戰(zhàn)：SQL注入原理、攻擊手法與防御修復(fù)全解析)
SQL注入這四個(gè)字凡是接觸過(guò)Web開(kāi)發(fā)或后端的人基本都聽(tīng)過(guò)但多數(shù)人對(duì)它的認(rèn)知停留在“知道有這么一個(gè)漏洞”。真正能在本地搭一個(gè)可控靶場(chǎng)親手構(gòu)造幾條注入語(yǔ)句看著數(shù)據(jù)被一條條帶回再回頭理解修復(fù)方案的人反而不多。我?guī)氯巳腴T安全時(shí)最常遇到的瓶頸就在這里理論看去都對(duì)一上手卻不知道從哪條語(yǔ)句開(kāi)始。這篇文章就直接從DVWADamn Vulnerable Web Application這個(gè)開(kāi)源靶場(chǎng)講起先把環(huán)境完整搭起來(lái)再以SQL注入為主線把字符型、數(shù)字型、聯(lián)合查詢、盲注這些基礎(chǔ)點(diǎn)在一個(gè)真實(shí)可復(fù)現(xiàn)的實(shí)驗(yàn)環(huán)境里講透。適合剛開(kāi)始學(xué)Web安全、或者想補(bǔ)一下后端防漏洞知識(shí)的人也適合準(zhǔn)備做團(tuán)隊(duì)內(nèi)部分享的同事直接拿去當(dāng)素材。1. 先搞明白SQL注入到底是怎么發(fā)生的1.1 一次“拼接失誤”引發(fā)的數(shù)據(jù)泄露SQL注入的根源說(shuō)穿了就四個(gè)字字符串拼接。大多數(shù)語(yǔ)言里拼SQL太方便了很多早期代碼直接就把用戶輸入塞進(jìn)查詢語(yǔ)句。你可以把SQL查詢想象成一張事先印好的正式合同用戶在網(wǎng)頁(yè)表單里輸入的內(nèi)容相當(dāng)于填在空白欄里的信息。正常流程是用戶填什么合同保留什么但如果這個(gè)“填內(nèi)容”的動(dòng)作沒(méi)做任何校驗(yàn)用戶輸入里夾帶的其他“條款”也會(huì)被原樣寫進(jìn)合同。舉個(gè)例子。DVWA低難度級(jí)別的用戶查詢模塊核心SQL長(zhǎng)這樣SELECT first_name, last_name FROM users WHERE user_id $id;單引號(hào)把$id包起來(lái)本意是把它當(dāng)成一個(gè)字符串值?？扇绻脩粼贗D輸入框里提交的是一段自帶單引號(hào)的文本比如1 OR 11那么拼出來(lái)的SQL就變成了SELECT first_name, last_name FROM users WHERE user_id 1 OR 11;11永遠(yuǎn)為真整個(gè)WHERE條件直接失效查詢返回的不再是一條用戶記錄而是全表數(shù)據(jù)。對(duì)比一下合同類比對(duì)方不僅在空白欄里填了內(nèi)容還在末尾追加了一段“所有條款作廢”的文字。這就是SQL注入最核心的原理其余各種花活——報(bào)錯(cuò)注入、聯(lián)合查詢、盲注——全都是在這個(gè)基礎(chǔ)上演變出來(lái)的。1.2 注入成立需要滿足的兩個(gè)前提不是任何輸入都會(huì)導(dǎo)致注入。一個(gè)頁(yè)面存在SQL注入漏洞必須同時(shí)滿足兩個(gè)條件第一個(gè)條件是“可控?cái)?shù)據(jù)進(jìn)SQL”。用戶輸入GET參數(shù)、POST表單、Cookie、請(qǐng)求頭、文件上傳的文件名等被程序直接拼進(jìn)了查詢語(yǔ)句沒(méi)有經(jīng)過(guò)參數(shù)化處理。這是漏洞存在的土壤。第二個(gè)條件是“輸入能改變語(yǔ)句結(jié)構(gòu)”。也就是用戶提交的內(nèi)容里有特殊字符比如單引號(hào)、雙引號(hào)、注釋符、分號(hào)這些字符在SQL語(yǔ)法里是有特殊含義的。當(dāng)它們從“數(shù)據(jù)”變成“語(yǔ)法”的那一刻注入就發(fā)生了。滿足這兩個(gè)條件后注入還能按不同維度分好幾類。按參數(shù)類型分字符型注入數(shù)據(jù)本來(lái)就帶引號(hào)包著需要自己閉合引號(hào)和數(shù)字型注入查詢語(yǔ)句里字段直接跟數(shù)字比較都不用閉合引號(hào)。按數(shù)據(jù)回顯方式分報(bào)錯(cuò)注入數(shù)據(jù)庫(kù)把錯(cuò)誤信息直接吐回頁(yè)面、聯(lián)合查詢注入借助UNION把額外查詢結(jié)果拼到正常結(jié)果里、盲注頁(yè)面不直接顯示查詢結(jié)果只能靠“頁(yè)面內(nèi)容變沒(méi)變”“響應(yīng)時(shí)間變沒(méi)變”來(lái)判斷。后面實(shí)操部分我會(huì)逐一在DVWA里跑給你看。2. DVWA靶場(chǎng)搭建把實(shí)驗(yàn)環(huán)境一次整利索2.1 為什么選DVWA當(dāng)練習(xí)靶場(chǎng)學(xué)注入最忌諱一上來(lái)就對(duì)著真實(shí)網(wǎng)站做實(shí)驗(yàn)?zāi)鞘钦衣闊?。DVWA這類“故意做漏洞”的開(kāi)源靶場(chǎng)就是干這個(gè)用的。它有四個(gè)難度級(jí)別Low、Medium、High、Impossible從“完全裸奔”到“幾乎無(wú)懈可擊”可以直觀對(duì)比同一個(gè)漏洞在不同防護(hù)強(qiáng)度下的表現(xiàn)。而且DVWA不止有SQL注入XSS、CSRF、文件包含、文件上傳、命令注入這些Web安全入門必學(xué)的漏洞類型全都有裝一次環(huán)境后面很長(zhǎng)時(shí)間都能復(fù)用。另外DVWA的源碼是開(kāi)放的可以直接打開(kāi)PHP文件看每一級(jí)別的修復(fù)方式。這點(diǎn)特別重要理解“漏洞怎么來(lái)的”之后緊接著看“官方怎么修的”學(xué)習(xí)效率比單純刷題高得多。2.2 環(huán)境選型XAMPP組合最省心DVWA是典型的PHPMySQL應(yīng)用跑在Apache上。本地環(huán)境我建議直接用XAMPP它把Apache、MySQL、PHP打包在一起Windows和macOS上裝好就能用省去一項(xiàng)項(xiàng)配環(huán)境的精力。Linux用戶也可以用系統(tǒng)自帶的包管理器分別裝Apache、MySQL/MariaDB、PHP但那不是本文重點(diǎn)我下面按XAMPP的路徑走。版本方面說(shuō)幾句XAMPP官方包里PHP版本通常比較新可能到8.x而DVWA歷史版本對(duì)PHP 8的兼容性一般。新版本的DVWA源碼已經(jīng)能跑在PHP 8上但可能彈出不少Deprecated警告不影響功能但很礙眼。如果你下載的是老版本DVWA穩(wěn)妥做法是裝XAMPP的PHP 7.4版本或者直接在php.ini里把error_reporting調(diào)低把屏幕警告壓掉。這個(gè)細(xì)節(jié)很多人沒(méi)注意裝完被滿屏黃色警告嚇一跳還以為環(huán)境壞了。2.3 安裝步驟從下載到登錄整個(gè)搭建過(guò)程我拆成六步照著做基本不會(huì)出岔子。第一步安裝并啟動(dòng)XAMPP。安裝完成后打開(kāi)控制面板啟動(dòng)Apache和MySQL兩個(gè)服務(wù)。啟動(dòng)成功的標(biāo)志是控制面板對(duì)應(yīng)服務(wù)狀態(tài)變成綠色或者日志區(qū)沒(méi)有報(bào)錯(cuò)。如果Apache和MySQL圖標(biāo)啟動(dòng)后立刻變紅多半是端口被占先按第4部分的方法排掉。第二步下載DVWA源碼包?？梢詮墓俜酱a倉(cāng)庫(kù)下載最新的源碼壓縮包解壓后會(huì)得到一個(gè)DVWA-master文件夾把它重命名成DVWA整個(gè)放進(jìn)XAMPP的htdocs目錄下。如果你習(xí)慣用Git直接在htdocs里執(zhí)行g(shù)it clone相關(guān)命令拉取源碼效果一樣。第三步創(chuàng)建配置文件。DVWA自帶的配置文件模板叫config.inc.php.dist。進(jìn)入DVWA/config目錄把該文件復(fù)制一份重命名為config.inc.php。