：從原理到防御)
1. Pikachu靶場與SQL注入實戰(zhàn)入門Pikachu靶場是國內(nèi)安全愛好者熟知的Web漏洞練習(xí)平臺它模擬了各種常見的Web安全漏洞場景。我第一次接觸Pikachu是在大三的網(wǎng)絡(luò)安全課上當(dāng)時被它可愛的名字和豐富的漏洞類型吸引。這個靶場特別適合剛?cè)腴TWeb安全的新手因為它不僅提供了漏洞環(huán)境還有對應(yīng)的漏洞原理說明和利用提示。SQL注入作為OWASP Top 10長期占據(jù)榜首的漏洞類型在Pikachu靶場中有完整的專項練習(xí)模塊。我記得第一次成功注入時的興奮感——通過簡單的單引號觸發(fā)了數(shù)據(jù)庫報錯那種原來系統(tǒng)真的會這樣被攻破的震撼至今難忘。本文將基于最新版Pikachu靶場(v2.0)帶大家系統(tǒng)梳理SQL注入漏洞的實戰(zhàn)過程。2. 環(huán)境準(zhǔn)備與靶場搭建2.1 Pikachu靶場部署要點Pikachu靶場支持多種部署方式我推薦使用Docker-compose一鍵部署這是目前最穩(wěn)定的方案。在Ubuntu 20.04系統(tǒng)上只需執(zhí)行以下命令git clone https://github.com/zhuifengshaonianhanlu/pikachu.git cd pikachu/docker docker-compose up -d部署完成后訪問http://localhost:8001即可。這里有個關(guān)鍵細(xì)節(jié)如果遇到數(shù)據(jù)庫連接失敗的問題通常是MySQL容器啟動較慢導(dǎo)致的。我的經(jīng)驗是部署后等待2-3分鐘再訪問或者通過docker logs查看mysql容器日志確認(rèn)完全啟動。注意生產(chǎn)環(huán)境切勿直接暴露8001端口Pikachu本身存在漏洞建議僅在隔離環(huán)境或本地虛擬機運行。2.2 必要工具準(zhǔn)備除了靶場本身我們還需要一些基礎(chǔ)工具瀏覽器開發(fā)者工具Chrome/Firefox內(nèi)置用于分析請求Burp Suite Community抓包改包神器sqlmap自動化SQL注入工具慎用先手動理解原理PostmanAPI請求測試工具我強烈建議初學(xué)者先不使用sqlmap而是手動構(gòu)造注入語句。就像學(xué)編程要先手寫代碼一樣理解原始注入原理至關(guān)重要。等掌握了基礎(chǔ)后再用工具提高效率。3. SQL注入基礎(chǔ)原理剖析3.1 漏洞產(chǎn)生的根本原因SQL注入的本質(zhì)是用戶輸入被當(dāng)作代碼執(zhí)行。舉個典型場景登錄表單的后端代碼可能是這樣的$sql SELECT * FROM users WHERE username$_POST[username] AND password$_POST[password];當(dāng)用戶輸入admin--作為用戶名時SQL語句就變成了SELECT * FROM users WHERE usernameadmin-- AND password任意值--是SQL的注釋符這使得密碼驗證被繞過。我在早期開發(fā)中就犯過這個錯誤直到參加安全培訓(xùn)才意識到問題的嚴(yán)重性。3.2 Pikachu中的注入類型Pikachu靶場涵蓋了所有主要的SQL注入變種數(shù)字型注入?yún)?shù)無引號包裹如id1字符型注入?yún)?shù)用單引號包裹如nameadmin搜索型注入LIKE子句中的注入XXE型注入通過XML外部實體引入盲注包括布爾盲注和時間盲注每種類型的利用方式都有細(xì)微差別需要分別掌握。比如數(shù)字型注入不需要閉合引號而字符型必須考慮引號閉合問題。4. 實戰(zhàn)通關(guān)全記錄4.1 數(shù)字型注入GET訪問/vul/sqli/sqli_id.php這是一個簡單的用戶查詢頁面。