如何通过注入SQL语句获取网站管理权限及安全措施（转）

Posted 2023-01-18 Shiftyman

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了如何通过注入SQL语句获取网站管理权限及安全措施（转）相关的知识，希望对你有一定的参考价值。

出自：http://www.2cto.com/Article/201104/88122.html

   我们知道网站后台需要验证用户的输入, 如果不这样做, 用户甚至可以输入一些SQL语句操作后台的数据库, 这么好玩的事情一直没有真正体验过. 前几日学校搞了一个"你最喜欢的辅导员"投票活动, 网站估计是给某个学生团队做的, 结果经同学破解了这个网站的管理员帐号和密码, 我遂向他请教了原理, 也了解了他破解的步骤, 自己又实践了一遍. 感谢经同学, 没有他我就不知道这些, 也不可能有这篇博客.
        本文破解网站的网址是www.2cto.com 本文的内容不适用于这个网站了.我整理了详细的破解过程跟大家分享, 文中的逻辑比较强, 需要读者耐心的看. 但文本讲述的是破解步骤, 是一般思路, 如果您有疑问, 请留言, 我们交流讨论 :)
一网站是否存在SQL注入漏洞
        网站一般包含一张用户表(用户名和密码)和一张管理员信息表(管理员名称和密码), 输入用户名和密码之后, 一般做法是后台都会执行一条SQL语句, 查询有没有对应的用户和密码, 比如SELECT * FROM SomeTable WHERE UserName = $UserName AND pwd = $pwd, 如果这条语句返回真, 那么登录操作就完成了.
        试想一下如果在学号和密码文本框中输入or=or, 并提交的话, 上面提到的SQL语句就变成了SELECT * FROM SomeTable WHERE UserName = or=or AND pwd = or=or, 这个语语句变成了一个逻辑表达式, 表达式包含几段, 分别为:

1. SELECT * FROM SomeTable WHERE UserName =     (假)
or
2. =    (真)
or
3.     (假)
and

4. pwd =     (假)
or
5. =    (真)
or
6.     (假)

最后整个逻辑表达式为0|1|0&0|1|0, 这个结果为真(在执行到"0|1|..."的时候整个表达式省略号中的就不计算了, 因为"或"前面已经是真), 因此可以登录成功, 事实上也登录成功了.

二破解后台数据库的原理
        在用户名和密码的文本框中输入or=or, 截至上面所示的第2步, 表达式值为真, 因为后面紧接了一个"或", 所以无论在这后面的表达式是什么, "真或者假""真或者真"都是为真的. 关键就是or=or中间的那个=, =表示一个字符, 永远为真. 如果我们将这个=改成某个SQL表达式, 如果这个表达式为真, 那么整个表达式就为真.
        后面的几个步骤要求用户名和密码文本框中都输入同样的文本, 原因是: 后台的语句格式可能是SELECT * FROM SomeTable WHERE UserName = $UserName AND pwd = $pwd, 也有可能是SELECT * FROM SomeTable WHERE pwd = $pwd AND UserName = $UserName, 无论哪一种情况, 只要用户名和密码都输入的文本是一样的, 只要文本中包含的SQL表达式为真, 那么整个表达式就为真. 这样写带来的另一个好处是复制粘贴很方便.
        通过写一些SQL表达式来一次一次的测试出数据库里的内容.

三获取后台数据库的表名
如果将表达式替换为(SELECT COUNT(*) FROM 表名)<>0, 这个表达式用来获取一个表中有多少条记录, 需要做的就是猜这个表名是什么, 猜中了的话, 那么这个表中的记录条数肯定就不会等于0, 那么这个表达式的值就是真的. 常用的表名也就是那么一些, 一个个的代进去试, 最后发现有个叫做admin的表, 它的字段不为空. 很显然, 这个表是用来存放管理员信息的.

四获取后台数据库表的字段名
        现在已经知道这个表叫做admin了, 接下来想办法得到这个表中的字段.
        把表达式替换成(SELECT COUNT(*) FROM admin WHERE LEN(字段名)>0)<>0, 这个表达式用来测试admin这个表中是否包含这个字段. LEN(字段名)>0表示这个字段的长度大于0, 在这个字段存在的情况下, LEN(字段名)>0是始终为真的. 如果包含的话这个字段的话, 整条SELECT语句返回的数字肯定不为0, 也就是说整个表达式为真, 从而得到字段名.
        按照这样的方法, 靠猜共得出了三个很关键的字段:id, admin, pass.

五获取字段的长度
目前已得到的信息是有个admin表, 表中有id, admin, pass字段. 后台中存储用户名和密码, 常规做法是存储它们进行MD5加密后的值(32位), 现在测试一下是不是这样.

把表达式替换为(SELECT COUNT(*) FROM admin WHERE LEN(字段名)=32)<>0, 将admin和pass代进去结果是真, 说明后台存储管理员帐号和密码用的是加密后32位的字段.

六获取管理员帐号和密码
        MD5加密后的字符串包含32位, 且只可能是由0-9和A-F这些字符组成.
1. 获取管理员帐号
        将表达式改成(SELECT COUNT(*) FROM admin WHERE LEFT(admin,1)=A)>0, 意思是我猜测某个adimin帐号的第一个字符是A, 如果成功则表达式成立. 失败的话, 把A换成0-9和B-F中的任意字符继续试, 知道成功. 如果成功了, 我再继续猜这个帐号的第二个字符, 假如第一个字符是5, 我猜测第二个字符是A, 那将表达式改成(SELECT COUNT(*) FROM admin WHERE LEFT(admin,2)=5A)>0. 可以发现字符串中LEFT()函数中的1变成了2, 另外5A代码左边两个字符是5A, 其中5已经确定下来了. 就这样重复不断的猜, 直到得到整个32位的MD5加密后的字符串.
2. 获取该帐号对应的的id
        为什么需要获取该帐号对应的id? 原因如下: 按照上一条是可以得到帐号和密码的, 但一张表中可以有若干个管理员帐号和密码, 怎么对应起来呢? 需要通过id. 一个id对应一条记录, 一条记录只有一对匹配的帐号和密码.
        将表达式改成(SELECT COUNT(*) FROM admin WHERE LEFT(admin,1)=5 AND id=1)>0, 上一条假设了某帐号第一个字符是5, 只要这个表达式中的"AND id = 1"正确, 那么就可以得知该帐号的id是1. 如果不是1, 换成其它的数字一个个的试一试.
3. 获取帐号对应的密码
        现在已经猜出了某管理员的帐号, 并且知道对应的id是多少(假设得出来是4), 现在只要得到该条记录中记录的密码是什么. 同理, 将表达式改成(SELECT COUNT(*) FROM admin WHERE LEFT(pass,1)=A AND id=4)>0, 注意id已经是知道了的4, 现在要一个个的猜pass中从第1个到第32个字符是什么, 方法同"获取管理员帐号"方法. 最后可以得到一个32位的MD5加密后的字符串(密码).

*注: 如果嫌手工得到每个字符是什么太麻烦, 可以自己用C#写一个程序, 模拟一下登录, 通过控制一个循环, 可以很快得到结果.

七将MD5加密后的帐号和密码转成明文

网上有一些网站数据库里存储了海量(几万亿条)的MD5加密后的暗文对应的明文, 只需输入你需要查找的MD5加密后的字符串就可以查看到明文是什么.