這個(gè)操作的意義是保留原始配置做備份修改副本不容易改廢。第四步改數(shù)據(jù)庫(kù)連接信息。用文本編輯器打開(kāi)config.inc.php找到這一段$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ;XAMPP默認(rèn)MySQL的root賬號(hào)密碼為空所以db_password保持空字符串即可。如果之前給MySQL設(shè)置過(guò)密碼這里必須填對(duì)否則后面創(chuàng)建數(shù)據(jù)庫(kù)會(huì)直接報(bào)Access Denied。第五步初始化數(shù)據(jù)庫(kù)。瀏覽器訪問(wèn)http://127.0.0.1/DVWA/DVWA會(huì)自動(dòng)跳到安裝檢查頁(yè)面。頁(yè)面會(huì)列出PHP擴(kuò)展、目錄權(quán)限、數(shù)據(jù)庫(kù)連接等一堆檢查項(xiàng)。確認(rèn)沒(méi)有紅色報(bào)錯(cuò)后拉到最下方點(diǎn)擊Create / Reset Database按鈕系統(tǒng)會(huì)自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)和初始數(shù)據(jù)。等它提示成功就可以用默認(rèn)賬號(hào)admin、密碼password登錄了。第六步把安全級(jí)別調(diào)到Low。登錄成功后左側(cè)菜單欄有DVWA Security選項(xiàng)進(jìn)去把安全級(jí)別設(shè)為L(zhǎng)ow再點(diǎn)提交。Low級(jí)別意味著防護(hù)幾乎為零最方便觀察注入效果的原始面貌練完再逐級(jí)往上加難度。2.4 搭建階段的幾個(gè)“隱藏雷區(qū)”有幾個(gè)問(wèn)題在搭建階段特別容易踩提前說(shuō)明能省你不少排查時(shí)間。首先是PHP版本兼容問(wèn)題。老版DVWA在PHP 8下可能出現(xiàn)函數(shù)棄用警告甚至某些頁(yè)面報(bào)Fatal Error。最簡(jiǎn)單的處理是裝PHP 7.4對(duì)應(yīng)的XAMPP版本或者升級(jí)到新版DVWA源碼。如果非要跑在PHP 8上就去php.ini里調(diào)整error_reporting E_ALL ~E_DEPRECATED ~E_NOTICE把警告壓住再繼續(xù)。其次是reCAPTCHA相關(guān)的紅色提示。安裝檢查頁(yè)面常會(huì)出現(xiàn)“reCAPTCHA key: Missing”類似提示這是DVWA自帶的谷歌驗(yàn)證碼功能需要配置API Key沒(méi)有它不影響SQL注入這個(gè)模塊的學(xué)習(xí)直接忽略即可。第三是數(shù)據(jù)庫(kù)創(chuàng)建失敗。最常見(jiàn)原因是config.inc.php里數(shù)據(jù)庫(kù)密碼和MySQL實(shí)際密碼不一致。XAMPP安裝時(shí)如果設(shè)置過(guò)MySQL root密碼而配置文件里還留空就會(huì)失敗。另一個(gè)思路是手動(dòng)導(dǎo)入進(jìn)入DVWA/database目錄用phpMyAdmin把database.sql導(dǎo)入再回到安裝頁(yè)面點(diǎn)創(chuàng)建數(shù)據(jù)庫(kù)也能解決。3. 在DVWA里把SQL注入逐級(jí)跑通3.1 Low級(jí)別字符型注入的完整鏈路登錄DVWA后左側(cè)菜單選SQL Injection會(huì)看到一個(gè)輸入用戶ID的輸入框。現(xiàn)在開(kāi)始做第一組實(shí)驗(yàn)。先輸入一個(gè)正常值1頁(yè)面會(huì)顯示ID: 1 First name: admin Surname: admin這說(shuō)明查詢是通的。接著輸入1也就是在數(shù)字后面加一個(gè)單引號(hào)頁(yè)面直接報(bào)數(shù)據(jù)庫(kù)錯(cuò)誤而且DVWA為了方便教學(xué)把完整SQL語(yǔ)句都打出來(lái)了SELECT first_name, last_name FROM users WHERE user_id 1;看到?jīng)]有多出的單引號(hào)把原本成對(duì)的引號(hào)結(jié)構(gòu)給破壞掉了。這就是判斷注入點(diǎn)的經(jīng)典手法用一個(gè)單引號(hào)試探如果頁(yè)面報(bào)錯(cuò)或者行為異常說(shuō)明輸入被直接拼進(jìn)了SQL。接下來(lái)驗(yàn)證“改變查詢邏輯”這一步。在輸入框提交1 OR 11 #實(shí)際執(zhí)行的SQL是SELECT first_name, last_name FROM users WHERE user_id 1 OR 11 #;#在MySQL里是注釋符作用是把后面殘留的單引號(hào)和分號(hào)全部注釋掉保證整條語(yǔ)句語(yǔ)法正確。OR 11讓W(xué)HERE恒真最終返回所有用戶記錄。如果頁(yè)面一下子列出了所有用戶的姓名恭喜你第一次注入成功了。3.2 聯(lián)合查詢注入把數(shù)據(jù)庫(kù)里的敏感數(shù)據(jù)帶出來(lái)OR 11這種方式只能把現(xiàn)有查詢的結(jié)果“全部拉出”但如果想讀取其他表的數(shù)據(jù)就得靠UNION SELECT。UNION的作用是把兩條查詢語(yǔ)句的結(jié)果合并成一張表返回前提是兩邊列數(shù)必須一致數(shù)據(jù)類型也要兼容。先做一次“數(shù)列數(shù)”的鋪墊操作。在輸入框分別嘗試1 ORDER BY 1# 1 ORDER BY 2# 1 ORDER BY 3#如果ORDER BY 3報(bào)錯(cuò)說(shuō)明原查詢只有兩列。原因很簡(jiǎn)單ORDER BY按列序號(hào)排序號(hào)超出實(shí)際列數(shù)時(shí)數(shù)據(jù)庫(kù)會(huì)報(bào)“Unknown column”。知道了列數(shù)就可以構(gòu)造UNION查詢1 UNION SELECT user, password FROM users#前半句1讓原查詢WHERE條件為假因?yàn)橛脩鬒D等于1的記錄會(huì)被優(yōu)先查出但UNION會(huì)把后面的結(jié)果一起返回后半句才是真正的“私貨”把users表的user字段和password字段作為兩列合并進(jìn)結(jié)果。頁(yè)面顯示的“First name”和“Surname”位置上就出現(xiàn)了所有用戶的用戶名和密碼哈希。DVWA的密碼字段存的是MD5值。比如admin的密碼哈希是5f4dcc3b5aa765d61d8327deb882cf99這就是password字符串的MD5。拿一段簡(jiǎn)單的Python代碼就能驗(yàn)證import hashlib print(hashlib.md5(bpassword).hexdigest()) # 輸出: 5f4dcc3b5aa765d61d8327deb882cf99到這里一條完整的“注入—跨表讀取—還原明文”鏈路就閉環(huán)了。實(shí)際操作中這一步會(huì)用到密碼破解工具但在本地靶場(chǎng)自己寫腳本跑一遍理解會(huì)更深。3.3 Medium級(jí)別數(shù)字型注入與“引號(hào)無(wú)用”的教訓(xùn)把DVWA Security切到Medium再回到SQL Injection頁(yè)面會(huì)發(fā)現(xiàn)輸入框變成了下拉菜單表面上看起來(lái)只能選1到5。這個(gè)設(shè)計(jì)很容易讓人忽略一個(gè)事實(shí)你在瀏覽器里能看到的只是UI真正的流量是可以改的。用抓包工具或者瀏覽器開(kāi)發(fā)者工具把POST請(qǐng)求里的id參數(shù)改成任意值就能繞過(guò)下拉菜單的限制。Medium級(jí)別之所以值得單獨(dú)練是因?yàn)樗塘艘粋€(gè)非常重要的教訓(xùn)轉(zhuǎn)義不一定有用。