通過修改URL參數(shù)id1進(jìn)行測試嘗試id1頁面報錯說明存在注入點確認(rèn)注入類型id1 and 11正常id1 and 12異常確認(rèn)是數(shù)字型查字段數(shù)id1 order by 4正常order by 5報錯 → 4個字段聯(lián)合查詢獲取數(shù)據(jù)id-1 union select 1,database(),user(),4關(guān)鍵技巧使用-1使原查詢不返回結(jié)果這樣聯(lián)合查詢的結(jié)果就會顯示出來。我第一次做時忘了這點結(jié)果頁面只顯示原查詢結(jié)果困惑了好久。4.2 字符型注入POST在登錄表單處測試用戶名輸入admin and 11#密碼隨意如果登錄成功再試admin and 12#確認(rèn)漏洞后逐步獲取信息admin union select 1,concat(database(),0x3a,user())#這里要注意MySQL的注釋符可以是#或--注意最后有空格。不同數(shù)據(jù)庫的注釋符不同這也是容易出錯的地方。4.3 盲注實戰(zhàn)當(dāng)頁面沒有明顯回顯時就需要盲注技術(shù)。Pikachu的盲注關(guān)卡設(shè)計得很經(jīng)典布爾盲注通過頁面返回的真假判斷admin and ascii(substr(database(),1,1))100#不斷調(diào)整ASCII值觀察登錄成功/失敗時間盲注利用sleep函數(shù)admin and if(ascii(substr(database(),1,1))100,sleep(3),0)#通過響應(yīng)時間判斷條件真假盲注過程極其耗時建議編寫簡單腳本自動化。但手動完成幾次有助于深入理解原理。5. 防御方案與最佳實踐5.1 參數(shù)化查詢所有現(xiàn)代語言都支持參數(shù)化查詢這是最有效的防御手段。以PHP為例$stmt $pdo-prepare(SELECT * FROM users WHERE username? AND password?); $stmt-execute([$username, $password]);參數(shù)會被自動轉(zhuǎn)義處理徹底杜絕注入可能。我在團(tuán)隊內(nèi)部Code Review時會把所有直接拼接SQL的代碼都打回重寫。5.2 其他防御措施最小權(quán)限原則數(shù)據(jù)庫賬號只賦予必要權(quán)限Web應(yīng)用防火墻(WAF)過濾常見攻擊特征定期漏洞掃描使用sqlmap等工具自檢錯誤信息處理生產(chǎn)環(huán)境關(guān)閉詳細(xì)錯誤回顯6. 常見問題排查6.1 注入語句不生效的情況經(jīng)常有學(xué)員反映按照教程輸入語句卻沒效果常見原因包括混淆了數(shù)字型和字符型注入的語法沒注意不同數(shù)據(jù)庫的語法差異MySQL/Oracle/SQLServer目標(biāo)有WAF攔截特殊字符空格被過濾可用/**/代替6.2 Pikachu特定問題數(shù)據(jù)庫連接失敗確保mysql容器完全啟動頁面亂碼檢查瀏覽器編碼設(shè)置為UTF-8功能異常清除瀏覽器緩存或使用隱身模式7. 學(xué)習(xí)路線建議根據(jù)我?guī)氯说慕?jīng)驗推薦的學(xué)習(xí)路徑是先在Pikachu上手動完成所有注入類型閱讀SQL注入相關(guān)的RFC和OWASP文檔嘗試在其他CTF靶場如DVWA實踐學(xué)習(xí)使用sqlmap等自動化工具參與合法的漏洞賞金項目切記所有測試必須獲得授權(quán)未經(jīng)允許的測試可能構(gòu)成違法行為。我團(tuán)隊曾協(xié)助處理過一起實習(xí)生擅自測試生產(chǎn)系統(tǒng)引發(fā)的安全事故后果非常嚴(yán)重。 Pikachu靶場SQL注入實戰(zhàn)：從原理到防御
