被程序直接拼進(jìn)了查詢(xún)語(yǔ)句沒(méi)有經(jīng)過(guò)參數(shù)化處理。這是漏洞存在的土壤。第二個(gè)條件是“輸入能改變語(yǔ)句結(jié)構(gòu)”。也就是用戶(hù)提交的內(nèi)容里有特殊字符比如單引號(hào)、雙引號(hào)、注釋符、分號(hào)這些字符在SQL語(yǔ)法里是有特殊含義的。當(dāng)它們從“數(shù)據(jù)”變成“語(yǔ)法”的那一刻注入就發(fā)生了。滿(mǎn)足這兩個(gè)條件后注入還能按不同維度分好幾類(lèi)。按參數(shù)類(lèi)型分字符型注入數(shù)據(jù)本來(lái)就帶引號(hào)包著需要自己閉合引號(hào)和數(shù)字型注入查詢(xún)語(yǔ)句里字段直接跟數(shù)字比較都不用閉合引號(hào)。按數(shù)據(jù)回顯方式分報(bào)錯(cuò)注入數(shù)據(jù)庫(kù)把錯(cuò)誤信息直接吐回頁(yè)面、聯(lián)合查詢(xún)注入借助UNION把額外查詢(xún)結(jié)果拼到正常結(jié)果里、盲注頁(yè)面不直接顯示查詢(xún)結(jié)果只能靠“頁(yè)面內(nèi)容變沒(méi)變”“響應(yīng)時(shí)間變沒(méi)變”來(lái)判斷。后面實(shí)操部分我會(huì)逐一在DVWA里跑給你看。2. DVWA靶場(chǎng)搭建把實(shí)驗(yàn)環(huán)境一次整利索2.1 為什么選DVWA當(dāng)練習(xí)靶場(chǎng)學(xué)注入最忌諱一上來(lái)就對(duì)著真實(shí)網(wǎng)站做實(shí)驗(yàn)?zāi)鞘钦衣闊?。DVWA這類(lèi)“故意做漏洞”的開(kāi)源靶場(chǎng)就是干這個(gè)用的。它有四個(gè)難度級(jí)別Low、Medium、High、Impossible從“完全裸奔”到“幾乎無(wú)懈可擊”可以直觀對(duì)比同一個(gè)漏洞在不同防護(hù)強(qiáng)度下的表現(xiàn)。而且DVWA不止有SQL注入XSS、CSRF、文件包含、文件上傳、命令注入這些Web安全入門(mén)必學(xué)的漏洞類(lèi)型全都有裝一次環(huán)境后面很長(zhǎng)時(shí)間都能復(fù)用。另外DVWA的源碼是開(kāi)放的可以直接打開(kāi)PHP文件看每一級(jí)別的修復(fù)方式。這點(diǎn)特別重要理解“漏洞怎么來(lái)的”之后緊接著看“官方怎么修的”學(xué)習(xí)效率比單純刷題高得多。2.2 環(huán)境選型XAMPP組合最省心DVWA是典型的PHPMySQL應(yīng)用跑在Apache上。本地環(huán)境我建議直接用XAMPP它把Apache、MySQL、PHP打包在一起Windows和macOS上裝好就能用省去一項(xiàng)項(xiàng)配環(huán)境的精力。Linux用戶(hù)也可以用系統(tǒng)自帶的包管理器分別裝Apache、MySQL/MariaDB、PHP但那不是本文重點(diǎn)我下面按XAMPP的路徑走。版本方面說(shuō)幾句XAMPP官方包里PHP版本通常比較新可能到8.x而DVWA歷史版本對(duì)PHP 8的兼容性一般。新版本的DVWA源碼已經(jīng)能跑在PHP 8上但可能彈出不少Deprecated警告不影響功能但很礙眼。如果你下載的是老版本DVWA穩(wěn)妥做法是裝XAMPP的PHP 7.4版本或者直接在php.ini里把error_reporting調(diào)低把屏幕警告壓掉。這個(gè)細(xì)節(jié)很多人沒(méi)注意裝完被滿(mǎn)屏黃色警告嚇一跳還以為環(huán)境壞了。2.3 安裝步驟從下載到登錄整個(gè)搭建過(guò)程我拆成六步照著做基本不會(huì)出岔子。第一步安裝并啟動(dòng)XAMPP。安裝完成后打開(kāi)控制面板啟動(dòng)Apache和MySQL兩個(gè)服務(wù)。啟動(dòng)成功的標(biāo)志是控制面板對(duì)應(yīng)服務(wù)狀態(tài)變成綠色或者日志區(qū)沒(méi)有報(bào)錯(cuò)。如果Apache和MySQL圖標(biāo)啟動(dòng)后立刻變紅多半是端口被占先按第4部分的方法排掉。第二步下載DVWA源碼包?？梢詮墓俜酱a倉(cāng)庫(kù)下載最新的源碼壓縮包解壓后會(huì)得到一個(gè)DVWA-master文件夾把它重命名成DVWA整個(gè)放進(jìn)XAMPP的htdocs目錄下。如果你習(xí)慣用Git直接在htdocs里執(zhí)行g(shù)it clone相關(guān)命令拉取源碼效果一樣。第三步創(chuàng)建配置文件。DVWA自帶的配置文件模板叫config.inc.php.dist。進(jìn)入DVWA/config目錄把該文件復(fù)制一份重命名為config.inc.php。這個(gè)操作的意義是保留原始配置做備份修改副本不容易改廢。第四步改數(shù)據(jù)庫(kù)連接信息。用文本編輯器打開(kāi)config.inc.php找到這一段$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ;XAMPP默認(rèn)MySQL的root賬號(hào)密碼為空所以db_password保持空字符串即可。如果之前給MySQL設(shè)置過(guò)密碼這里必須填對(duì)否則后面創(chuàng)建數(shù)據(jù)庫(kù)會(huì)直接報(bào)Access Denied。第五步初始化數(shù)據(jù)庫(kù)。瀏覽器訪問(wèn)http://127.0.0.1/DVWA/DVWA會(huì)自動(dòng)跳到安裝檢查頁(yè)面。頁(yè)面會(huì)列出PHP擴(kuò)展、目錄權(quán)限、數(shù)據(jù)庫(kù)連接等一堆檢查項(xiàng)。確認(rèn)沒(méi)有紅色報(bào)錯(cuò)后拉到最下方點(diǎn)擊Create / Reset Database按鈕系統(tǒng)會(huì)自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)和初始數(shù)據(jù)。等它提示成功就可以用默認(rèn)賬號(hào)admin、密碼password登錄了。第六步把安全級(jí)別調(diào)到Low。登錄成功后左側(cè)菜單欄有DVWA Security選項(xiàng)進(jìn)去把安全級(jí)別設(shè)為L(zhǎng)ow再點(diǎn)提交。Low級(jí)別意味著防護(hù)幾乎為零最方便觀察注入效果的原始面貌練完再逐級(jí)往上加難度。2.4 搭建階段的幾個(gè)“隱藏雷區(qū)”有幾個(gè)問(wèn)題在搭建階段特別容易踩提前說(shuō)明能省你不少排查時(shí)間。首先是PHP版本兼容問(wèn)題。老版DVWA在PHP 8下可能出現(xiàn)函數(shù)棄用警告甚至某些頁(yè)面報(bào)Fatal Error。最簡(jiǎn)單的處理是裝PHP 7.4對(duì)應(yīng)的XAMPP版本或者升級(jí)到新版DVWA源碼。如果非要跑在PHP 8上就去php.ini里調(diào)整error_reporting E_ALL ~E_DEPRECATED ~E_NOTICE把警告壓住再繼續(xù)。其次是reCAPTCHA相關(guān)的紅色提示。安裝檢查頁(yè)面常會(huì)出現(xiàn)“reCAPTCHA key: Missing”類(lèi)似提示這是DVWA自帶的谷歌驗(yàn)證碼功能需要配置API Key沒(méi)有它不影響SQL注入這個(gè)模塊的學(xué)習(xí)直接忽略即可。第三是數(shù)據(jù)庫(kù)創(chuàng)建失敗。最常見(jiàn)原因是config.inc.php里數(shù)據(jù)庫(kù)密碼和MySQL實(shí)際密碼不一致。