這一級(jí)的代碼對(duì)輸入做了mysqli_real_escape_string之類的轉(zhuǎn)義處理單引號(hào)、雙引號(hào)都會(huì)被加上反斜杠。聽(tīng)起來(lái)挺安全是吧可它拼SQL的時(shí)候有個(gè)致命細(xì)節(jié)——查詢語(yǔ)句變成了這樣SELECT first_name, last_name FROM users WHERE user_id $id;注意$id外面沒(méi)有引號(hào)了。既然沒(méi)有引號(hào)轉(zhuǎn)義單引號(hào)還有什么意義直接提交1 OR 11就能讓所有用戶記錄全部返回。再試1 UNION SELECT user, password FROM users同樣能讀出用戶名和密碼哈希。這個(gè)例子在實(shí)戰(zhàn)里特別有代表性很多團(tuán)隊(duì)做安全防護(hù)時(shí)只想著“過(guò)濾特殊字符”卻沒(méi)想到過(guò)濾的假設(shè)是錯(cuò)的——我根本不需要引號(hào)因?yàn)椴樵儽旧硎菙?shù)字型拼接。真正的安全靠的不是“猜攻擊者的攻擊方式”而是從一開(kāi)始就讓用戶輸入無(wú)法影響SQL結(jié)構(gòu)。3.4 盲注思路頁(yè)面上什么都看不到時(shí)怎么辦前面幾種注入都有明顯的頁(yè)面回顯一眼就能看到結(jié)果。但真實(shí)場(chǎng)景里大概率沒(méi)有這么友好程序可能把錯(cuò)誤信息吞掉了也可能只顯示“查詢成功/失敗”不展示任何數(shù)據(jù)庫(kù)內(nèi)容。這時(shí)候就要用盲注分兩種思路。布爾盲注的核心是“頁(yè)面兩種狀態(tài)”。比如在SQL InjectionBlind模塊里提交1 AND 11#頁(yè)面顯示記錄存在提交1 AND 12#頁(yè)面顯示記錄不存在。兩次請(qǐng)求唯一的區(qū)別是后面那個(gè)AND條件從恒真變成恒假頁(yè)面狀態(tài)隨之變化——這就是一個(gè)可以傳遞信息的“探測(cè)通道”。接下來(lái)就能像猜謎一樣一位一位地猜數(shù)據(jù)庫(kù)內(nèi)容。比如判斷數(shù)據(jù)庫(kù)名的第一個(gè)字符是不是d1 AND SUBSTRING((SELECT database()),1,1)d#如果成立頁(yè)面返回存在狀態(tài)不成立就換字母繼續(xù)試。手工試很慢寫個(gè)腳本循環(huán)就行。下面是個(gè)思路示例核心是用Python請(qǐng)求靶場(chǎng)頁(yè)面并判斷關(guān)鍵詞import requests url http://127.0.0.1/DVWA/vulnerabilities/sqli_blind/ cookies {PHPSESSID: 你的會(huì)話ID, security: low} charset abcdefghijklmnopqrstuvwxyz0123456789 result for pos in range(1, 10): for ch in charset: payload f1 AND SUBSTRING((SELECT database()),{pos},1){ch}# r requests.get(url, params{id: payload}, cookiescookies) if User ID exists in r.text: result ch break else: break print(result)時(shí)間盲注則是把判斷條件做成時(shí)間差讓數(shù)據(jù)庫(kù)執(zhí)行sleep延遲函數(shù)如果條件成立就多睡幾秒通過(guò)響應(yīng)耗時(shí)判斷真假。比如1 AND SLEEP(5)#頁(yè)面如果明顯卡了5秒才返回就說(shuō)明注入語(yǔ)句執(zhí)行成功、SLEEP生效。這類技巧的意義在于即使頁(yè)面完全沒(méi)有任何回顯差異只要數(shù)據(jù)庫(kù)還在執(zhí)行你的SQL就能用時(shí)間通道把信息一點(diǎn)一點(diǎn)傳遞出來(lái)。需要強(qiáng)調(diào)的是盲注枚舉腳本在業(yè)界有專門的自動(dòng)化測(cè)試工具但這套手工腳本的思路仍然值得自己寫一遍能幫助你真正理解工具在背后做了什么。3.5 從High到Impossible看官方怎么一步步堵住漏洞把難度切到High再試之前的payload會(huì)發(fā)現(xiàn)很多“常規(guī)操作”失效了。High級(jí)別做了幾層加固對(duì)引號(hào)做了轉(zhuǎn)義處理查詢里加了LIMIT 1限制返回條數(shù)也不再直接暴露數(shù)據(jù)庫(kù)錯(cuò)誤。像 OR 11#這類依賴注釋符和引號(hào)閉合的語(yǔ)句很可能被斷掉。但High級(jí)別依然不是絕對(duì)安全它只是把“普通的注入思路”擋在外面對(duì)真正理解SQL語(yǔ)法細(xì)節(jié)的人還會(huì)有變通空間。這個(gè)級(jí)別適合作為進(jìn)階琢磨的題目不用急著一次打通。真正值得所有人記住的是Impossible級(jí)別。這一級(jí)不再追求“過(guò)濾”而是徹底換了一種查詢方式——參數(shù)化查詢。它的效果是不管用戶輸入什么哪怕是一整篇OR 11數(shù)據(jù)庫(kù)都只把它當(dāng)成一個(gè)“值”而不會(huì)當(dāng)成“代碼”來(lái)執(zhí)行。這相當(dāng)于合同模板里完全不允許用戶追加條款你寫什么都沒(méi)用。從Low到Impossible的過(guò)程幾乎就是Web安全歷史上SQL注入對(duì)抗演變的濃縮版本把四個(gè)級(jí)別都玩一遍理解深度比單獨(dú)記一百條payload都有用。4. 常見(jiàn)問(wèn)題與排查實(shí)錄4.1 環(huán)境搭建階段的高頻故障下面這張表是我在實(shí)際裝機(jī)過(guò)程中遇到最多的問(wèn)題按“癥狀—原因—解決辦法”整理好了癥狀常見(jiàn)原因解決辦法Apache啟動(dòng)后馬上變紅80端口被其他程序占用停止占用程序或在httpd.conf里把監(jiān)聽(tīng)端口改成8080MySQL啟動(dòng)失敗3306端口被占用或數(shù)據(jù)目錄權(quán)限異常改my.ini里的端口并同步修改config.inc.php檢查數(shù)據(jù)目錄讀寫權(quán)限安裝頁(yè)面提示數(shù)據(jù)庫(kù)連接失敗config.inc.php里的密碼和MySQL實(shí)際密碼不一致核對(duì)并修改db_password確認(rèn)MySQL服務(wù)已啟動(dòng)頁(yè)面出現(xiàn)大量Deprecated警告PHP版本過(guò)新兼容性告警換PHP 7.4或在php.ini里降低error_reporting級(jí)別訪問(wèn)/DVWA/出現(xiàn)404解壓目錄名或位置不對(duì)確認(rèn)源碼放在htdocs/DVWA下且目錄內(nèi)有index.php登錄后點(diǎn)菜單全是空白頁(yè)P(yáng)HP擴(kuò)展缺失或文件權(quán)限不對(duì)檢查php.ini里是否開(kāi)啟mysqli、pdo_mysql擴(kuò)展確認(rèn)DVWA目錄有讀寫權(quán)限這類問(wèn)題的排查思路其實(shí)是一致的先看服務(wù)是否起來(lái)再看配置是否匹配最后看目錄和權(quán)限。裝上環(huán)境最忌諱的是“這里改一下那里改一下”最好按順序定位改一處測(cè)一處。4.2 注入實(shí)驗(yàn)做不出來(lái)時(shí)的卡點(diǎn)定位很多新手在練習(xí)時(shí)卡住并不是原理不理解而是卡在非常具體的“語(yǔ)句細(xì)節(jié)”上。我挑幾個(gè)最常見(jiàn)的第一個(gè)是提交1后頁(yè)面沒(méi)有反應(yīng)。先檢查左側(cè)的Security Level是不是真的切到了Low再確認(rèn)自己登錄的會(huì)話是否過(guò)期。DVWA的很多頁(yè)面依賴會(huì)話和難度級(jí)別這兩個(gè)條件不滿足怎么試都不對(duì)。