利用SQL注入漏洞登錄后臺的實現(xiàn)方法
更新時間：2012年01月12日 21:42:55 作者：
工作需要，得好好補習(xí)下關(guān)于WEB安全方面的相關(guān)知識，故撰此文，權(quán)當(dāng)總結(jié)，別無它意。讀這篇文章，我假設(shè)讀者有過寫SQL語句的經(jīng)歷，或者能看得懂SQL語句
早在02年，國外關(guān)于SQL注入漏洞的技術(shù)文章已經(jīng)很多，而國內(nèi)在05年左右才開始的。
如今，談SQL注入漏洞是否已是明日黃花，國內(nèi)大大小小的網(wǎng)站都已經(jīng)補上漏洞。但，百密必有一疏，入侵是偶然的，但安全絕對不是必然的。
前些天，網(wǎng)上傳得沸沸揚揚的“拖庫”事件給我們敲響了安全警鐘。
在開發(fā)網(wǎng)站的時候，出于安全考慮，需要過濾從頁面?zhèn)鬟f過來的字符。通常，用戶可以通過以下接口調(diào)用數(shù)據(jù)庫的內(nèi)容：URL地址欄、登陸界面、留言板、搜索框等。這往往給駭客留下了可乘之機。輕則數(shù)據(jù)遭到泄露，重則服務(wù)器被拿下。
現(xiàn)在，很多網(wǎng)站開發(fā)人員知其然而不知其所以然，小弟也是，所以趕緊惡補下，總結(jié)如學(xué)習(xí)內(nèi)容。希望對初學(xué)者能夠起到拋磚引玉的作用。
一、SQL注入的步驟
a) 尋找注入點(如：登錄界面、留言板等)
b) 用戶自己構(gòu)造SQL語句(如：' or 1=1#，后面會講解)
c) 將sql語句發(fā)送給數(shù)據(jù)庫管理系統(tǒng)(DBMS)
d) DBMS接收請求，并將該請求解釋成機器代碼指令，執(zhí)行必要的存取操作
e) DBMS接受返回的結(jié)果，并處理，返回給用戶
因為用戶構(gòu)造了特殊的SQL語句，必定返回特殊的結(jié)果(只要你的SQL語句夠靈活的話)。
下面，我通過一個實例具體來演示下SQL注入
二、SQL注入實例詳解(以上測試均假設(shè)服務(wù)器未開啟magic_quote_gpc)
1) 前期準(zhǔn)備工作
先來演示通過SQL注入漏洞，登入后臺管理員界面
首先，創(chuàng)建一張試驗用的數(shù)據(jù)表：
CREATE TABLE `users` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`username` varchar(64) NOT NULL,
`password` varchar(64) NOT NULL,
`email` varchar(64) NOT NULL,
PRIMARY KEY (`id`),
UNIQUE KEY `username` (`username`)
) ENGINE=MyISAM AUTO_INCREMENT=3 DEFAULT CHARSET=latin1;
添加一條記錄用于測試：
INSERT INTO users (username,password,email)
VALUES('MarcoFly',md5('test'),'marcofly@test.com');
接下來，貼上登錄界面的源代碼：
<html>
<head>
<title>Sql注入演示</title>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
</head>
<body >
<form action="validate.php" method="post">
<fieldset >
<legend>Sql注入演示</legend>
<table>
<tr>
<td>用戶名：</td><td><input type="text" name="username"></td>
</tr>
<tr>
<td>密 碼：</td><td><input type="text" name="password"></td>
</tr>
<tr>
<td><input type="submit" value="提交"></td><td><input type="reset" value="重置"></td>
</tr>
</table>
</fieldset>
</form>
</body>
</html>
附上效果圖：
代碼如下：
<html>
<head>
<title>登錄驗證</title>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
</head>
<body>
<?php
$conn=@mysql_connect("localhost",'root','') or die("數(shù)據(jù)庫連接失敗！");;
