Web安全解析Boolean註入攻擊原理
1. Boolean註入攻擊
Boolean註入攻擊的測試地址:http://127.0.0.1/sqli/boolean.php?id=1。
訪問該網站時,頁面返回yes,如圖19所示。
圖19 訪問id=1時頁面的結果
在URL後添加一個單引號,再次訪問,發現返回結果由yes變成no,如圖20所示。
圖20 訪問id=1’時頁面的結果
訪問id=1′ and 1=1%23,id=1′ and 1=2%23,發現返回的結果分別是yes和no,更愛ID的值,返現返回的仍然是yes或者no,由此可判斷,頁面隻返回yes或no,而沒有返回數據庫中的數據,所以此處不可使用Union註入。
此處可以嘗試利用Boolean註入,Boolean註入是指構造SQL判斷語句,通過查看頁面的返回結果來推測哪些SQL判斷條件是成立的,以此獲取數據庫中的數據。我們先判斷數據庫名的長度,語句如下所示。
因為查詢語句前面有單引號,所以和源碼中的SQL語句拼接後會多出一個單引號,因此需要註釋符來註釋。
http請求中+會被替換為空格與–組合成為註釋符,空格也可用%20來代替,–%20效果等同。
由於#是用來指導瀏覽器動作的,對服務器端完全無用,所以,HTTP請求中不包括#。在第一個#後面出現的任何字符,都會被瀏覽器解讀為位置標識符。這意味著,這些字符都不會被發送到服務器端。所以如果想用#註釋符,就要將#轉換為%23。
故上面的語句還可寫為:
' and length(database())>=1--%20
或
' and length(database())>=1%23
1的位置上可以是任意數字,如’ and length(database())>=3–+和’ and length(database())>=4–+,我們可以構造這樣的語句,然後觀察也免得返回結果,如圖21~23所示。
圖21 判斷數據庫庫名的長度(1)
圖22 判斷數據庫庫名的長度(2)
圖23 判斷數據庫庫名的長度(3)
以上幾個語句的意思是,數據庫庫名的長度大於等於3,結果為yes;數據庫庫名的唱的大於等於4,結果為no。結合以上幾個語句,可以判斷出數據庫的長度為3。
接著,使用逐字符判斷的方式獲取數據庫庫民。數據庫庫名的范圍一般在a~z、0~9之內,可能還有一些特殊字符,這裡的字母不區分大小寫。逐字符判斷的SQL語句為:
' and substr(database(),1,1)='t'--+
substr是截取的意思,其意思是截取database()的值,從第一個字符開始,每次隻返回一個。
substr的用法和limit的有區別,需要註意。limit是從0開始排序,而substr是從1開始排序。可以使用Burp的爆破功能爆破每個位置的字符值,如圖24所示,爆破結果如圖25所示。
圖24 利用Burp爆破數據庫的庫名(1)
圖25 利用Burp爆破數據庫的庫名(2)
其實還可以使用ASCII碼的字符進行查詢,t的ASCII碼是116,而在MySQL中,ASCII轉換的函數為ord(),則逐字符判斷的SQL語句應該為如下所示。
' and ord(substr(database(),1,1))=116--+
從Union註入和Burp的爆破結果中我們知道,數據庫名是’test’。
查詢表名、字段名的語句也應粘貼在database()的位置,從Union註入中已經知道數據庫’test’的第一個表名是emails,第一個字母應當是e,判斷語句如下所示。
' and substr((select table_name from information_schema.tables where table_schema='test' limit 0,1),1,1)='e'--+
以此類推,就可以查詢出所有的表名和字段名,如圖27所示,利用Burp爆破的結果如圖28所示。
2. Boolean註入代碼分析
在Boolean註入頁面中程先獲取GET參數ID,通過pre_match判斷其中是否存在union/sleep/benchmark等危險字符。然後將參數ID拼接到SQL語句,從數據庫中查詢,如果有結果,則返回yes,否則返回no。當訪問該頁面時,代碼根據數據庫查詢結果返回yes或no,而不返回數據庫中的任何數據,所以頁面上智慧顯示yes或no,代碼如下所示。
<?php $con=mysqli_connect("localhost","root","root","test"); // 檢測連接 if (mysqli_connect_errno()) { echo "連接失敗: " . mysqli_connect_error(); } $id = @$_GET['id']; if(preg_match("/union|sleep|benchmark/i",$id)) { exit("no"); } $sql = "select * from users where `id`='".$id."'"; $result = mysqli_query($con,$sql); if(!$result) { exit("no"); } $row = mysqli_fetch_array($result); if ($row) { exit("yes"); }else{ exit("no"); } ?>
當訪問id=1′ or 1=1%23時,數據庫執行的語句為select * from users where ‘id’=‘1′ or 1=1#,由於or 1=1是永真條件,所以此頁面可定會返回yes。當訪問id=1′ and 1=2%23時,數據庫執行的語句為select * from users where ‘id’=‘1′ and 1=2#,由於and1=2是永假條件,所以此時頁面肯定會返回no。
以上就是Web安全解析Boolean註入攻擊原理的詳細內容,更多關於Web安全Boolean註入攻擊的資料請關註WalkonNet其它相關文章!
推薦閱讀:
- Web網絡安全分析Union註入攻擊原理詳解
- Web網絡安全解析寬字節註入攻擊原理
- Web網絡安全解析cookie註入攻擊原理
- Web網絡安全分析XFF註入攻擊原理詳解
- Web網絡安全分析Base64註入攻擊原理詳解