XAMPP安裝時(shí)如果設(shè)置過(guò)MySQL root密碼而配置文件里還留空就會(huì)失敗。另一個(gè)思路是手動(dòng)導(dǎo)入進(jìn)入DVWA/database目錄用phpMyAdmin把database.sql導(dǎo)入再回到安裝頁(yè)面點(diǎn)創(chuàng)建數(shù)據(jù)庫(kù)也能解決。3. 在DVWA里把SQL注入逐級(jí)跑通3.1 Low級(jí)別字符型注入的完整鏈路登錄DVWA后左側(cè)菜單選SQL Injection會(huì)看到一個(gè)輸入用戶(hù)ID的輸入框。現(xiàn)在開(kāi)始做第一組實(shí)驗(yàn)。先輸入一個(gè)正常值1頁(yè)面會(huì)顯示ID: 1 First name: admin Surname: admin這說(shuō)明查詢(xún)是通的。接著輸入1也就是在數(shù)字后面加一個(gè)單引號(hào)頁(yè)面直接報(bào)數(shù)據(jù)庫(kù)錯(cuò)誤而且DVWA為了方便教學(xué)把完整SQL語(yǔ)句都打出來(lái)了SELECT first_name, last_name FROM users WHERE user_id 1;看到?jīng)]有多出的單引號(hào)把原本成對(duì)的引號(hào)結(jié)構(gòu)給破壞掉了。這就是判斷注入點(diǎn)的經(jīng)典手法用一個(gè)單引號(hào)試探如果頁(yè)面報(bào)錯(cuò)或者行為異常說(shuō)明輸入被直接拼進(jìn)了SQL。接下來(lái)驗(yàn)證“改變查詢(xún)邏輯”這一步。在輸入框提交1 OR 11 #實(shí)際執(zhí)行的SQL是SELECT first_name, last_name FROM users WHERE user_id 1 OR 11 #;#在MySQL里是注釋符作用是把后面殘留的單引號(hào)和分號(hào)全部注釋掉保證整條語(yǔ)句語(yǔ)法正確。OR 11讓W(xué)HERE恒真最終返回所有用戶(hù)記錄。如果頁(yè)面一下子列出了所有用戶(hù)的姓名恭喜你第一次注入成功了。3.2 聯(lián)合查詢(xún)注入把數(shù)據(jù)庫(kù)里的敏感數(shù)據(jù)帶出來(lái)OR 11這種方式只能把現(xiàn)有查詢(xún)的結(jié)果“全部拉出”但如果想讀取其他表的數(shù)據(jù)就得靠UNION SELECT。UNION的作用是把兩條查詢(xún)語(yǔ)句的結(jié)果合并成一張表返回前提是兩邊列數(shù)必須一致數(shù)據(jù)類(lèi)型也要兼容。先做一次“數(shù)列數(shù)”的鋪墊操作。在輸入框分別嘗試1 ORDER BY 1# 1 ORDER BY 2# 1 ORDER BY 3#如果ORDER BY 3報(bào)錯(cuò)說(shuō)明原查詢(xún)只有兩列。原因很簡(jiǎn)單ORDER BY按列序號(hào)排序號(hào)超出實(shí)際列數(shù)時(shí)數(shù)據(jù)庫(kù)會(huì)報(bào)“Unknown column”。知道了列數(shù)就可以構(gòu)造UNION查詢(xún)1 UNION SELECT user, password FROM users#前半句1讓原查詢(xún)WHERE條件為假因?yàn)橛脩?hù)ID等于1的記錄會(huì)被優(yōu)先查出但UNION會(huì)把后面的結(jié)果一起返回后半句才是真正的“私貨”把users表的user字段和password字段作為兩列合并進(jìn)結(jié)果。頁(yè)面顯示的“First name”和“Surname”位置上就出現(xiàn)了所有用戶(hù)的用戶(hù)名和密碼哈希。DVWA的密碼字段存的是MD5值。比如admin的密碼哈希是5f4dcc3b5aa765d61d8327deb882cf99這就是password字符串的MD5。拿一段簡(jiǎn)單的Python代碼就能驗(yàn)證import hashlib print(hashlib.md5(bpassword).hexdigest()) # 輸出: 5f4dcc3b5aa765d61d8327deb882cf99到這里一條完整的“注入—跨表讀取—還原明文”鏈路就閉環(huán)了。實(shí)際操作中這一步會(huì)用到密碼破解工具但在本地靶場(chǎng)自己寫(xiě)腳本跑一遍理解會(huì)更深。3.3 Medium級(jí)別數(shù)字型注入與“引號(hào)無(wú)用”的教訓(xùn)把DVWA Security切到Medium再回到SQL Injection頁(yè)面會(huì)發(fā)現(xiàn)輸入框變成了下拉菜單表面上看起來(lái)只能選1到5。這個(gè)設(shè)計(jì)很容易讓人忽略一個(gè)事實(shí)你在瀏覽器里能看到的只是UI真正的流量是可以改的。用抓包工具或者瀏覽器開(kāi)發(fā)者工具把POST請(qǐng)求里的id參數(shù)改成任意值就能繞過(guò)下拉菜單的限制。Medium級(jí)別之所以值得單獨(dú)練是因?yàn)樗塘艘粋€(gè)非常重要的教訓(xùn)轉(zhuǎn)義不一定有用。這一級(jí)的代碼對(duì)輸入做了mysqli_real_escape_string之類(lèi)的轉(zhuǎn)義處理單引號(hào)、雙引號(hào)都會(huì)被加上反斜杠。聽(tīng)起來(lái)挺安全是吧可它拼SQL的時(shí)候有個(gè)致命細(xì)節(jié)——查詢(xún)語(yǔ)句變成了這樣SELECT first_name, last_name FROM users WHERE user_id $id;注意$id外面沒(méi)有引號(hào)了。既然沒(méi)有引號(hào)轉(zhuǎn)義單引號(hào)還有什么意義直接提交1 OR 11就能讓所有用戶(hù)記錄全部返回。再試1 UNION SELECT user, password FROM users同樣能讀出用戶(hù)名和密碼哈希。這個(gè)例子在實(shí)戰(zhàn)里特別有代表性很多團(tuán)隊(duì)做安全防護(hù)時(shí)只想著“過(guò)濾特殊字符”卻沒(méi)想到過(guò)濾的假設(shè)是錯(cuò)的——我根本不需要引號(hào)因?yàn)椴樵?xún)本身是數(shù)字型拼接。真正的安全靠的不是“猜攻擊者的攻擊方式”而是從一開(kāi)始就讓用戶(hù)輸入無(wú)法影響SQL結(jié)構(gòu)。3.4 盲注思路頁(yè)面上什么都看不到時(shí)怎么辦前面幾種注入都有明顯的頁(yè)面回顯一眼就能看到結(jié)果。但真實(shí)場(chǎng)景里大概率沒(méi)有這么友好程序可能把錯(cuò)誤信息吞掉了也可能只顯示“查詢(xún)成功/失敗”不展示任何數(shù)據(jù)庫(kù)內(nèi)容。這時(shí)候就要用盲注分兩種思路。布爾盲注的核心是“頁(yè)面兩種狀態(tài)”。比如在SQL InjectionBlind模塊里提交1 AND 11#頁(yè)面顯示記錄存在提交1 AND 12#頁(yè)面顯示記錄不存在。兩次請(qǐng)求唯一的區(qū)別是后面那個(gè)AND條件從恒真變成恒假頁(yè)面狀態(tài)隨之變化——這就是一個(gè)可以傳遞信息的“探測(cè)通道”。接下來(lái)就能像猜謎一樣一位一位地猜數(shù)據(jù)庫(kù)內(nèi)容。比如判斷數(shù)據(jù)庫(kù)名的第一個(gè)字符是不是d1 AND SUBSTRING((SELECT database()),1,1)d#如果成立頁(yè)面返回存在狀態(tài)不成立就換字母繼續(xù)試。手工試很慢寫(xiě)個(gè)腳本循環(huán)就行。