第二個(gè)是UNION查詢報(bào)“The used SELECT statements have a different number of columns”。這就是列數(shù)沒(méi)對(duì)齊。先用ORDER BY逐個(gè)數(shù)列數(shù)確認(rèn)原查詢有幾列再讓UNION后面的SELECT補(bǔ)對(duì)應(yīng)數(shù)量的列。不要憑感覺(jué)猜。第三個(gè)是注釋符不生效。MySQL的注釋語(yǔ)法有講究--后面必須跟一個(gè)空格才生效否則數(shù)據(jù)庫(kù)不認(rèn)#則在URL里容易被解析掉粘貼進(jìn)地址欄時(shí)要注意編碼。最省事的方法是放棄URL傳參改用抓包工具的請(qǐng)求重放功能在請(qǐng)求體里直接修改參數(shù)。第四個(gè)是時(shí)間盲注完全沒(méi)有延遲。先確認(rèn)SLEEP函數(shù)在目標(biāo)數(shù)據(jù)庫(kù)里可用再確認(rèn)自己的語(yǔ)句語(yǔ)法正確、引號(hào)閉合完整、末位注釋符是否把多余內(nèi)容注釋干凈。很多時(shí)候不是原理錯(cuò)而是最后差一個(gè)#或多了一個(gè)空格。第五個(gè)是注入成功但看到的數(shù)據(jù)是亂碼。這是字符集問(wèn)題DVWA建表時(shí)如果用了latin1而頁(yè)面按UTF-8解析中文內(nèi)容就會(huì)亂。把數(shù)據(jù)庫(kù)字符集統(tǒng)一改成utf8或utf8mb4即可。4.3 靶場(chǎng)練習(xí)的安全邊界這個(gè)話題必須單獨(dú)說(shuō)因?yàn)樗燃夹g(shù)本身重要得多。DVWA是實(shí)驗(yàn)靶場(chǎng)作用范圍僅限于你自己的本機(jī)、或者完全隔離的虛擬實(shí)驗(yàn)環(huán)境。任何針對(duì)他人網(wǎng)站、未經(jīng)授權(quán)的系統(tǒng)的注入測(cè)試都是違法和違背職業(yè)道德的這不是技術(shù)問(wèn)題是底線問(wèn)題。練習(xí)過(guò)程中不要用真實(shí)系統(tǒng)的任何數(shù)據(jù)、賬號(hào)信息做實(shí)驗(yàn)也不要把靶場(chǎng)搭在有公網(wǎng)暴露的服務(wù)器上。練完之后如果環(huán)境不再使用建議直接關(guān)閉MySQL和Apache服務(wù)或者干脆刪掉靶場(chǎng)目錄。安全意識(shí)應(yīng)該從學(xué)習(xí)第一天就刻在習(xí)慣里。5. 防住注入的幾種手段與后續(xù)學(xué)習(xí)路線5.1 根治方案參數(shù)化查詢看了這么多注入手法防御的核心其實(shí)已經(jīng)呼之欲出了別讓用戶輸入進(jìn)入SQL的執(zhí)行上下文。參數(shù)化查詢也叫預(yù)編譯語(yǔ)句是這個(gè)思路的工程化實(shí)現(xiàn)。以PHP的PDO為例$stmt $pdo-prepare(SELECT first_name, last_name FROM users WHERE user_id :id); $stmt-bindParam(:id, $id, PDO::PARAM_INT); $stmt-execute();動(dòng)態(tài)流量與HTTP頭實(shí)戰(zhàn)前端JavaScript在發(fā)送請(qǐng)求時(shí)可以動(dòng)態(tài)決定使用GET還是POST以及附加哪些自定義HTTP頭。這個(gè)設(shè)計(jì)對(duì)攻擊排查的啟示在于不能只盯著“請(qǐng)求參數(shù)”也要關(guān)注整個(gè)請(qǐng)求形態(tài)。一個(gè)典型的“隱藏探測(cè)”手法是在HTTP頭里夾帶信息比如X-Custom-Token: 2024-05-11T14:09:00 X-Requested-With: XMLHttpRequest這類自定義頭如果被后端程序讀取并拼進(jìn)SQL查詢條件就構(gòu)成一個(gè)隱蔽的注入入口。以前有個(gè)經(jīng)典案例程序從X-Forwarded-For頭取客戶端IP然后直接拼到SQL里查歸屬地結(jié)果攻擊者只需要把這個(gè)頭改成 OR 11就能拖出整表數(shù)據(jù)。在這個(gè)自建環(huán)境里用瀏覽器開(kāi)發(fā)者工具手動(dòng)構(gòu)造帶自定義頭的請(qǐng)求觀察后端響應(yīng)能很直觀地理解“輸入點(diǎn)不只有表單”。結(jié)合DVWA的SQL Injection模塊還可以把參數(shù)改成從Cookie中取值重新梳理一遍查詢邏輯是否仍然存在注入。5.2 縱深防御的幾層補(bǔ)充參數(shù)化查詢是根治但現(xiàn)實(shí)世界的系統(tǒng)往往有歷史包袱不可能一夜之間全部改完。以下防護(hù)措施能顯著降低風(fēng)險(xiǎn)和損失第一層是輸入校驗(yàn)。對(duì)明確知道格式的字段做白名單校驗(yàn)比如“用戶ID必須是純數(shù)字”那就直接校驗(yàn)后再拼查詢。這套方式只對(duì)格式明確的字段有效對(duì)搜索框這類需要自由文本的情況不適用。第二層是最小權(quán)限。生產(chǎn)環(huán)境的數(shù)據(jù)庫(kù)賬號(hào)絕不能用root應(yīng)用能連庫(kù)執(zhí)行增刪改查就夠了不該給它DROP表、創(chuàng)建用戶的權(quán)限。這樣即使被注入攻擊者能做的事情也極其有限。第三層是錯(cuò)誤信息脫敏。生產(chǎn)環(huán)境把數(shù)據(jù)庫(kù)報(bào)錯(cuò)信息原樣返回給前端等于給攻擊者遞地圖。把錯(cuò)誤信息統(tǒng)一收斂成“系統(tǒng)繁忙”之類同時(shí)把詳細(xì)錯(cuò)誤記到后端日志里。第四層是數(shù)據(jù)庫(kù)防火墻和WAF。它們屬于緩解層能攔下一部分明顯的注入流量但不能作為唯一防線因?yàn)樗举|(zhì)上是“猜攻擊者怎么寫”總有繞過(guò)空間。第五層是日志審計(jì)。開(kāi)啟數(shù)據(jù)庫(kù)慢查詢?nèi)罩竞蚐QL審計(jì)日志定期掃描異常的SQL模式很多潛伏的注入嘗試就是靠日志復(fù)盤發(fā)現(xiàn)的。5.3 從SQL注入繼續(xù)往哪里走把DVWA的SQL Injection模塊從Low一路刷到Impossible之后建議按這個(gè)順序繼續(xù)往下學(xué)。先做DVWA里的XSS和CSRF模塊它們和SQL注入并列Web安全三大入門必學(xué)再練文件包含和文件上傳理解服務(wù)端對(duì)上傳內(nèi)容的處理邏輯。工具層面學(xué)習(xí)用抓包改包工具觀察和重放請(qǐng)求配合自動(dòng)化注入測(cè)試工具做結(jié)果驗(yàn)證但務(wù)必記住所有測(cè)試都在授權(quán)靶場(chǎng)內(nèi)進(jìn)行。原理層面可以延伸研究寬字節(jié)注入、二次注入、NoSQL注入這些本質(zhì)都是“用戶輸入被錯(cuò)誤地當(dāng)成代碼執(zhí)行”只是觸發(fā)場(chǎng)景不同。我個(gè)人帶人時(shí)有個(gè)習(xí)慣每講完一類漏洞就要求對(duì)方用100字以內(nèi)向一個(gè)非技術(shù)背景的同事解釋這個(gè)漏洞的原理。如果對(duì)方能聽(tīng)懂說(shuō)明是真的理解了。SQL注入講到底就是一個(gè)信任問(wèn)題——你信任了不該信任的輸入并且讓這份信任進(jìn)入了最核心的數(shù)據(jù)通道。在寫每一行SQL時(shí)都條件反射地想一想“這里如果拼進(jìn)去一條攻擊語(yǔ)句會(huì)怎樣”這種習(xí)慣比背任何payload都值錢。DVWA這個(gè)環(huán)境留著別刪以后碰到來(lái)歷不明的框架、組件、代碼片段都可以先在這個(gè)靶場(chǎng)里試一遍再做決定。這就是我反復(fù)強(qiáng)調(diào)“環(huán)境即標(biāo)尺”的原因。 DVWA實(shí)戰(zhàn)：SQL注入原理、攻擊手法與防御修復(fù)全解析