mysql_select_db("injection",$conn) or die("您要選擇的數(shù)據(jù)庫不存在");
$name=$_POST['username'];
$pwd=$_POST['password'];
$sql="select * from users where username='$name' and password='$pwd'";
$query=mysql_query($sql);
$arr=mysql_fetch_array($query);
if(is_array($arr)){
header("Location:manager.php");
}else{
echo "您的用戶名或密碼輸入有誤，<a href=\"Login.php\">請重新登錄！</a>";
}
?>
</body>
</html>
注意到了沒有，我們直接將用戶提交過來的數(shù)據(jù)(用戶名和密碼)直接拿去執(zhí)行，并沒有實現(xiàn)進行特殊字符過濾，待會你們將明白，這是致命的。
代碼分析：如果，用戶名和密碼都匹配成功的話，將跳轉(zhuǎn)到管理員操作界面(manager.php)，不成功，則給出友好提示信息。
登錄成功的界面：
select * from users where username='' or 1=1#' and password=md5('')
等價于
select * from users where username='' or 1=1
因為1=1永遠(yuǎn)是都是成立的，即where子句總是為真，將該sql進一步簡化之后，等價于如下select語句：
select * from users
沒錯，該sql語句的作用是檢索users表中的所有字段
小技巧：如果不知道' or 1=1#中的單引號的作用，可以自己echo 下sql語句，就一目了然了。
看到了吧，一個經(jīng)構(gòu)造后的sql語句竟有如此可怕的破壞力，相信你看到這后，開始對sql注入有了一個理性的認(rèn)識了吧~
沒錯，SQL注入就是這么容易。但是，要根據(jù)實際情況構(gòu)造靈活的sql語句卻不是那么容易的。有了基礎(chǔ)之后，自己再去慢慢摸索吧。
有沒有想過，如果經(jīng)由后臺登錄窗口提交的數(shù)據(jù)都被管理員過濾掉特殊字符之后呢？這樣的話，我們的萬能用戶名' or 1=1#就無法使用了。但這并不是說我們就毫無對策，要知道用戶和數(shù)據(jù)庫打交道的途徑不止這一條。
更多關(guān)于SQL注入的信息請看我的另一篇博文：利用SQL注入漏洞拖庫
原創(chuàng)文章：WEB開發(fā)_小飛
轉(zhuǎn)載請注明：http://www.cnblogs.com/hongfei/archive/2012/01/12/sql-injection-tuoku.html
如今，談SQL注入漏洞是否已是明日黃花，國內(nèi)大大小小的網(wǎng)站都已經(jīng)補上漏洞。但，百密必有一疏，入侵是偶然的，但安全絕對不是必然的。
前些天，網(wǎng)上傳得沸沸揚揚的“拖庫”事件給我們敲響了安全警鐘。
在開發(fā)網(wǎng)站的時候，出于安全考慮，需要過濾從頁面?zhèn)鬟f過來的字符。通常，用戶可以通過以下接口調(diào)用數(shù)據(jù)庫的內(nèi)容：URL地址欄、登陸界面、留言板、搜索框等。這往往給駭客留下了可乘之機。輕則數(shù)據(jù)遭到泄露，重則服務(wù)器被拿下。
現(xiàn)在，很多網(wǎng)站開發(fā)人員知其然而不知其所以然，小弟也是，所以趕緊惡補下，總結(jié)如學(xué)習(xí)內(nèi)容。希望對初學(xué)者能夠起到拋磚引玉的作用。
一、SQL注入的步驟
a) 尋找注入點(如：登錄界面、留言板等)
b) 用戶自己構(gòu)造SQL語句(如：' or 1=1#，后面會講解)
c) 將sql語句發(fā)送給數(shù)據(jù)庫管理系統(tǒng)(DBMS)
d) DBMS接收請求，并將該請求解釋成機器代碼指令，執(zhí)行必要的存取操作
e) DBMS接受返回的結(jié)果，并處理，返回給用戶
因為用戶構(gòu)造了特殊的SQL語句，必定返回特殊的結(jié)果(只要你的SQL語句夠靈活的話)。
下面，我通過一個實例具體來演示下SQL注入
二、SQL注入實例詳解(以上測試均假設(shè)服務(wù)器未開啟magic_quote_gpc)
1) 前期準(zhǔn)備工作
先來演示通過SQL注入漏洞，登入后臺管理員界面
首先，創(chuàng)建一張試驗用的數(shù)據(jù)表：
復(fù)制代碼 代碼如下:
CREATE TABLE `users` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`username` varchar(64) NOT NULL,
`password` varchar(64) NOT NULL,
`email` varchar(64) NOT NULL,
PRIMARY KEY (`id`),
UNIQUE KEY `username` (`username`)
) ENGINE=MyISAM AUTO_INCREMENT=3 DEFAULT CHARSET=latin1;
添加一條記錄用于測試：
復(fù)制代碼 代碼如下:
INSERT INTO users (username,password,email)
VALUES('MarcoFly',md5('test'),'marcofly@test.com');
接下來，貼上登錄界面的源代碼：
復(fù)制代碼 代碼如下:
<html>
<head>
<title>Sql注入演示</title>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
</head>
<body >
<form action="validate.php" method="post">
<fieldset >
<legend>Sql注入演示</legend>
<table>
<tr>
<td>用戶名：</td><td><input type="text" name="username"></td>
</tr>
<tr>
<td>密 碼：</td><td><input type="text" name="password"></td>
</tr>
<tr>
<td><input type="submit" value="提交"></td><td><input type="reset" value="重置"></td>
</tr>
</table>
</fieldset>
</form>
</body>
</html>
附上效果圖：
代碼如下：
復(fù)制代碼 代碼如下:
<html>
<head>
<title>登錄驗證</title>
<meta http-equiv="content-type" content="text/html;charset=utf-8">
</head>
<body>
<?php
$conn=@mysql_connect("localhost",'root','') or die("數(shù)據(jù)庫連接失敗！");;
mysql_select_db("injection",$conn) or die("您要選擇的數(shù)據(jù)庫不存在");
$name=$_POST['username'];
$pwd=$_POST['password'];
$sql="select * from users where username='$name' and password='$pwd'";
$query=mysql_query($sql);
$arr=mysql_fetch_array($query);
if(is_array($arr)){
header("Location:manager.php");
}else{
echo "您的用戶名或密碼輸入有誤，<a href=\"Login.php\">請重新登錄！</a>";
}
?>
</body>
</html>
注意到了沒有，我們直接將用戶提交過來的數(shù)據(jù)(用戶名和密碼)直接拿去執(zhí)行，并沒有實現(xiàn)進行特殊字符過濾，待會你們將明白，這是致命的。
代碼分析：如果，用戶名和密碼都匹配成功的話，將跳轉(zhuǎn)到管理員操作界面(manager.php)，不成功，則給出友好提示信息。
登錄成功的界面：
登錄失敗的提示：
到這里，前期工作已經(jīng)做好了，接下來將展開我們的重頭戲：SQL注入
2) 構(gòu)造SQL語句
填好正確的用戶名(marcofly)和密碼(test)后，點擊提交，將會返回給我們“歡迎管理員”的界面。
因為根據(jù)我們提交的用戶名和密碼被合成到SQL查詢語句當(dāng)中之后是這樣的：
select * from users where username='marcofly' and password=md5('test')
很明顯，用戶名和密碼都和我們之前給出的一樣，肯定能夠成功登陸。但是，如果我們輸入一個錯誤的用戶名或密碼呢？很明顯，肯定登入不了吧。恩，正常情況下是如此，但是對于有SQL注入漏洞的網(wǎng)站來說，只要構(gòu)造個特殊的“字符串”，照樣能夠成功登錄。
比如：在用戶名輸入框中輸入:' or 1=1#,密碼隨便輸入，這時候的合成后的SQL查詢語句為：