下面是個(gè)思路示例核心是用Python請(qǐng)求靶場(chǎng)頁(yè)面并判斷關(guān)鍵詞import requests url http://127.0.0.1/DVWA/vulnerabilities/sqli_blind/ cookies {PHPSESSID: 你的會(huì)話(huà)ID, security: low} charset abcdefghijklmnopqrstuvwxyz0123456789 result for pos in range(1, 10): for ch in charset: payload f1 AND SUBSTRING((SELECT database()),{pos},1){ch}# r requests.get(url, params{id: payload}, cookiescookies) if User ID exists in r.text: result ch break else: break print(result)時(shí)間盲注則是把判斷條件做成時(shí)間差讓數(shù)據(jù)庫(kù)執(zhí)行sleep延遲函數(shù)如果條件成立就多睡幾秒通過(guò)響應(yīng)耗時(shí)判斷真假。比如1 AND SLEEP(5)#頁(yè)面如果明顯卡了5秒才返回就說(shuō)明注入語(yǔ)句執(zhí)行成功、SLEEP生效。這類(lèi)技巧的意義在于即使頁(yè)面完全沒(méi)有任何回顯差異只要數(shù)據(jù)庫(kù)還在執(zhí)行你的SQL就能用時(shí)間通道把信息一點(diǎn)一點(diǎn)傳遞出來(lái)。需要強(qiáng)調(diào)的是盲注枚舉腳本在業(yè)界有專(zhuān)門(mén)的自動(dòng)化測(cè)試工具但這套手工腳本的思路仍然值得自己寫(xiě)一遍能幫助你真正理解工具在背后做了什么。3.5 從High到Impossible看官方怎么一步步堵住漏洞把難度切到High再試之前的payload會(huì)發(fā)現(xiàn)很多“常規(guī)操作”失效了。High級(jí)別做了幾層加固對(duì)引號(hào)做了轉(zhuǎn)義處理查詢(xún)里加了LIMIT 1限制返回條數(shù)也不再直接暴露數(shù)據(jù)庫(kù)錯(cuò)誤。像 OR 11#這類(lèi)依賴(lài)注釋符和引號(hào)閉合的語(yǔ)句很可能被斷掉。但High級(jí)別依然不是絕對(duì)安全它只是把“普通的注入思路”擋在外面對(duì)真正理解SQL語(yǔ)法細(xì)節(jié)的人還會(huì)有變通空間。這個(gè)級(jí)別適合作為進(jìn)階琢磨的題目不用急著一次打通。真正值得所有人記住的是Impossible級(jí)別。這一級(jí)不再追求“過(guò)濾”而是徹底換了一種查詢(xún)方式——參數(shù)化查詢(xún)。它的效果是不管用戶(hù)輸入什么哪怕是一整篇OR 11數(shù)據(jù)庫(kù)都只把它當(dāng)成一個(gè)“值”而不會(huì)當(dāng)成“代碼”來(lái)執(zhí)行。這相當(dāng)于合同模板里完全不允許用戶(hù)追加條款你寫(xiě)什么都沒(méi)用。從Low到Impossible的過(guò)程幾乎就是Web安全歷史上SQL注入對(duì)抗演變的濃縮版本把四個(gè)級(jí)別都玩一遍理解深度比單獨(dú)記一百條payload都有用。4. 常見(jiàn)問(wèn)題與排查實(shí)錄4.1 環(huán)境搭建階段的高頻故障下面這張表是我在實(shí)際裝機(jī)過(guò)程中遇到最多的問(wèn)題按“癥狀—原因—解決辦法”整理好了癥狀常見(jiàn)原因解決辦法Apache啟動(dòng)后馬上變紅80端口被其他程序占用停止占用程序或在httpd.conf里把監(jiān)聽(tīng)端口改成8080MySQL啟動(dòng)失敗3306端口被占用或數(shù)據(jù)目錄權(quán)限異常改my.ini里的端口并同步修改config.inc.php檢查數(shù)據(jù)目錄讀寫(xiě)權(quán)限安裝頁(yè)面提示數(shù)據(jù)庫(kù)連接失敗config.inc.php里的密碼和MySQL實(shí)際密碼不一致核對(duì)并修改db_password確認(rèn)MySQL服務(wù)已啟動(dòng)頁(yè)面出現(xiàn)大量Deprecated警告PHP版本過(guò)新兼容性告警換PHP 7.4或在php.ini里降低error_reporting級(jí)別訪問(wèn)/DVWA/出現(xiàn)404解壓目錄名或位置不對(duì)確認(rèn)源碼放在htdocs/DVWA下且目錄內(nèi)有index.php登錄后點(diǎn)菜單全是空白頁(yè)P(yáng)HP擴(kuò)展缺失或文件權(quán)限不對(duì)檢查php.ini里是否開(kāi)啟mysqli、pdo_mysql擴(kuò)展確認(rèn)DVWA目錄有讀寫(xiě)權(quán)限這類(lèi)問(wèn)題的排查思路其實(shí)是一致的先看服務(wù)是否起來(lái)再看配置是否匹配最后看目錄和權(quán)限。裝上環(huán)境最忌諱的是“這里改一下那里改一下”最好按順序定位改一處測(cè)一處。4.2 注入實(shí)驗(yàn)做不出來(lái)時(shí)的卡點(diǎn)定位很多新手在練習(xí)時(shí)卡住并不是原理不理解而是卡在非常具體的“語(yǔ)句細(xì)節(jié)”上。我挑幾個(gè)最常見(jiàn)的第一個(gè)是提交1后頁(yè)面沒(méi)有反應(yīng)。先檢查左側(cè)的Security Level是不是真的切到了Low再確認(rèn)自己登錄的會(huì)話(huà)是否過(guò)期。DVWA的很多頁(yè)面依賴(lài)會(huì)話(huà)和難度級(jí)別這兩個(gè)條件不滿(mǎn)足怎么試都不對(duì)。第二個(gè)是UNION查詢(xún)報(bào)“The used SELECT statements have a different number of columns”。這就是列數(shù)沒(méi)對(duì)齊。先用ORDER BY逐個(gè)數(shù)列數(shù)確認(rèn)原查詢(xún)有幾列再讓UNION后面的SELECT補(bǔ)對(duì)應(yīng)數(shù)量的列。不要憑感覺(jué)猜。第三個(gè)是注釋符不生效。MySQL的注釋語(yǔ)法有講究--后面必須跟一個(gè)空格才生效否則數(shù)據(jù)庫(kù)不認(rèn)#則在URL里容易被解析掉粘貼進(jìn)地址欄時(shí)要注意編碼。最省事的方法是放棄URL傳參改用抓包工具的請(qǐng)求重放功能在請(qǐng)求體里直接修改參數(shù)。第四個(gè)是時(shí)間盲注完全沒(méi)有延遲。先確認(rèn)SLEEP函數(shù)在目標(biāo)數(shù)據(jù)庫(kù)里可用再確認(rèn)自己的語(yǔ)句語(yǔ)法正確、引號(hào)閉合完整、末位注釋符是否把多余內(nèi)容注釋干凈。很多時(shí)候不是原理錯(cuò)而是最后差一個(gè)#或多了一個(gè)空格。第五個(gè)是注入成功但看到的數(shù)據(jù)是亂碼。這是字符集問(wèn)題DVWA建表時(shí)如果用了latin1而頁(yè)面按UTF-8解析中文內(nèi)容就會(huì)亂。把數(shù)據(jù)庫(kù)字符集統(tǒng)一改成utf8或utf8mb4即可。4.3 靶場(chǎng)練習(xí)的安全邊界這個(gè)話(huà)題必須單獨(dú)說(shuō)因?yàn)樗燃夹g(shù)本身重要得多。DVWA是實(shí)驗(yàn)靶場(chǎng)作用范圍僅限于你自己的本機(jī)、或者完全隔離的虛擬實(shí)驗(yàn)環(huán)境。任何針對(duì)他人網(wǎng)站、未經(jīng)授權(quán)的系統(tǒng)的注入測(cè)試都是違法和違背職業(yè)道德的這不是技術(shù)問(wèn)題是底線(xiàn)問(wèn)題。