SQL注入這四個(gè)字凡是接觸過(guò)Web開(kāi)發(fā)或后端的人基本都聽(tīng)過(guò)但多數(shù)人對(duì)它的認(rèn)知停留在“知道有這么一個(gè)漏洞”。真正能在本地搭一個(gè)可控靶場(chǎng)親手構(gòu)造幾條注入語(yǔ)句看著數(shù)據(jù)被一條條帶回再回頭理解修復(fù)方案的人反而不多。我?guī)氯巳腴T安全時(shí)最常遇到的瓶頸就在這里理論看去都對(duì)一上手卻不知道從哪條語(yǔ)句開(kāi)始。這篇文章就直接從DVWADamn Vulnerable Web Application這個(gè)開(kāi)源靶場(chǎng)講起先把環(huán)境完整搭起來(lái)再以SQL注入為主線把字符型、數(shù)字型、聯(lián)合查詢、盲注這些基礎(chǔ)點(diǎn)在一個(gè)真實(shí)可復(fù)現(xiàn)的實(shí)驗(yàn)環(huán)境里講透。適合剛開(kāi)始學(xué)Web安全、或者想補(bǔ)一下后端防漏洞知識(shí)的人也適合準(zhǔn)備做團(tuán)隊(duì)內(nèi)部分享的同事直接拿去當(dāng)素材。1. 先搞明白SQL注入到底是怎么發(fā)生的1.1 一次“拼接失誤”引發(fā)的數(shù)據(jù)泄露SQL注入的根源說(shuō)穿了就四個(gè)字字符串拼接。大多數(shù)語(yǔ)言里拼SQL太方便了很多早期代碼直接就把用戶輸入塞進(jìn)查詢語(yǔ)句。你可以把SQL查詢想象成一張事先印好的正式合同用戶在網(wǎng)頁(yè)表單里輸入的內(nèi)容相當(dāng)于填在空白欄里的信息。正常流程是用戶填什么合同保留什么但如果這個(gè)“填內(nèi)容”的動(dòng)作沒(méi)做任何校驗(yàn)用戶輸入里夾帶的其他“條款”也會(huì)被原樣寫進(jìn)合同。舉個(gè)例子。DVWA低難度級(jí)別的用戶查詢模塊核心SQL長(zhǎng)這樣SELECT first_name, last_name FROM users WHERE user_id $id;單引號(hào)把$id包起來(lái)本意是把它當(dāng)成一個(gè)字符串值?？扇绻脩粼贗D輸入框里提交的是一段自帶單引號(hào)的文本比如1 OR 11那么拼出來(lái)的SQL就變成了SELECT first_name, last_name FROM users WHERE user_id 1 OR 11;11永遠(yuǎn)為真整個(gè)WHERE條件直接失效查詢返回的不再是一條用戶記錄而是全表數(shù)據(jù)。對(duì)比一下合同類比對(duì)方不僅在空白欄里填了內(nèi)容還在末尾追加了一段“所有條款作廢”的文字。這就是SQL注入最核心的原理其余各種花活——報(bào)錯(cuò)注入、聯(lián)合查詢、盲注——全都是在這個(gè)基礎(chǔ)上演變出來(lái)的。1.2 注入成立需要滿足的兩個(gè)前提不是任何輸入都會(huì)導(dǎo)致注入。一個(gè)頁(yè)面存在SQL注入漏洞必須同時(shí)滿足兩個(gè)條件第一個(gè)條件是“可控?cái)?shù)據(jù)進(jìn)SQL”。用戶輸入GET參數(shù)、POST表單、Cookie、請(qǐng)求頭、文件上傳的文件名等被程序直接拼進(jìn)了查詢語(yǔ)句沒(méi)有經(jīng)過(guò)參數(shù)化處理。這是漏洞存在的土壤。第二個(gè)條件是“輸入能改變語(yǔ)句結(jié)構(gòu)”。也就是用戶提交的內(nèi)容里有特殊字符比如單引號(hào)、雙引號(hào)、注釋符、分號(hào)這些字符在SQL語(yǔ)法里是有特殊含義的。當(dāng)它們從“數(shù)據(jù)”變成“語(yǔ)法”的那一刻注入就發(fā)生了。滿足這兩個(gè)條件后注入還能按不同維度分好幾類。按參數(shù)類型分字符型注入數(shù)據(jù)本來(lái)就帶引號(hào)包著需要自己閉合引號(hào)和數(shù)字型注入查詢語(yǔ)句里字段直接跟數(shù)字比較都不用閉合引號(hào)。按數(shù)據(jù)回顯方式分報(bào)錯(cuò)注入數(shù)據(jù)庫(kù)把錯(cuò)誤信息直接吐回頁(yè)面、聯(lián)合查詢注入借助UNION把額外查詢結(jié)果拼到正常結(jié)果里、盲注頁(yè)面不直接顯示查詢結(jié)果只能靠“頁(yè)面內(nèi)容變沒(méi)變”“響應(yīng)時(shí)間變沒(méi)變”來(lái)判斷。后面實(shí)操部分我會(huì)逐一在DVWA里跑給你看。2. DVWA靶場(chǎng)搭建把實(shí)驗(yàn)環(huán)境一次整利索2.1 為什么選DVWA當(dāng)練習(xí)靶場(chǎng)學(xué)注入最忌諱一上來(lái)就對(duì)著真實(shí)網(wǎng)站做實(shí)驗(yàn)?zāi)鞘钦衣闊?。DVWA這類“故意做漏洞”的開(kāi)源靶場(chǎng)就是干這個(gè)用的。它有四個(gè)難度級(jí)別Low、Medium、High、Impossible從“完全裸奔”到“幾乎無(wú)懈可擊”可以直觀對(duì)比同一個(gè)漏洞在不同防護(hù)強(qiáng)度下的表現(xiàn)。而且DVWA不止有SQL注入XSS、CSRF、文件包含、文件上傳、命令注入這些Web安全入門必學(xué)的漏洞類型全都有裝一次環(huán)境后面很長(zhǎng)時(shí)間都能復(fù)用。另外DVWA的源碼是開(kāi)放的可以直接打開(kāi)PHP文件看每一級(jí)別的修復(fù)方式。這點(diǎn)特別重要理解“漏洞怎么來(lái)的”之后緊接著看“官方怎么修的”學(xué)習(xí)效率比單純刷題高得多。2.2 環(huán)境選型XAMPP組合最省心DVWA是典型的PHPMySQL應(yīng)用跑在Apache上。本地環(huán)境我建議直接用XAMPP它把Apache、MySQL、PHP打包在一起Windows和macOS上裝好就能用省去一項(xiàng)項(xiàng)配環(huán)境的精力。Linux用戶也可以用系統(tǒng)自帶的包管理器分別裝Apache、MySQL/MariaDB、PHP但那不是本文重點(diǎn)我下面按XAMPP的路徑走。版本方面說(shuō)幾句XAMPP官方包里PHP版本通常比較新可能到8.x而DVWA歷史版本對(duì)PHP 8的兼容性一般。新版本的DVWA源碼已經(jīng)能跑在PHP 8上但可能彈出不少Deprecated警告不影響功能但很礙眼。如果你下載的是老版本DVWA穩(wěn)妥做法是裝XAMPP的PHP 7.4版本或者直接在php.ini里把error_reporting調(diào)低把屏幕警告壓掉。這個(gè)細(xì)節(jié)很多人沒(méi)注意裝完被滿屏黃色警告嚇一跳還以為環(huán)境壞了。2.3 安裝步驟從下載到登錄整個(gè)搭建過(guò)程我拆成六步照著做基本不會(huì)出岔子。第一步安裝并啟動(dòng)XAMPP。安裝完成后打開(kāi)控制面板啟動(dòng)Apache和MySQL兩個(gè)服務(wù)。啟動(dòng)成功的標(biāo)志是控制面板對(duì)應(yīng)服務(wù)狀態(tài)變成綠色或者日志區(qū)沒(méi)有報(bào)錯(cuò)。如果Apache和MySQL圖標(biāo)啟動(dòng)后立刻變紅多半是端口被占先按第4部分的方法排掉。第二步下載DVWA源碼包?？梢詮墓俜酱a倉(cāng)庫(kù)下載最新的源碼壓縮包解壓后會(huì)得到一個(gè)DVWA-master文件夾把它重命名成DVWA整個(gè)放進(jìn)XAMPP的htdocs目錄下。如果你習(xí)慣用Git直接在htdocs里執(zhí)行g(shù)it clone相關(guān)命令拉取源碼效果一樣。第三步創(chuàng)建配置文件。DVWA自帶的配置文件模板叫config.inc.php.dist。進(jìn)入DVWA/config目錄把該文件復(fù)制一份重命名為config.inc.php。