select * from users where username='' or 1=1#' and password=md5('')
語義分析：“#”在mysql中是注釋符，這樣井號后面的內(nèi)容將被mysql視為注釋內(nèi)容，這樣就不會去執(zhí)行了，換句話說，以下的兩句sql語句等價：
復(fù)制代碼 代碼如下:
select * from users where username='' or 1=1#' and password=md5('')
等價于
復(fù)制代碼 代碼如下:
select * from users where username='' or 1=1
因為1=1永遠(yuǎn)是都是成立的，即where子句總是為真，將該sql進一步簡化之后，等價于如下select語句：
select * from users
沒錯，該sql語句的作用是檢索users表中的所有字段
小技巧：如果不知道' or 1=1#中的單引號的作用，可以自己echo 下sql語句，就一目了然了。
看到了吧，一個經(jīng)構(gòu)造后的sql語句竟有如此可怕的破壞力，相信你看到這后，開始對sql注入有了一個理性的認(rèn)識了吧~
沒錯，SQL注入就是這么容易。但是，要根據(jù)實際情況構(gòu)造靈活的sql語句卻不是那么容易的。有了基礎(chǔ)之后，自己再去慢慢摸索吧。
有沒有想過，如果經(jīng)由后臺登錄窗口提交的數(shù)據(jù)都被管理員過濾掉特殊字符之后呢？這樣的話，我們的萬能用戶名' or 1=1#就無法使用了。但這并不是說我們就毫無對策，要知道用戶和數(shù)據(jù)庫打交道的途徑不止這一條。
更多關(guān)于SQL注入的信息請看我的另一篇博文：利用SQL注入漏洞拖庫
原創(chuàng)文章：WEB開發(fā)_小飛
轉(zhuǎn)載請注明：http://www.cnblogs.com/hongfei/archive/2012/01/12/sql-injection-tuoku.html
相關(guān)文章
這篇文章主要為大家詳細(xì)介紹了mysql5.7以上版本配置my.ini的詳細(xì)步驟，文中每一步介紹的非常詳細(xì)，具有一定的參考價值，感興趣的小伙伴們可以參考一下2019-10-10
今天小編就為大家分享一篇關(guān)于MySQL分庫分表總結(jié)講解，小編覺得內(nèi)容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-03-03
今天小編就為大家分享一篇關(guān)于B-樹的插入過程介紹，小編覺得內(nèi)容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-01-01
Windows7 64位安裝最新版本MySQL服務(wù)器的圖文教程
本文通過圖文并茂的形式給大家介紹了Windows7 64位安裝最新版本MySQL服務(wù)器的教程，非常不錯，具有一定的參考借鑒價值，需要的朋友參考下吧2018-06-06
mysql Sort aborted: Out of sort memory, consider increasing
這篇文章主要介紹了mysql Sort aborted: Out of sort memory, consider increasing server sort buffer size的解決方法,需要的朋友可以參考下2016-05-05
mysql 發(fā)生系統(tǒng)錯誤1067的解決方法
今天要把WEB項目打包成EXE，可是在數(shù)據(jù)庫上卡住了。在啟動數(shù)據(jù)庫服務(wù)的時候發(fā)生系統(tǒng)錯誤 1067。2009-09-09
這篇文章主要為大家詳細(xì)介紹了MySQL中常見關(guān)鍵字的用法,例如GROUP BY、ORDER BY和LIMIT,文中的示例代碼講解詳細(xì),感興趣的小伙伴可以了解一下2023-09-09
這篇文章主要介紹了MySQL中的?Binlog?深度解析及使用詳情，文章圍繞主題展開詳細(xì)的內(nèi)容介紹，具有一定的參考價值，需要的小伙伴可以參考一下2022-06-06
這篇文章主要介紹了MysQL B-Tree 索引的相關(guān)資料，幫助大家更好的理解和使用MySQL，感興趣的朋友可以了解下2020-11-11
MySQL子查詢詳解(單行子查詢、多行子查詢與相關(guān)子查詢)
所謂子查詢是指在一個查詢中嵌套了其他的若干查詢,即在一個SELECT查詢語句的WHERE或FROM子句中包含另一個SELECT查詢語句,下面這篇文章主要給大家介紹了關(guān)于MySQL單行子查詢、多行子查詢與相關(guān)子查詢的相關(guān)資料,需要的朋友可以參考下2022-09-09