練習(xí)過(guò)程中不要用真實(shí)系統(tǒng)的任何數(shù)據(jù)、賬號(hào)信息做實(shí)驗(yàn)也不要把靶場(chǎng)搭在有公網(wǎng)暴露的服務(wù)器上。練完之后如果環(huán)境不再使用建議直接關(guān)閉MySQL和Apache服務(wù)或者干脆刪掉靶場(chǎng)目錄。安全意識(shí)應(yīng)該從學(xué)習(xí)第一天就刻在習(xí)慣里。5. 防住注入的幾種手段與后續(xù)學(xué)習(xí)路線(xiàn)5.1 根治方案參數(shù)化查詢(xún)看了這么多注入手法防御的核心其實(shí)已經(jīng)呼之欲出了別讓用戶(hù)輸入進(jìn)入SQL的執(zhí)行上下文。參數(shù)化查詢(xún)也叫預(yù)編譯語(yǔ)句是這個(gè)思路的工程化實(shí)現(xiàn)。以PHP的PDO為例$stmt $pdo-prepare(SELECT first_name, last_name FROM users WHERE user_id :id); $stmt-bindParam(:id, $id, PDO::PARAM_INT); $stmt-execute();動(dòng)態(tài)流量與HTTP頭實(shí)戰(zhàn)前端JavaScript在發(fā)送請(qǐng)求時(shí)可以動(dòng)態(tài)決定使用GET還是POST以及附加哪些自定義HTTP頭。這個(gè)設(shè)計(jì)對(duì)攻擊排查的啟示在于不能只盯著“請(qǐng)求參數(shù)”也要關(guān)注整個(gè)請(qǐng)求形態(tài)。一個(gè)典型的“隱藏探測(cè)”手法是在HTTP頭里夾帶信息比如X-Custom-Token: 2024-05-11T14:09:00 X-Requested-With: XMLHttpRequest這類(lèi)自定義頭如果被后端程序讀取并拼進(jìn)SQL查詢(xún)條件就構(gòu)成一個(gè)隱蔽的注入入口。以前有個(gè)經(jīng)典案例程序從X-Forwarded-For頭取客戶(hù)端IP然后直接拼到SQL里查歸屬地結(jié)果攻擊者只需要把這個(gè)頭改成 OR 11就能拖出整表數(shù)據(jù)。在這個(gè)自建環(huán)境里用瀏覽器開(kāi)發(fā)者工具手動(dòng)構(gòu)造帶自定義頭的請(qǐng)求觀察后端響應(yīng)能很直觀地理解“輸入點(diǎn)不只有表單”。結(jié)合DVWA的SQL Injection模塊還可以把參數(shù)改成從Cookie中取值重新梳理一遍查詢(xún)邏輯是否仍然存在注入。5.2 縱深防御的幾層補(bǔ)充參數(shù)化查詢(xún)是根治但現(xiàn)實(shí)世界的系統(tǒng)往往有歷史包袱不可能一夜之間全部改完。以下防護(hù)措施能顯著降低風(fēng)險(xiǎn)和損失第一層是輸入校驗(yàn)。對(duì)明確知道格式的字段做白名單校驗(yàn)比如“用戶(hù)ID必須是純數(shù)字”那就直接校驗(yàn)后再拼查詢(xún)。這套方式只對(duì)格式明確的字段有效對(duì)搜索框這類(lèi)需要自由文本的情況不適用。第二層是最小權(quán)限。生產(chǎn)環(huán)境的數(shù)據(jù)庫(kù)賬號(hào)絕不能用root應(yīng)用能連庫(kù)執(zhí)行增刪改查就夠了不該給它DROP表、創(chuàng)建用戶(hù)的權(quán)限。這樣即使被注入攻擊者能做的事情也極其有限。第三層是錯(cuò)誤信息脫敏。生產(chǎn)環(huán)境把數(shù)據(jù)庫(kù)報(bào)錯(cuò)信息原樣返回給前端等于給攻擊者遞地圖。把錯(cuò)誤信息統(tǒng)一收斂成“系統(tǒng)繁忙”之類(lèi)同時(shí)把詳細(xì)錯(cuò)誤記到后端日志里。第四層是數(shù)據(jù)庫(kù)防火墻和WAF。它們屬于緩解層能攔下一部分明顯的注入流量但不能作為唯一防線(xiàn)因?yàn)樗举|(zhì)上是“猜攻擊者怎么寫(xiě)”總有繞過(guò)空間。第五層是日志審計(jì)。開(kāi)啟數(shù)據(jù)庫(kù)慢查詢(xún)?nèi)罩竞蚐QL審計(jì)日志定期掃描異常的SQL模式很多潛伏的注入嘗試就是靠日志復(fù)盤(pán)發(fā)現(xiàn)的。5.3 從SQL注入繼續(xù)往哪里走把DVWA的SQL Injection模塊從Low一路刷到Impossible之后建議按這個(gè)順序繼續(xù)往下學(xué)。先做DVWA里的XSS和CSRF模塊它們和SQL注入并列Web安全三大入門(mén)必學(xué)再練文件包含和文件上傳理解服務(wù)端對(duì)上傳內(nèi)容的處理邏輯。工具層面學(xué)習(xí)用抓包改包工具觀察和重放請(qǐng)求配合自動(dòng)化注入測(cè)試工具做結(jié)果驗(yàn)證但務(wù)必記住所有測(cè)試都在授權(quán)靶場(chǎng)內(nèi)進(jìn)行。原理層面可以延伸研究寬字節(jié)注入、二次注入、NoSQL注入這些本質(zhì)都是“用戶(hù)輸入被錯(cuò)誤地當(dāng)成代碼執(zhí)行”只是觸發(fā)場(chǎng)景不同。我個(gè)人帶人時(shí)有個(gè)習(xí)慣每講完一類(lèi)漏洞就要求對(duì)方用100字以?xún)?nèi)向一個(gè)非技術(shù)背景的同事解釋這個(gè)漏洞的原理。如果對(duì)方能聽(tīng)懂說(shuō)明是真的理解了。SQL注入講到底就是一個(gè)信任問(wèn)題——你信任了不該信任的輸入并且讓這份信任進(jìn)入了最核心的數(shù)據(jù)通道。在寫(xiě)每一行SQL時(shí)都條件反射地想一想“這里如果拼進(jìn)去一條攻擊語(yǔ)句會(huì)怎樣”這種習(xí)慣比背任何payload都值錢(qián)。DVWA這個(gè)環(huán)境留著別刪以后碰到來(lái)歷不明的框架、組件、代碼片段都可以先在這個(gè)靶場(chǎng)里試一遍再做決定。這就是我反復(fù)強(qiáng)調(diào)“環(huán)境即標(biāo)尺”的原因。 DVWA實(shí)戰(zhàn)：SQL注入原理、攻擊手法與防御修復(fù)全解析
SQL注入這四個(gè)字凡是接觸過(guò)Web開(kāi)發(fā)或后端的人基本都聽(tīng)過(guò)但多數(shù)人對(duì)它的認(rèn)知停留在“知道有這么一個(gè)漏洞”。真正能在本地搭一個(gè)可控靶場(chǎng)親手構(gòu)造幾條注入語(yǔ)句看著數(shù)據(jù)被一條條帶回再回頭理解修復(fù)方案的人反而不多。我?guī)氯巳腴T(mén)安全時(shí)最常遇到的瓶頸就在這里理論看去都對(duì)一上手卻不知道從哪條語(yǔ)句開(kāi)始。這篇文章就直接從DVWADamn Vulnerable Web Application這個(gè)開(kāi)源靶場(chǎng)講起先把環(huán)境完整搭起來(lái)再以SQL注入為主線(xiàn)把字符型、數(shù)字型、聯(lián)合查詢(xún)、盲注這些基礎(chǔ)點(diǎn)在一個(gè)真實(shí)可復(fù)現(xiàn)的實(shí)驗(yàn)環(huán)境里講透。適合剛開(kāi)始學(xué)Web安全、或者想補(bǔ)一下后端防漏洞知識(shí)的人也適合準(zhǔn)備做團(tuán)隊(duì)內(nèi)部分享的同事直接拿去當(dāng)素材。1. 先搞明白SQL注入到底是怎么發(fā)生的1.1 一次“拼接失誤”引發(fā)的數(shù)據(jù)泄露SQL注入的根源說(shuō)穿了就四個(gè)字字符串拼接。大多數(shù)語(yǔ)言里拼SQL太方便了很多早期代碼直接就把用戶(hù)輸入塞進(jìn)查詢(xún)語(yǔ)句。你可以把SQL查詢(xún)想象成一張事先印好的正式合同用戶(hù)在網(wǎng)頁(yè)表單里輸入的內(nèi)容相當(dāng)于填在空白欄里的信息。