這個(gè)操作的意義是保留原始配置做備份修改副本不容易改廢。第四步改數(shù)據(jù)庫(kù)連接信息。用文本編輯器打開(kāi)config.inc.php找到這一段$_DVWA[ db_server ] 127.0.0.1; $_DVWA[ db_database ] dvwa; $_DVWA[ db_user ] root; $_DVWA[ db_password ] ;XAMPP默認(rèn)MySQL的root賬號(hào)密碼為空所以db_password保持空字符串即可。如果之前給MySQL設(shè)置過(guò)密碼這里必須填對(duì)否則后面創(chuàng)建數(shù)據(jù)庫(kù)會(huì)直接報(bào)Access Denied。第五步初始化數(shù)據(jù)庫(kù)。瀏覽器訪問(wèn)http://127.0.0.1/DVWA/DVWA會(huì)自動(dòng)跳到安裝檢查頁(yè)面。頁(yè)面會(huì)列出PHP擴(kuò)展、目錄權(quán)限、數(shù)據(jù)庫(kù)連接等一堆檢查項(xiàng)。確認(rèn)沒(méi)有紅色報(bào)錯(cuò)后拉到最下方點(diǎn)擊Create / Reset Database按鈕系統(tǒng)會(huì)自動(dòng)創(chuàng)建數(shù)據(jù)庫(kù)和初始數(shù)據(jù)。等它提示成功就可以用默認(rèn)賬號(hào)admin、密碼password登錄了。第六步把安全級(jí)別調(diào)到Low。登錄成功后左側(cè)菜單欄有DVWA Security選項(xiàng)進(jìn)去把安全級(jí)別設(shè)為L(zhǎng)ow再點(diǎn)提交。Low級(jí)別意味著防護(hù)幾乎為零最方便觀察注入效果的原始面貌練完再逐級(jí)往上加難度。2.4 搭建階段的幾個(gè)“隱藏雷區(qū)”有幾個(gè)問(wèn)題在搭建階段特別容易踩提前說(shuō)明能省你不少排查時(shí)間。首先是PHP版本兼容問(wèn)題。老版DVWA在PHP 8下可能出現(xiàn)函數(shù)棄用警告甚至某些頁(yè)面報(bào)Fatal Error。最簡(jiǎn)單的處理是裝PHP 7.4對(duì)應(yīng)的XAMPP版本或者升級(jí)到新版DVWA源碼。如果非要跑在PHP 8上就去php.ini里調(diào)整error_reporting E_ALL ~E_DEPRECATED ~E_NOTICE把警告壓住再繼續(xù)。其次是reCAPTCHA相關(guān)的紅色提示。安裝檢查頁(yè)面常會(huì)出現(xiàn)“reCAPTCHA key: Missing”類似提示這是DVWA自帶的谷歌驗(yàn)證碼功能需要配置API Key沒(méi)有它不影響SQL注入這個(gè)模塊的學(xué)習(xí)直接忽略即可。第三是數(shù)據(jù)庫(kù)創(chuàng)建失敗。最常見(jiàn)原因是config.inc.php里數(shù)據(jù)庫(kù)密碼和MySQL實(shí)際密碼不一致。XAMPP安裝時(shí)如果設(shè)置過(guò)MySQL root密碼而配置文件里還留空就會(huì)失敗。另一個(gè)思路是手動(dòng)導(dǎo)入進(jìn)入DVWA/database目錄用phpMyAdmin把database.sql導(dǎo)入再回到安裝頁(yè)面點(diǎn)創(chuàng)建數(shù)據(jù)庫(kù)也能解決。3. 在DVWA里把SQL注入逐級(jí)跑通3.1 Low級(jí)別字符型注入的完整鏈路登錄DVWA后左側(cè)菜單選SQL Injection會(huì)看到一個(gè)輸入用戶ID的輸入框。現(xiàn)在開(kāi)始做第一組實(shí)驗(yàn)。先輸入一個(gè)正常值1頁(yè)面會(huì)顯示ID: 1 First name: admin Surname: admin這說(shuō)明查詢是通的。接著輸入1也就是在數(shù)字后面加一個(gè)單引號(hào)頁(yè)面直接報(bào)數(shù)據(jù)庫(kù)錯(cuò)誤而且DVWA為了方便教學(xué)把完整SQL語(yǔ)句都打出來(lái)了SELECT first_name, last_name FROM users WHERE user_id 1;看到?jīng)]有多出的單引號(hào)把原本成對(duì)的引號(hào)結(jié)構(gòu)給破壞掉了。這就是判斷注入點(diǎn)的經(jīng)典手法用一個(gè)單引號(hào)試探如果頁(yè)面報(bào)錯(cuò)或者行為異常說(shuō)明輸入被直接拼進(jìn)了SQL。接下來(lái)驗(yàn)證“改變查詢邏輯”這一步。在輸入框提交1 OR 11 #實(shí)際執(zhí)行的SQL是SELECT first_name, last_name FROM users WHERE user_id 1 OR 11 #;#在MySQL里是注釋符作用是把后面殘留的單引號(hào)和分號(hào)全部注釋掉保證整條語(yǔ)句語(yǔ)法正確。OR 11讓W(xué)HERE恒真最終返回所有用戶記錄。如果頁(yè)面一下子列出了所有用戶的姓名恭喜你第一次注入成功了。3.2 聯(lián)合查詢注入把數(shù)據(jù)庫(kù)里的敏感數(shù)據(jù)帶出來(lái)OR 11這種方式只能把現(xiàn)有查詢的結(jié)果“全部拉出”但如果想讀取其他表的數(shù)據(jù)就得靠UNION SELECT。UNION的作用是把兩條查詢語(yǔ)句的結(jié)果合并成一張表返回前提是兩邊列數(shù)必須一致數(shù)據(jù)類型也要兼容。先做一次“數(shù)列數(shù)”的鋪墊操作。在輸入框分別嘗試1 ORDER BY 1# 1 ORDER BY 2# 1 ORDER BY 3#如果ORDER BY 3報(bào)錯(cuò)說(shuō)明原查詢只有兩列。原因很簡(jiǎn)單ORDER BY按列序號(hào)排序號(hào)超出實(shí)際列數(shù)時(shí)數(shù)據(jù)庫(kù)會(huì)報(bào)“Unknown column”。知道了列數(shù)就可以構(gòu)造UNION查詢1 UNION SELECT user, password FROM users#前半句1讓原查詢WHERE條件為假因?yàn)橛脩鬒D等于1的記錄會(huì)被優(yōu)先查出但UNION會(huì)把后面的結(jié)果一起返回后半句才是真正的“私貨”把users表的user字段和password字段作為兩列合并進(jìn)結(jié)果。頁(yè)面顯示的“First name”和“Surname”位置上就出現(xiàn)了所有用戶的用戶名和密碼哈希。DVWA的密碼字段存的是MD5值。比如admin的密碼哈希是5f4dcc3b5aa765d61d8327deb882cf99這就是password字符串的MD5。拿一段簡(jiǎn)單的Python代碼就能驗(yàn)證import hashlib print(hashlib.md5(bpassword).hexdigest()) # 輸出: 5f4dcc3b5aa765d61d8327deb882cf99到這里一條完整的“注入—跨表讀取—還原明文”鏈路就閉環(huán)了。實(shí)際操作中這一步會(huì)用到密碼破解工具但在本地靶場(chǎng)自己寫腳本跑一遍理解會(huì)更深。3.3 Medium級(jí)別數(shù)字型注入與“引號(hào)無(wú)用”的教訓(xùn)把DVWA Security切到Medium再回到SQL Injection頁(yè)面會(huì)發(fā)現(xiàn)輸入框變成了下拉菜單表面上看起來(lái)只能選1到5。這個(gè)設(shè)計(jì)很容易讓人忽略一個(gè)事實(shí)你在瀏覽器里能看到的只是UI真正的流量是可以改的。用抓包工具或者瀏覽器開(kāi)發(fā)者工具把POST請(qǐng)求里的id參數(shù)改成任意值就能繞過(guò)下拉菜單的限制。Medium級(jí)別之所以值得單獨(dú)練是因?yàn)樗塘艘粋€(gè)非常重要的教訓(xùn)轉(zhuǎn)義不一定有用。