1. Pikachu靶場與SQL注入實戰(zhàn)入門Pikachu靶場是國內(nèi)安全愛好者熟知的Web漏洞練習(xí)平臺它模擬了各種常見的Web安全漏洞場景。我第一次接觸Pikachu是在大三的網(wǎng)絡(luò)安全課上當(dāng)時被它可愛的名字和豐富的漏洞類型吸引。這個靶場特別適合剛?cè)腴TWeb安全的新手因為它不僅提供了漏洞環(huán)境還有對應(yīng)的漏洞原理說明和利用提示。SQL注入作為OWASP Top 10長期占據(jù)榜首的漏洞類型在Pikachu靶場中有完整的專項練習(xí)模塊。我記得第一次成功注入時的興奮感——通過簡單的單引號觸發(fā)了數(shù)據(jù)庫報錯那種原來系統(tǒng)真的會這樣被攻破的震撼至今難忘。本文將基于最新版Pikachu靶場(v2.0)帶大家系統(tǒng)梳理SQL注入漏洞的實戰(zhàn)過程。2. 環(huán)境準(zhǔn)備與靶場搭建2.1 Pikachu靶場部署要點Pikachu靶場支持多種部署方式我推薦使用Docker-compose一鍵部署這是目前最穩(wěn)定的方案。在Ubuntu 20.04系統(tǒng)上只需執(zhí)行以下命令git clone https://github.com/zhuifengshaonianhanlu/pikachu.git cd pikachu/docker docker-compose up -d部署完成后訪問http://localhost:8001即可。這里有個關(guān)鍵細(xì)節(jié)如果遇到數(shù)據(jù)庫連接失敗的問題通常是MySQL容器啟動較慢導(dǎo)致的。我的經(jīng)驗是部署后等待2-3分鐘再訪問或者通過docker logs查看mysql容器日志確認(rèn)完全啟動。注意生產(chǎn)環(huán)境切勿直接暴露8001端口Pikachu本身存在漏洞建議僅在隔離環(huán)境或本地虛擬機運行。2.2 必要工具準(zhǔn)備除了靶場本身我們還需要一些基礎(chǔ)工具瀏覽器開發(fā)者工具Chrome/Firefox內(nèi)置用于分析請求Burp Suite Community抓包改包神器sqlmap自動化SQL注入工具慎用先手動理解原理PostmanAPI請求測試工具我強烈建議初學(xué)者先不使用sqlmap而是手動構(gòu)造注入語句。就像學(xué)編程要先手寫代碼一樣理解原始注入原理至關(guān)重要。等掌握了基礎(chǔ)后再用工具提高效率。3. SQL注入基礎(chǔ)原理剖析3.1 漏洞產(chǎn)生的根本原因SQL注入的本質(zhì)是用戶輸入被當(dāng)作代碼執(zhí)行。舉個典型場景登錄表單的后端代碼可能是這樣的$sql SELECT * FROM users WHERE username$_POST[username] AND password$_POST[password];當(dāng)用戶輸入admin--作為用戶名時SQL語句就變成了SELECT * FROM users WHERE usernameadmin-- AND password任意值--是SQL的注釋符這使得密碼驗證被繞過。我在早期開發(fā)中就犯過這個錯誤直到參加安全培訓(xùn)才意識到問題的嚴(yán)重性。3.2 Pikachu中的注入類型Pikachu靶場涵蓋了所有主要的SQL注入變種數(shù)字型注入?yún)?shù)無引號包裹如id1字符型注入?yún)?shù)用單引號包裹如nameadmin搜索型注入LIKE子句中的注入XXE型注入通過XML外部實體引入盲注包括布爾盲注和時間盲注每種類型的利用方式都有細(xì)微差別需要分別掌握。比如數(shù)字型注入不需要閉合引號而字符型必須考慮引號閉合問題。4. 實戰(zhàn)通關(guān)全記錄4.1 數(shù)字型注入GET訪問/vul/sqli/sqli_id.php這是一個簡單的用戶查詢頁面。