正常流程是用戶(hù)填什么合同保留什么但如果這個(gè)“填內(nèi)容”的動(dòng)作沒(méi)做任何校驗(yàn)用戶(hù)輸入里夾帶的其他“條款”也會(huì)被原樣寫(xiě)進(jìn)合同。舉個(gè)例子。DVWA低難度級(jí)別的用戶(hù)查詢(xún)模塊核心SQL長(zhǎng)這樣SELECT first_name, last_name FROM users WHERE user_id $id;單引號(hào)把$id包起來(lái)本意是把它當(dāng)成一個(gè)字符串值?？扇绻脩?hù)在ID輸入框里提交的是一段自帶單引號(hào)的文本比如1 OR 11那么拼出來(lái)的SQL就變成了SELECT first_name, last_name FROM users WHERE user_id 1 OR 11;11永遠(yuǎn)為真整個(gè)WHERE條件直接失效查詢(xún)返回的不再是一條用戶(hù)記錄而是全表數(shù)據(jù)。對(duì)比一下合同類(lèi)比對(duì)方不僅在空白欄里填了內(nèi)容還在末尾追加了一段“所有條款作廢”的文字。這就是SQL注入最核心的原理其余各種花活——報(bào)錯(cuò)注入、聯(lián)合查詢(xún)、盲注——全都是在這個(gè)基礎(chǔ)上演變出來(lái)的。1.2 注入成立需要滿(mǎn)足的兩個(gè)前提不是任何輸入都會(huì)導(dǎo)致注入。一個(gè)頁(yè)面存在SQL注入漏洞必須同時(shí)滿(mǎn)足兩個(gè)條件第一個(gè)條件是“可控?cái)?shù)據(jù)進(jìn)SQL”。用戶(hù)輸入GET參數(shù)、POST表單、Cookie、請(qǐng)求頭、文件上傳的文件名等被程序直接拼進(jìn)了查詢(xún)語(yǔ)句沒(méi)有經(jīng)過(guò)參數(shù)化處理。這是漏洞存在的土壤。第二個(gè)條件是“輸入能改變語(yǔ)句結(jié)構(gòu)”。也就是用戶(hù)提交的內(nèi)容里有特殊字符比如單引號(hào)、雙引號(hào)、注釋符、分號(hào)這些字符在SQL語(yǔ)法里是有特殊含義的。當(dāng)它們從“數(shù)據(jù)”變成“語(yǔ)法”的那一刻注入就發(fā)生了。滿(mǎn)足這兩個(gè)條件后注入還能按不同維度分好幾類(lèi)。按參數(shù)類(lèi)型分字符型注入數(shù)據(jù)本來(lái)就帶引號(hào)包著需要自己閉合引號(hào)和數(shù)字型注入查詢(xún)語(yǔ)句里字段直接跟數(shù)字比較都不用閉合引號(hào)。按數(shù)據(jù)回顯方式分報(bào)錯(cuò)注入數(shù)據(jù)庫(kù)把錯(cuò)誤信息直接吐回頁(yè)面、聯(lián)合查詢(xún)注入借助UNION把額外查詢(xún)結(jié)果拼到正常結(jié)果里、盲注頁(yè)面不直接顯示查詢(xún)結(jié)果只能靠“頁(yè)面內(nèi)容變沒(méi)變”“響應(yīng)時(shí)間變沒(méi)變”來(lái)判斷。后面實(shí)操部分我會(huì)逐一在DVWA里跑給你看。2. DVWA靶場(chǎng)搭建把實(shí)驗(yàn)環(huán)境一次整利索2.1 為什么選DVWA當(dāng)練習(xí)靶場(chǎng)學(xué)注入最忌諱一上來(lái)就對(duì)著真實(shí)網(wǎng)站做實(shí)驗(yàn)?zāi)鞘钦衣闊?。DVWA這類(lèi)“故意做漏洞”的開(kāi)源靶場(chǎng)就是干這個(gè)用的。它有四個(gè)難度級(jí)別Low、Medium、High、Impossible從“完全裸奔”到“幾乎無(wú)懈可擊”可以直觀對(duì)比同一個(gè)漏洞在不同防護(hù)強(qiáng)度下的表現(xiàn)。而且DVWA不止有SQL注入XSS、CSRF、文件包含、文件上傳、命令注入這些Web安全入門(mén)必學(xué)的漏洞類(lèi)型全都有裝一次環(huán)境后面很長(zhǎng)時(shí)間都能復(fù)用。另外DVWA的源碼是開(kāi)放的可以直接打開(kāi)PHP文件看每一級(jí)別的修復(fù)方式。這點(diǎn)特別重要理解“漏洞怎么來(lái)的”之后緊接著看“官方怎么修的”學(xué)習(xí)效率比單純刷題高得多。2.2 環(huán)境選型XAMPP組合最省心DVWA是典型的PHPMySQL應(yīng)用跑在Apache上。本地環(huán)境我建議直接用XAMPP它把Apache、MySQL、PHP打包在一起Windows和macOS上裝好就能用省去一項(xiàng)項(xiàng)配環(huán)境的精力。Linux用戶(hù)也可以用系統(tǒng)自帶的包管理器分別裝Apache、MySQL/MariaDB、PHP但那不是本文重點(diǎn)我下面按XAMPP的路徑走。版本方面說(shuō)幾句XAMPP官方包里PHP版本通常比較新可能到8.x而DVWA歷史版本對(duì)PHP 8的兼容性一般。新版本的DVWA源碼已經(jīng)能跑在PHP 8上但可能彈出不少Deprecated警告不影響功能但很礙眼。如果你下載的是老版本DVWA穩(wěn)妥做法是裝XAMPP的PHP 7.4版本或者直接在php.ini里把error_reporting調(diào)低把屏幕警告壓掉。這個(gè)細(xì)節(jié)很多人沒(méi)注意裝完被滿(mǎn)屏黃色警告嚇一跳還以為環(huán)境壞了。2.3 安裝步驟從下載到登錄整個(gè)搭建過(guò)程我拆成六步照著做基本不會(huì)出岔子。第一步安裝并啟動(dòng)XAMPP。安裝完成后打開(kāi)控制面板啟動(dòng)Apache和MySQL兩個(gè)服務(wù)。啟動(dòng)成功的標(biāo)志是控制面板對(duì)應(yīng)服務(wù)狀態(tài)變成綠色或者日志區(qū)沒(méi)有報(bào)錯(cuò)。如果Apache和MySQL圖標(biāo)啟動(dòng)后立刻變紅多半是端口被占先按第4部分的方法排掉。第二步下載DVWA源碼包?？梢詮墓俜酱a倉(cāng)庫(kù)下載最新的源碼壓縮包解壓后會(huì)得到一個(gè)DVWA-master文件夾把它重命名成DVWA整個(gè)放進(jìn)XAMPP的htdocs目錄下。如果你習(xí)慣用Git直接在htdocs里執(zhí)行g(shù)it clone相關(guān)命令拉取源碼效果一樣。第三步創(chuàng)建配置文件。DVWA自帶的配置文件模板叫config.inc.php.dist。進(jìn)入DVWA/config目錄把該文件復(fù)制一份重命名為config.inc.php。這個(gè)操作的意義是保留原始配置做備份修改副本不容易改廢。第四步改數(shù)據(jù)庫(kù)連接信息。用文本編輯器打開(kāi)config.inc.php找到這一段$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ;XAMPP默認(rèn)MySQL的root賬號(hào)密碼為空所以db_password保持空字符串即可。如果之前給MySQL設(shè)置過(guò)密碼這里必須填對(duì)否則后面創(chuàng)建數(shù)據(jù)庫(kù)會(huì)直接報(bào)Access Denied。第五步初始化數(shù)據(jù)庫(kù)。瀏覽器訪問(wèn)http://127.0.0.1/DVWA/DVWA會(huì)自動(dòng)跳到安裝檢查頁(yè)面。頁(yè)面會(huì)列出PHP擴(kuò)展、目錄權(quán)限、數(shù)據(jù)庫(kù)連接等一堆檢查項(xiàng)。確認(rèn)沒(méi)有紅色報(bào)錯(cuò)后拉到最下方點(diǎn)擊Create / Reset Database按鈕系統(tǒng)會(huì)自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)和初始數(shù)據(jù)。