這一級(jí)的代碼對(duì)輸入做了mysqli_real_escape_string之類的轉(zhuǎn)義處理單引號(hào)、雙引號(hào)都會(huì)被加上反斜杠。聽(tīng)起來(lái)挺安全是吧可它拼SQL的時(shí)候有個(gè)致命細(xì)節(jié)——查詢語(yǔ)句變成了這樣SELECT first_name, last_name FROM users WHERE user_id $id;注意$id外面沒(méi)有引號(hào)了。既然沒(méi)有引號(hào)轉(zhuǎn)義單引號(hào)還有什么意義直接提交1 OR 11就能讓所有用戶記錄全部返回。再試1 UNION SELECT user, password FROM users同樣能讀出用戶名和密碼哈希。這個(gè)例子在實(shí)戰(zhàn)里特別有代表性很多團(tuán)隊(duì)做安全防護(hù)時(shí)只想著“過(guò)濾特殊字符”卻沒(méi)想到過(guò)濾的假設(shè)是錯(cuò)的——我根本不需要引號(hào)因?yàn)椴樵儽旧硎菙?shù)字型拼接。真正的安全靠的不是“猜攻擊者的攻擊方式”而是從一開(kāi)始就讓用戶輸入無(wú)法影響SQL結(jié)構(gòu)。3.4 盲注思路頁(yè)面上什么都看不到時(shí)怎么辦前面幾種注入都有明顯的頁(yè)面回顯一眼就能看到結(jié)果。但真實(shí)場(chǎng)景里大概率沒(méi)有這么友好程序可能把錯(cuò)誤信息吞掉了也可能只顯示“查詢成功/失敗”不展示任何數(shù)據(jù)庫(kù)內(nèi)容。這時(shí)候就要用盲注分兩種思路。布爾盲注的核心是“頁(yè)面兩種狀態(tài)”。比如在SQL InjectionBlind模塊里提交1 AND 11#頁(yè)面顯示記錄存在提交1 AND 12#頁(yè)面顯示記錄不存在。兩次請(qǐng)求唯一的區(qū)別是后面那個(gè)AND條件從恒真變成恒假頁(yè)面狀態(tài)隨之變化——這就是一個(gè)可以傳遞信息的“探測(cè)通道”。接下來(lái)就能像猜謎一樣一位一位地猜數(shù)據(jù)庫(kù)內(nèi)容。比如判斷數(shù)據(jù)庫(kù)名的第一個(gè)字符是不是d1 AND SUBSTRING((SELECT database()),1,1)d#如果成立頁(yè)面返回存在狀態(tài)不成立就換字母繼續(xù)試。手工試很慢寫個(gè)腳本循環(huán)就行。下面是個(gè)思路示例核心是用Python請(qǐng)求靶場(chǎng)頁(yè)面并判斷關(guān)鍵詞import requests url http://127.0.0.1/DVWA/vulnerabilities/sqli_blind/ cookies {PHPSESSID: 你的會(huì)話ID, security: low} charset abcdefghijklmnopqrstuvwxyz0123456789 result for pos in range(1, 10): for ch in charset: payload f1 AND SUBSTRING((SELECT database()),{pos},1){ch}# r requests.get(url, params{id: payload}, cookiescookies) if User ID exists in r.text: result ch break else: break print(result)時(shí)間盲注則是把判斷條件做成時(shí)間差讓數(shù)據(jù)庫(kù)執(zhí)行sleep延遲函數(shù)如果條件成立就多睡幾秒通過(guò)響應(yīng)耗時(shí)判斷真假。比如1 AND SLEEP(5)#頁(yè)面如果明顯卡了5秒才返回就說(shuō)明注入語(yǔ)句執(zhí)行成功、SLEEP生效。這類技巧的意義在于即使頁(yè)面完全沒(méi)有任何回顯差異只要數(shù)據(jù)庫(kù)還在執(zhí)行你的SQL就能用時(shí)間通道把信息一點(diǎn)一點(diǎn)傳遞出來(lái)。需要強(qiáng)調(diào)的是盲注枚舉腳本在業(yè)界有專門的自動(dòng)化測(cè)試工具但這套手工腳本的思路仍然值得自己寫一遍能幫助你真正理解工具在背后做了什么。3.5 從High到Impossible看官方怎么一步步堵住漏洞把難度切到High再試之前的payload會(huì)發(fā)現(xiàn)很多“常規(guī)操作”失效了。High級(jí)別做了幾層加固對(duì)引號(hào)做了轉(zhuǎn)義處理查詢里加了LIMIT 1限制返回條數(shù)也不再直接暴露數(shù)據(jù)庫(kù)錯(cuò)誤。像 OR 11#這類依賴注釋符和引號(hào)閉合的語(yǔ)句很可能被斷掉。但High級(jí)別依然不是絕對(duì)安全它只是把“普通的注入思路”擋在外面對(duì)真正理解SQL語(yǔ)法細(xì)節(jié)的人還會(huì)有變通空間。這個(gè)級(jí)別適合作為進(jìn)階琢磨的題目不用急著一次打通。真正值得所有人記住的是Impossible級(jí)別。這一級(jí)不再追求“過(guò)濾”而是徹底換了一種查詢方式——參數(shù)化查詢。它的效果是不管用戶輸入什么哪怕是一整篇OR 11數(shù)據(jù)庫(kù)都只把它當(dāng)成一個(gè)“值”而不會(huì)當(dāng)成“代碼”來(lái)執(zhí)行。這相當(dāng)于合同模板里完全不允許用戶追加條款你寫什么都沒(méi)用。從Low到Impossible的過(guò)程幾乎就是Web安全歷史上SQL注入對(duì)抗演變的濃縮版本把四個(gè)級(jí)別都玩一遍理解深度比單獨(dú)記一百條payload都有用。4. 常見(jiàn)問(wèn)題與排查實(shí)錄4.1 環(huán)境搭建階段的高頻故障下面這張表是我在實(shí)際裝機(jī)過(guò)程中遇到最多的問(wèn)題按“癥狀—原因—解決辦法”整理好了癥狀常見(jiàn)原因解決辦法Apache啟動(dòng)后馬上變紅80端口被其他程序占用停止占用程序或在httpd.conf里把監(jiān)聽(tīng)端口改成8080MySQL啟動(dòng)失敗3306端口被占用或數(shù)據(jù)目錄權(quán)限異常改my.ini里的端口并同步修改config.inc.php檢查數(shù)據(jù)目錄讀寫權(quán)限安裝頁(yè)面提示數(shù)據(jù)庫(kù)連接失敗config.inc.php里的密碼和MySQL實(shí)際密碼不一致核對(duì)并修改db_password確認(rèn)MySQL服務(wù)已啟動(dòng)頁(yè)面出現(xiàn)大量Deprecated警告PHP版本過(guò)新兼容性告警換PHP 7.4或在php.ini里降低error_reporting級(jí)別訪問(wèn)/DVWA/出現(xiàn)404解壓目錄名或位置不對(duì)確認(rèn)源碼放在htdocs/DVWA下且目錄內(nèi)有index.php登錄后點(diǎn)菜單全是空白頁(yè)P(yáng)HP擴(kuò)展缺失或文件權(quán)限不對(duì)檢查php.ini里是否開(kāi)啟mysqli、pdo_mysql擴(kuò)展確認(rèn)DVWA目錄有讀寫權(quán)限這類問(wèn)題的排查思路其實(shí)是一致的先看服務(wù)是否起來(lái)再看配置是否匹配最后看目錄和權(quán)限。裝上環(huán)境最忌諱的是“這里改一下那里改一下”最好按順序定位改一處測(cè)一處。4.2 注入實(shí)驗(yàn)做不出來(lái)時(shí)的卡點(diǎn)定位很多新手在練習(xí)時(shí)卡住并不是原理不理解而是卡在非常具體的“語(yǔ)句細(xì)節(jié)”上。我挑幾個(gè)最常見(jiàn)的第一個(gè)是提交1后頁(yè)面沒(méi)有反應(yīng)。先檢查左側(cè)的Security Level是不是真的切到了Low再確認(rèn)自己登錄的會(huì)話是否過(guò)期。