通過修改URL參數(shù)id1進(jìn)行測試嘗試id1頁面報錯說明存在注入點確認(rèn)注入類型id1 and 11正常id1 and 12異常確認(rèn)是數(shù)字型查字段數(shù)id1 order by 4正常order by 5報錯 → 4個字段聯(lián)合查詢獲取數(shù)據(jù)id-1 union select 1,database(),user(),4關(guān)鍵技巧使用-1使原查詢不返回結(jié)果這樣聯(lián)合查詢的結(jié)果就會顯示出來。我第一次做時忘了這點結(jié)果頁面只顯示原查詢結(jié)果困惑了好久。4.2 字符型注入POST在登錄表單處測試用戶名輸入admin and 11#密碼隨意如果登錄成功再試admin and 12#確認(rèn)漏洞后逐步獲取信息admin union select 1,concat(database(),0x3a,user())#這里要注意MySQL的注釋符可以是#或--注意最后有空格。不同數(shù)據(jù)庫的注釋符不同這也是容易出錯的地方。4.3 盲注實戰(zhàn)當(dāng)頁面沒有明顯回顯時就需要盲注技術(shù)。Pikachu的盲注關(guān)卡設(shè)計得很經(jīng)典布爾盲注通過頁面返回的真假判斷admin and ascii(substr(database(),1,1))100#不斷調(diào)整ASCII值觀察登錄成功/失敗時間盲注利用sleep函數(shù)admin and if(ascii(substr(database(),1,1))100,sleep(3),0)#通過響應(yīng)時間判斷條件真假盲注過程極其耗時建議編寫簡單腳本自動化。但手動完成幾次有助于深入理解原理。5. 防御方案與最佳實踐5.1 參數(shù)化查詢所有現(xiàn)代語言都支持參數(shù)化查詢這是最有效的防御手段。以PHP為例$stmt $pdo-prepare(SELECT * FROM users WHERE username? AND password?); $stmt-execute([$username, $password]);參數(shù)會被自動轉(zhuǎn)義處理徹底杜絕注入可能。我在團(tuán)隊內(nèi)部Code Review時會把所有直接拼接SQL的代碼都打回重寫。5.2 其他防御措施最小權(quán)限原則數(shù)據(jù)庫賬號只賦予必要權(quán)限Web應(yīng)用防火墻(WAF)過濾常見攻擊特征定期漏洞掃描使用sqlmap等工具自檢錯誤信息處理生產(chǎn)環(huán)境關(guān)閉詳細(xì)錯誤回顯6. 常見問題排查6.1 注入語句不生效的情況經(jīng)常有學(xué)員反映按照教程輸入語句卻沒效果常見原因包括混淆了數(shù)字型和字符型注入的語法沒注意不同數(shù)據(jù)庫的語法差異MySQL/Oracle/SQLServer目標(biāo)有WAF攔截特殊字符空格被過濾可用/**/代替6.2 Pikachu特定問題數(shù)據(jù)庫連接失敗確保mysql容器完全啟動頁面亂碼檢查瀏覽器編碼設(shè)置為UTF-8功能異常清除瀏覽器緩存或使用隱身模式7. 學(xué)習(xí)路線建議根據(jù)我?guī)氯说慕?jīng)驗推薦的學(xué)習(xí)路徑是先在Pikachu上手動完成所有注入類型閱讀SQL注入相關(guān)的RFC和OWASP文檔嘗試在其他CTF靶場如DVWA實踐學(xué)習(xí)使用sqlmap等自動化工具參與合法的漏洞賞金項目切記所有測試必須獲得授權(quán)未經(jīng)允許的測試可能構(gòu)成違法行為。我團(tuán)隊曾協(xié)助處理過一起實習(xí)生擅自測試生產(chǎn)系統(tǒng)引發(fā)的安全事故后果非常嚴(yán)重。