等它提示成功就可以用默認(rèn)賬號(hào)admin、密碼password登錄了。第六步把安全級(jí)別調(diào)到Low。登錄成功后左側(cè)菜單欄有DVWA Security選項(xiàng)進(jìn)去把安全級(jí)別設(shè)為L(zhǎng)ow再點(diǎn)提交。Low級(jí)別意味著防護(hù)幾乎為零最方便觀察注入效果的原始面貌練完再逐級(jí)往上加難度。2.4 搭建階段的幾個(gè)“隱藏雷區(qū)”有幾個(gè)問(wèn)題在搭建階段特別容易踩提前說(shuō)明能省你不少排查時(shí)間。首先是PHP版本兼容問(wèn)題。老版DVWA在PHP 8下可能出現(xiàn)函數(shù)棄用警告甚至某些頁(yè)面報(bào)Fatal Error。最簡(jiǎn)單的處理是裝PHP 7.4對(duì)應(yīng)的XAMPP版本或者升級(jí)到新版DVWA源碼。如果非要跑在PHP 8上就去php.ini里調(diào)整error_reporting E_ALL ~E_DEPRECATED ~E_NOTICE把警告壓住再繼續(xù)。其次是reCAPTCHA相關(guān)的紅色提示。安裝檢查頁(yè)面常會(huì)出現(xiàn)“reCAPTCHA key: Missing”類(lèi)似提示這是DVWA自帶的谷歌驗(yàn)證碼功能需要配置API Key沒(méi)有它不影響SQL注入這個(gè)模塊的學(xué)習(xí)直接忽略即可。第三是數(shù)據(jù)庫(kù)創(chuàng)建失敗。最常見(jiàn)原因是config.inc.php里數(shù)據(jù)庫(kù)密碼和MySQL實(shí)際密碼不一致。XAMPP安裝時(shí)如果設(shè)置過(guò)MySQL root密碼而配置文件里還留空就會(huì)失敗。另一個(gè)思路是手動(dòng)導(dǎo)入進(jìn)入DVWA/database目錄用phpMyAdmin把database.sql導(dǎo)入再回到安裝頁(yè)面點(diǎn)創(chuàng)建數(shù)據(jù)庫(kù)也能解決。3. 在DVWA里把SQL注入逐級(jí)跑通3.1 Low級(jí)別字符型注入的完整鏈路登錄DVWA后左側(cè)菜單選SQL Injection會(huì)看到一個(gè)輸入用戶(hù)ID的輸入框。現(xiàn)在開(kāi)始做第一組實(shí)驗(yàn)。先輸入一個(gè)正常值1頁(yè)面會(huì)顯示ID: 1 First name: admin Surname: admin這說(shuō)明查詢(xún)是通的。接著輸入1也就是在數(shù)字后面加一個(gè)單引號(hào)頁(yè)面直接報(bào)數(shù)據(jù)庫(kù)錯(cuò)誤而且DVWA為了方便教學(xué)把完整SQL語(yǔ)句都打出來(lái)了SELECT first_name, last_name FROM users WHERE user_id 1;看到?jīng)]有多出的單引號(hào)把原本成對(duì)的引號(hào)結(jié)構(gòu)給破壞掉了。這就是判斷注入點(diǎn)的經(jīng)典手法用一個(gè)單引號(hào)試探如果頁(yè)面報(bào)錯(cuò)或者行為異常說(shuō)明輸入被直接拼進(jìn)了SQL。接下來(lái)驗(yàn)證“改變查詢(xún)邏輯”這一步。在輸入框提交1 OR 11 #實(shí)際執(zhí)行的SQL是SELECT first_name, last_name FROM users WHERE user_id 1 OR 11 #;#在MySQL里是注釋符作用是把后面殘留的單引號(hào)和分號(hào)全部注釋掉保證整條語(yǔ)句語(yǔ)法正確。OR 11讓W(xué)HERE恒真最終返回所有用戶(hù)記錄。如果頁(yè)面一下子列出了所有用戶(hù)的姓名恭喜你第一次注入成功了。3.2 聯(lián)合查詢(xún)注入把數(shù)據(jù)庫(kù)里的敏感數(shù)據(jù)帶出來(lái)OR 11這種方式只能把現(xiàn)有查詢(xún)的結(jié)果“全部拉出”但如果想讀取其他表的數(shù)據(jù)就得靠UNION SELECT。UNION的作用是把兩條查詢(xún)語(yǔ)句的結(jié)果合并成一張表返回前提是兩邊列數(shù)必須一致數(shù)據(jù)類(lèi)型也要兼容。先做一次“數(shù)列數(shù)”的鋪墊操作。在輸入框分別嘗試1 ORDER BY 1# 1 ORDER BY 2# 1 ORDER BY 3#如果ORDER BY 3報(bào)錯(cuò)說(shuō)明原查詢(xún)只有兩列。原因很簡(jiǎn)單ORDER BY按列序號(hào)排序號(hào)超出實(shí)際列數(shù)時(shí)數(shù)據(jù)庫(kù)會(huì)報(bào)“Unknown column”。知道了列數(shù)就可以構(gòu)造UNION查詢(xún)1 UNION SELECT user, password FROM users#前半句1讓原查詢(xún)WHERE條件為假因?yàn)橛脩?hù)ID等于1的記錄會(huì)被優(yōu)先查出但UNION會(huì)把后面的結(jié)果一起返回后半句才是真正的“私貨”把users表的user字段和password字段作為兩列合并進(jìn)結(jié)果。頁(yè)面顯示的“First name”和“Surname”位置上就出現(xiàn)了所有用戶(hù)的用戶(hù)名和密碼哈希。DVWA的密碼字段存的是MD5值。比如admin的密碼哈希是5f4dcc3b5aa765d61d8327deb882cf99這就是password字符串的MD5。拿一段簡(jiǎn)單的Python代碼就能驗(yàn)證import hashlib print(hashlib.md5(bpassword).hexdigest()) # 輸出: 5f4dcc3b5aa765d61d8327deb882cf99到這里一條完整的“注入—跨表讀取—還原明文”鏈路就閉環(huán)了。實(shí)際操作中這一步會(huì)用到密碼破解工具但在本地靶場(chǎng)自己寫(xiě)腳本跑一遍理解會(huì)更深。3.3 Medium級(jí)別數(shù)字型注入與“引號(hào)無(wú)用”的教訓(xùn)把DVWA Security切到Medium再回到SQL Injection頁(yè)面會(huì)發(fā)現(xiàn)輸入框變成了下拉菜單表面上看起來(lái)只能選1到5。這個(gè)設(shè)計(jì)很容易讓人忽略一個(gè)事實(shí)你在瀏覽器里能看到的只是UI真正的流量是可以改的。用抓包工具或者瀏覽器開(kāi)發(fā)者工具把POST請(qǐng)求里的id參數(shù)改成任意值就能繞過(guò)下拉菜單的限制。Medium級(jí)別之所以值得單獨(dú)練是因?yàn)樗塘艘粋€(gè)非常重要的教訓(xùn)轉(zhuǎn)義不一定有用。這一級(jí)的代碼對(duì)輸入做了mysqli_real_escape_string之類(lèi)的轉(zhuǎn)義處理單引號(hào)、雙引號(hào)都會(huì)被加上反斜杠。聽(tīng)起來(lái)挺安全是吧可它拼SQL的時(shí)候有個(gè)致命細(xì)節(jié)——查詢(xún)語(yǔ)句變成了這樣SELECT first_name, last_name FROM users WHERE user_id $id;注意$id外面沒(méi)有引號(hào)了。既然沒(méi)有引號(hào)轉(zhuǎn)義單引號(hào)還有什么意義直接提交1 OR 11就能讓所有用戶(hù)記錄全部返回。再試1 UNION SELECT user, password FROM users同樣能讀出用戶(hù)名和密碼哈希。