DVWA的很多頁(yè)面依賴會(huì)話和難度級(jí)別這兩個(gè)條件不滿足怎么試都不對(duì)。第二個(gè)是UNION查詢報(bào)“The used SELECT statements have a different number of columns”。這就是列數(shù)沒(méi)對(duì)齊。先用ORDER BY逐個(gè)數(shù)列數(shù)確認(rèn)原查詢有幾列再讓UNION后面的SELECT補(bǔ)對(duì)應(yīng)數(shù)量的列。不要憑感覺(jué)猜。第三個(gè)是注釋符不生效。MySQL的注釋語(yǔ)法有講究--后面必須跟一個(gè)空格才生效否則數(shù)據(jù)庫(kù)不認(rèn)#則在URL里容易被解析掉粘貼進(jìn)地址欄時(shí)要注意編碼。最省事的方法是放棄URL傳參改用抓包工具的請(qǐng)求重放功能在請(qǐng)求體里直接修改參數(shù)。第四個(gè)是時(shí)間盲注完全沒(méi)有延遲。先確認(rèn)SLEEP函數(shù)在目標(biāo)數(shù)據(jù)庫(kù)里可用再確認(rèn)自己的語(yǔ)句語(yǔ)法正確、引號(hào)閉合完整、末位注釋符是否把多余內(nèi)容注釋干凈。很多時(shí)候不是原理錯(cuò)而是最后差一個(gè)#或多了一個(gè)空格。第五個(gè)是注入成功但看到的數(shù)據(jù)是亂碼。這是字符集問(wèn)題DVWA建表時(shí)如果用了latin1而頁(yè)面按UTF-8解析中文內(nèi)容就會(huì)亂。把數(shù)據(jù)庫(kù)字符集統(tǒng)一改成utf8或utf8mb4即可。4.3 靶場(chǎng)練習(xí)的安全邊界這個(gè)話題必須單獨(dú)說(shuō)因?yàn)樗燃夹g(shù)本身重要得多。DVWA是實(shí)驗(yàn)靶場(chǎng)作用范圍僅限于你自己的本機(jī)、或者完全隔離的虛擬實(shí)驗(yàn)環(huán)境。任何針對(duì)他人網(wǎng)站、未經(jīng)授權(quán)的系統(tǒng)的注入測(cè)試都是違法和違背職業(yè)道德的這不是技術(shù)問(wèn)題是底線問(wèn)題。練習(xí)過(guò)程中不要用真實(shí)系統(tǒng)的任何數(shù)據(jù)、賬號(hào)信息做實(shí)驗(yàn)也不要把靶場(chǎng)搭在有公網(wǎng)暴露的服務(wù)器上。練完之后如果環(huán)境不再使用建議直接關(guān)閉MySQL和Apache服務(wù)或者干脆刪掉靶場(chǎng)目錄。安全意識(shí)應(yīng)該從學(xué)習(xí)第一天就刻在習(xí)慣里。5. 防住注入的幾種手段與后續(xù)學(xué)習(xí)路線5.1 根治方案參數(shù)化查詢看了這么多注入手法防御的核心其實(shí)已經(jīng)呼之欲出了別讓用戶輸入進(jìn)入SQL的執(zhí)行上下文。參數(shù)化查詢也叫預(yù)編譯語(yǔ)句是這個(gè)思路的工程化實(shí)現(xiàn)。以PHP的PDO為例$stmt $pdo-prepare(SELECT first_name, last_name FROM users WHERE user_id :id); $stmt-bindParam(:id, $id, PDO::PARAM_INT); $stmt-execute();動(dòng)態(tài)流量與HTTP頭實(shí)戰(zhàn)前端JavaScript在發(fā)送請(qǐng)求時(shí)可以動(dòng)態(tài)決定使用GET還是POST以及附加哪些自定義HTTP頭。這個(gè)設(shè)計(jì)對(duì)攻擊排查的啟示在于不能只盯著“請(qǐng)求參數(shù)”也要關(guān)注整個(gè)請(qǐng)求形態(tài)。一個(gè)典型的“隱藏探測(cè)”手法是在HTTP頭里夾帶信息比如X-Custom-Token: 2024-05-11T14:09:00 X-Requested-With: XMLHttpRequest這類自定義頭如果被后端程序讀取并拼進(jìn)SQL查詢條件就構(gòu)成一個(gè)隱蔽的注入入口。以前有個(gè)經(jīng)典案例程序從X-Forwarded-For頭取客戶端IP然后直接拼到SQL里查歸屬地結(jié)果攻擊者只需要把這個(gè)頭改成 OR 11就能拖出整表數(shù)據(jù)。在這個(gè)自建環(huán)境里用瀏覽器開(kāi)發(fā)者工具手動(dòng)構(gòu)造帶自定義頭的請(qǐng)求觀察后端響應(yīng)能很直觀地理解“輸入點(diǎn)不只有表單”。結(jié)合DVWA的SQL Injection模塊還可以把參數(shù)改成從Cookie中取值重新梳理一遍查詢邏輯是否仍然存在注入。5.2 縱深防御的幾層補(bǔ)充參數(shù)化查詢是根治但現(xiàn)實(shí)世界的系統(tǒng)往往有歷史包袱不可能一夜之間全部改完。以下防護(hù)措施能顯著降低風(fēng)險(xiǎn)和損失第一層是輸入校驗(yàn)。對(duì)明確知道格式的字段做白名單校驗(yàn)比如“用戶ID必須是純數(shù)字”那就直接校驗(yàn)后再拼查詢。這套方式只對(duì)格式明確的字段有效對(duì)搜索框這類需要自由文本的情況不適用。第二層是最小權(quán)限。生產(chǎn)環(huán)境的數(shù)據(jù)庫(kù)賬號(hào)絕不能用root應(yīng)用能連庫(kù)執(zhí)行增刪改查就夠了不該給它DROP表、創(chuàng)建用戶的權(quán)限。這樣即使被注入攻擊者能做的事情也極其有限。第三層是錯(cuò)誤信息脫敏。生產(chǎn)環(huán)境把數(shù)據(jù)庫(kù)報(bào)錯(cuò)信息原樣返回給前端等于給攻擊者遞地圖。把錯(cuò)誤信息統(tǒng)一收斂成“系統(tǒng)繁忙”之類同時(shí)把詳細(xì)錯(cuò)誤記到后端日志里。第四層是數(shù)據(jù)庫(kù)防火墻和WAF。它們屬于緩解層能攔下一部分明顯的注入流量但不能作為唯一防線因?yàn)樗举|(zhì)上是“猜攻擊者怎么寫”總有繞過(guò)空間。第五層是日志審計(jì)。開(kāi)啟數(shù)據(jù)庫(kù)慢查詢?nèi)罩竞蚐QL審計(jì)日志定期掃描異常的SQL模式很多潛伏的注入嘗試就是靠日志復(fù)盤發(fā)現(xiàn)的。5.3 從SQL注入繼續(xù)往哪里走把DVWA的SQL Injection模塊從Low一路刷到Impossible之后建議按這個(gè)順序繼續(xù)往下學(xué)。先做DVWA里的XSS和CSRF模塊它們和SQL注入并列Web安全三大入門必學(xué)再練文件包含和文件上傳理解服務(wù)端對(duì)上傳內(nèi)容的處理邏輯。工具層面學(xué)習(xí)用抓包改包工具觀察和重放請(qǐng)求配合自動(dòng)化注入測(cè)試工具做結(jié)果驗(yàn)證但務(wù)必記住所有測(cè)試都在授權(quán)靶場(chǎng)內(nèi)進(jìn)行。原理層面可以延伸研究寬字節(jié)注入、二次注入、NoSQL注入這些本質(zhì)都是“用戶輸入被錯(cuò)誤地當(dāng)成代碼執(zhí)行”只是觸發(fā)場(chǎng)景不同。我個(gè)人帶人時(shí)有個(gè)習(xí)慣每講完一類漏洞就要求對(duì)方用100字以內(nèi)向一個(gè)非技術(shù)背景的同事解釋這個(gè)漏洞的原理。如果對(duì)方能聽(tīng)懂說(shuō)明是真的理解了。SQL注入講到底就是一個(gè)信任問(wèn)題——你信任了不該信任的輸入并且讓這份信任進(jìn)入了最核心的數(shù)據(jù)通道。在寫每一行SQL時(shí)都條件反射地想一想“這里如果拼進(jìn)去一條攻擊語(yǔ)句會(huì)怎樣”這種習(xí)慣比背任何payload都值錢。DVWA這個(gè)環(huán)境留著別刪以后碰到來(lái)歷不明的框架、組件、代碼片段都可以先在這個(gè)靶場(chǎng)里試一遍再做決定。這就是我反復(fù)強(qiáng)調(diào)“環(huán)境即標(biāo)尺”的原因。