這個(gè)例子在實(shí)戰(zhàn)里特別有代表性很多團(tuán)隊(duì)做安全防護(hù)時(shí)只想著“過(guò)濾特殊字符”卻沒(méi)想到過(guò)濾的假設(shè)是錯(cuò)的——我根本不需要引號(hào)因?yàn)椴樵?xún)本身是數(shù)字型拼接。真正的安全靠的不是“猜攻擊者的攻擊方式”而是從一開(kāi)始就讓用戶(hù)輸入無(wú)法影響SQL結(jié)構(gòu)。3.4 盲注思路頁(yè)面上什么都看不到時(shí)怎么辦前面幾種注入都有明顯的頁(yè)面回顯一眼就能看到結(jié)果。但真實(shí)場(chǎng)景里大概率沒(méi)有這么友好程序可能把錯(cuò)誤信息吞掉了也可能只顯示“查詢(xún)成功/失敗”不展示任何數(shù)據(jù)庫(kù)內(nèi)容。這時(shí)候就要用盲注分兩種思路。布爾盲注的核心是“頁(yè)面兩種狀態(tài)”。比如在SQL InjectionBlind模塊里提交1 AND 11#頁(yè)面顯示記錄存在提交1 AND 12#頁(yè)面顯示記錄不存在。兩次請(qǐng)求唯一的區(qū)別是后面那個(gè)AND條件從恒真變成恒假頁(yè)面狀態(tài)隨之變化——這就是一個(gè)可以傳遞信息的“探測(cè)通道”。接下來(lái)就能像猜謎一樣一位一位地猜數(shù)據(jù)庫(kù)內(nèi)容。比如判斷數(shù)據(jù)庫(kù)名的第一個(gè)字符是不是d1 AND SUBSTRING((SELECT database()),1,1)d#如果成立頁(yè)面返回存在狀態(tài)不成立就換字母繼續(xù)試。手工試很慢寫(xiě)個(gè)腳本循環(huán)就行。下面是個(gè)思路示例核心是用Python請(qǐng)求靶場(chǎng)頁(yè)面并判斷關(guān)鍵詞import requests url http://127.0.0.1/DVWA/vulnerabilities/sqli_blind/ cookies {PHPSESSID: 你的會(huì)話(huà)ID, security: low} charset abcdefghijklmnopqrstuvwxyz0123456789 result for pos in range(1, 10): for ch in charset: payload f1 AND SUBSTRING((SELECT database()),{pos},1){ch}# r requests.get(url, params{id: payload}, cookiescookies) if User ID exists in r.text: result ch break else: break print(result)時(shí)間盲注則是把判斷條件做成時(shí)間差讓數(shù)據(jù)庫(kù)執(zhí)行sleep延遲函數(shù)如果條件成立就多睡幾秒通過(guò)響應(yīng)耗時(shí)判斷真假。比如1 AND SLEEP(5)#頁(yè)面如果明顯卡了5秒才返回就說(shuō)明注入語(yǔ)句執(zhí)行成功、SLEEP生效。這類(lèi)技巧的意義在于即使頁(yè)面完全沒(méi)有任何回顯差異只要數(shù)據(jù)庫(kù)還在執(zhí)行你的SQL就能用時(shí)間通道把信息一點(diǎn)一點(diǎn)傳遞出來(lái)。需要強(qiáng)調(diào)的是盲注枚舉腳本在業(yè)界有專(zhuān)門(mén)的自動(dòng)化測(cè)試工具但這套手工腳本的思路仍然值得自己寫(xiě)一遍能幫助你真正理解工具在背后做了什么。3.5 從High到Impossible看官方怎么一步步堵住漏洞把難度切到High再試之前的payload會(huì)發(fā)現(xiàn)很多“常規(guī)操作”失效了。High級(jí)別做了幾層加固對(duì)引號(hào)做了轉(zhuǎn)義處理查詢(xún)里加了LIMIT 1限制返回條數(shù)也不再直接暴露數(shù)據(jù)庫(kù)錯(cuò)誤。像 OR 11#這類(lèi)依賴(lài)注釋符和引號(hào)閉合的語(yǔ)句很可能被斷掉。但High級(jí)別依然不是絕對(duì)安全它只是把“普通的注入思路”擋在外面對(duì)真正理解SQL語(yǔ)法細(xì)節(jié)的人還會(huì)有變通空間。這個(gè)級(jí)別適合作為進(jìn)階琢磨的題目不用急著一次打通。真正值得所有人記住的是Impossible級(jí)別。這一級(jí)不再追求“過(guò)濾”而是徹底換了一種查詢(xún)方式——參數(shù)化查詢(xún)。它的效果是不管用戶(hù)輸入什么哪怕是一整篇OR 11數(shù)據(jù)庫(kù)都只把它當(dāng)成一個(gè)“值”而不會(huì)當(dāng)成“代碼”來(lái)執(zhí)行。這相當(dāng)于合同模板里完全不允許用戶(hù)追加條款你寫(xiě)什么都沒(méi)用。從Low到Impossible的過(guò)程幾乎就是Web安全歷史上SQL注入對(duì)抗演變的濃縮版本把四個(gè)級(jí)別都玩一遍理解深度比單獨(dú)記一百條payload都有用。4. 常見(jiàn)問(wèn)題與排查實(shí)錄4.1 環(huán)境搭建階段的高頻故障下面這張表是我在實(shí)際裝機(jī)過(guò)程中遇到最多的問(wèn)題按“癥狀—原因—解決辦法”整理好了癥狀常見(jiàn)原因解決辦法Apache啟動(dòng)后馬上變紅80端口被其他程序占用停止占用程序或在httpd.conf里把監(jiān)聽(tīng)端口改成8080MySQL啟動(dòng)失敗3306端口被占用或數(shù)據(jù)目錄權(quán)限異常改my.ini里的端口并同步修改config.inc.php檢查數(shù)據(jù)目錄讀寫(xiě)權(quán)限安裝頁(yè)面提示數(shù)據(jù)庫(kù)連接失敗config.inc.php里的密碼和MySQL實(shí)際密碼不一致核對(duì)并修改db_password確認(rèn)MySQL服務(wù)已啟動(dòng)頁(yè)面出現(xiàn)大量Deprecated警告PHP版本過(guò)新兼容性告警換PHP 7.4或在php.ini里降低error_reporting級(jí)別訪問(wèn)/DVWA/出現(xiàn)404解壓目錄名或位置不對(duì)確認(rèn)源碼放在htdocs/DVWA下且目錄內(nèi)有index.php登錄后點(diǎn)菜單全是空白頁(yè)P(yáng)HP擴(kuò)展缺失或文件權(quán)限不對(duì)檢查php.ini里是否開(kāi)啟mysqli、pdo_mysql擴(kuò)展確認(rèn)DVWA目錄有讀寫(xiě)權(quán)限這類(lèi)問(wèn)題的排查思路其實(shí)是一致的先看服務(wù)是否起來(lái)再看配置是否匹配最后看目錄和權(quán)限。裝上環(huán)境最忌諱的是“這里改一下那里改一下”最好按順序定位改一處測(cè)一處。4.2 注入實(shí)驗(yàn)做不出來(lái)時(shí)的卡點(diǎn)定位很多新手在練習(xí)時(shí)卡住并不是原理不理解而是卡在非常具體的“語(yǔ)句細(xì)節(jié)”上。我挑幾個(gè)最常見(jiàn)的第一個(gè)是提交1后頁(yè)面沒(méi)有反應(yīng)。先檢查左側(cè)的Security Level是不是真的切到了Low再確認(rèn)自己登錄的會(huì)話(huà)是否過(guò)期。DVWA的很多頁(yè)面依賴(lài)會(huì)話(huà)和難度級(jí)別這兩個(gè)條件不滿(mǎn)足怎么試都不對(duì)。第二個(gè)是UNION查詢(xún)報(bào)“The used SELECT statements have a different number of columns”。這就是列數(shù)沒(méi)對(duì)齊。先用ORDER BY逐個(gè)數(shù)列數(shù)確認(rèn)原查詢(xún)有幾列再讓UNION后面的SELECT補(bǔ)對(duì)應(yīng)數(shù)量的列。不要憑感覺(jué)猜。第三個(gè)是注釋符不生效。MySQL的注釋語(yǔ)法有講究--后面必須跟一個(gè)空格才生效否則數(shù)據(jù)庫(kù)不認(rèn)#則在URL里容易被解析掉粘貼進(jìn)地址欄時(shí)要注意編碼。最省事的方法是放棄URL傳參改用抓包工具的請(qǐng)求重放功能在請(qǐng)求體里直接修改參數(shù)。第四個(gè)是時(shí)間盲注完全沒(méi)有延遲。先確認(rèn)SLEEP函數(shù)在目標(biāo)數(shù)據(jù)庫(kù)里可用再確認(rèn)自己的語(yǔ)句語(yǔ)法正確、引號(hào)閉合完整、末位注釋符是否把多余內(nèi)容注釋干凈。很多時(shí)候不是原理錯(cuò)而是最后差一個(gè)#或多了一個(gè)空格。第五個(gè)是注入成功但看到的數(shù)據(jù)是亂碼。這是字符集問(wèn)題DVWA建表時(shí)如果用了latin1而頁(yè)面按UTF-8解析中文內(nèi)容就會(huì)亂。把數(shù)據(jù)庫(kù)字符集統(tǒng)一改成utf8或utf8mb4即可。4.3 靶場(chǎng)練習(xí)的安全邊界這個(gè)話(huà)題必須單獨(dú)說(shuō)因?yàn)樗燃夹g(shù)本身重要得多。DVWA是實(shí)驗(yàn)靶場(chǎng)作用范圍僅限于你自己的本機(jī)、或者完全隔離的虛擬實(shí)驗(yàn)環(huán)境。任何針對(duì)他人網(wǎng)站、未經(jīng)授權(quán)的系統(tǒng)的注入測(cè)試都是違法和違背職業(yè)道德的這不是技術(shù)問(wèn)題是底線(xiàn)問(wèn)題。練習(xí)過(guò)程中不要用真實(shí)系統(tǒng)的任何數(shù)據(jù)、賬號(hào)信息做實(shí)驗(yàn)也不要把靶場(chǎng)搭在有公網(wǎng)暴露的服務(wù)器上。練完之后如果環(huán)境不再使用建議直接關(guān)閉MySQL和Apache服務(wù)或者干脆刪掉靶場(chǎng)目錄。安全意識(shí)應(yīng)該從學(xué)習(xí)第一天就刻在習(xí)慣里。5. 防住注入的幾種手段與后續(xù)學(xué)習(xí)路線(xiàn)5.1 根治方案參數(shù)化查詢(xún)看了這么多注入手法防御的核心其實(shí)已經(jīng)呼之欲出了別讓用戶(hù)輸入進(jìn)入SQL的執(zhí)行上下文。參數(shù)化查詢(xún)也叫預(yù)編譯語(yǔ)句是這個(gè)思路的工程化實(shí)現(xiàn)。以PHP的PDO為例$stmt $pdo-prepare(SELECT first_name, last_name FROM users WHERE user_id :id); $stmt-bindParam(:id, $id, PDO::PARAM_INT); $stmt-execute();動(dòng)態(tài)流量與HTTP頭實(shí)戰(zhàn)前端JavaScript在發(fā)送請(qǐng)求時(shí)可以動(dòng)態(tài)決定使用GET還是POST以及附加哪些自定義HTTP頭。這個(gè)設(shè)計(jì)對(duì)攻擊排查的啟示在于不能只盯著“請(qǐng)求參數(shù)”也要關(guān)注整個(gè)請(qǐng)求形態(tài)。一個(gè)典型的“隱藏探測(cè)”手法是在HTTP頭里夾帶信息比如X-Custom-Token: 2024-05-11T14:09:00 X-Requested-With: XMLHttpRequest這類(lèi)自定義頭如果被后端程序讀取并拼進(jìn)SQL查詢(xún)條件就構(gòu)成一個(gè)隱蔽的注入入口。以前有個(gè)經(jīng)典案例程序從X-Forwarded-For頭取客戶(hù)端IP然后直接拼到SQL里查歸屬地結(jié)果攻擊者只需要把這個(gè)頭改成 OR 11就能拖出整表數(shù)據(jù)。在這個(gè)自建環(huán)境里用瀏覽器開(kāi)發(fā)者工具手動(dòng)構(gòu)造帶自定義頭的請(qǐng)求觀察后端響應(yīng)能很直觀地理解“輸入點(diǎn)不只有表單”。結(jié)合DVWA的SQL Injection模塊還可以把參數(shù)改成從Cookie中取值重新梳理一遍查詢(xún)邏輯是否仍然存在注入。5.2 縱深防御的幾層補(bǔ)充參數(shù)化查詢(xún)是根治但現(xiàn)實(shí)世界的系統(tǒng)往往有歷史包袱不可能一夜之間全部改完。以下防護(hù)措施能顯著降低風(fēng)險(xiǎn)和損失第一層是輸入校驗(yàn)。對(duì)明確知道格式的字段做白名單校驗(yàn)比如“用戶(hù)ID必須是純數(shù)字”那就直接校驗(yàn)后再拼查詢(xún)。這套方式只對(duì)格式明確的字段有效對(duì)搜索框這類(lèi)需要自由文本的情況不適用。第二層是最小權(quán)限。生產(chǎn)環(huán)境的數(shù)據(jù)庫(kù)賬號(hào)絕不能用root應(yīng)用能連庫(kù)執(zhí)行增刪改查就夠了不該給它DROP表、創(chuàng)建用戶(hù)的權(quán)限。這樣即使被注入攻擊者能做的事情也極其有限。第三層是錯(cuò)誤信息脫敏。生產(chǎn)環(huán)境把數(shù)據(jù)庫(kù)報(bào)錯(cuò)信息原樣返回給前端等于給攻擊者遞地圖。把錯(cuò)誤信息統(tǒng)一收斂成“系統(tǒng)繁忙”之類(lèi)同時(shí)把詳細(xì)錯(cuò)誤記到后端日志里。第四層是數(shù)據(jù)庫(kù)防火墻和WAF。它們屬于緩解層能攔下一部分明顯的注入流量但不能作為唯一防線(xiàn)因?yàn)樗举|(zhì)上是“猜攻擊者怎么寫(xiě)”總有繞過(guò)空間。第五層是日志審計(jì)。開(kāi)啟數(shù)據(jù)庫(kù)慢查詢(xún)?nèi)罩竞蚐QL審計(jì)日志定期掃描異常的SQL模式很多潛伏的注入嘗試就是靠日志復(fù)盤(pán)發(fā)現(xiàn)的。5.3 從SQL注入繼續(xù)往哪里走把DVWA的SQL Injection模塊從Low一路刷到Impossible之后建議按這個(gè)順序繼續(xù)往下學(xué)。先做DVWA里的XSS和CSRF模塊它們和SQL注入并列Web安全三大入門(mén)必學(xué)再練文件包含和文件上傳理解服務(wù)端對(duì)上傳內(nèi)容的處理邏輯。工具層面學(xué)習(xí)用抓包改包工具觀察和重放請(qǐng)求配合自動(dòng)化注入測(cè)試工具做結(jié)果驗(yàn)證但務(wù)必記住所有測(cè)試都在授權(quán)靶場(chǎng)內(nèi)進(jìn)行。原理層面可以延伸研究寬字節(jié)注入、二次注入、NoSQL注入這些本質(zhì)都是“用戶(hù)輸入被錯(cuò)誤地當(dāng)成代碼執(zhí)行”只是觸發(fā)場(chǎng)景不同。我個(gè)人帶人時(shí)有個(gè)習(xí)慣每講完一類(lèi)漏洞就要求對(duì)方用100字以?xún)?nèi)向一個(gè)非技術(shù)背景的同事解釋這個(gè)漏洞的原理。如果對(duì)方能聽(tīng)懂說(shuō)明是真的理解了。SQL注入講到底就是一個(gè)信任問(wèn)題——你信任了不該信任的輸入并且讓這份信任進(jìn)入了最核心的數(shù)據(jù)通道。在寫(xiě)每一行SQL時(shí)都條件反射地想一想“這里如果拼進(jìn)去一條攻擊語(yǔ)句會(huì)怎樣”這種習(xí)慣比背任何payload都值錢(qián)。DVWA這個(gè)環(huán)境留著別刪以后碰到來(lái)歷不明的框架、組件、代碼片段都可以先在這個(gè)靶場(chǎng)里試一遍再做決定。這就是我反復(fù)強(qiáng)調(diào)“環(huán)境即標(biāo)尺”的原因。