CN112115466A

CN112115466A - 一种绕过select关键字的sql注入方法

Info

Publication number: CN112115466A
Application number: CN202010868320.4A
Authority: CN
Inventors: 吴建亮; 胡鹏; 韩成海
Original assignee: Guangzhou Jeeseen Network Technologies Co Ltd
Current assignee: Guangzhou Jeeseen Network Technologies Co Ltd
Priority date: 2020-08-26
Filing date: 2020-08-26
Publication date: 2020-12-22
Anticipated expiration: 2040-08-26
Also published as: CN112115466B

Abstract

本发明提供了一种绕过select关键字的sql注入的方法，属于网络安全领域。本发明提供了一种绕过select关键字的sql注入方法，在select关键字注入都无法使用时，可以实现sql注入。本发明利用mysql8.0中无需select关键字即可查询数据库的新特性，利用table和VALUES的特点，在需要进行sql注入的表中，使用union table进行sql注入，实现了绕过select关键字的sql注入。

Description

一种绕过select关键字的sql注入方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种绕过select关键字的sql注入方法。

背景技术

随着网络安全的发展，红蓝军(红为攻击者一方，蓝为开发者一方)对抗演练也日益普遍，而SQL注入也是作为红队攻击的常用手法之一，尽管现在框架大部分都使用的是预处理的方式使数据层与语句执行层分离方式来避免SQL注入。但难免有一小部分的接口数据调用被开发给忽略,从而使红队找到突破点，乘虚而入。SQL注入点无需多，只需一个点就能把整个数据库的数据提取出来。所以相应的蓝方也开始部署各种各样的web应用防火墙。虽然这些应用防火墙各方面都做得尽善尽美，但难免会百密一疏，被攻击者从一些小的口进行突破。因此，对于开发者来说，只有掌握了攻击者的各种攻击手段才能够做到更好的防护。

在现有技术中，常见的sql注入以及它的防护与绕过方式如下。

1.在毫无防范的系统中利用select进行注入

在一个毫无防范的系统中，通常的sql注入流程是这样的，比如对url地址进行篡改，正常情况下，在一个url地址中“id＝5”与“id＝6-1”，是完全不同的，不会进行6-1的算术运算得到5，但是被sql注入后，访问这个url地址，其中区别在于“id＝5”和“id＝6-1”，会返回相同的网页，说明该网页存在sql注入。如图1和2所示。

这样，接下来就可以通过联合查询union select，获取到网站管理员的账号密码，举例说明，如图3所示，为从一个普通的数据库中获取管理员账号密码的场景，其中第一行语句中user和pwd表示数据表的列名，wp_user表示数据表名。数据库执行语句表示通过联合查询的方式来查询wp_user数据表中user和pwd列名的数据，id＝-1。前半句“selecttitle,content from wp_news where id＝-1”，表示查询一个id字段数据为“-1”的wp_news数据表的title、content列中的数据，此时，攻击者故意让id＝-1去查询一个不存在的列数据，导致查询失败，从而能够执行后半句查询语句：“union select user,pwd fromwp_user”语句，至此攻击者利用联合查询实现了sql注入。

但上面的方法有个问题，就是union select这个特征比较明显，开发者的一个防护方法就是进行字符替换。

2.select注入的防护方法：字符替换

在一些小型的cms(建站系统)中，常看到如下的输入防护代码：

$str＝str_replace("select","",$str)；

$str＝str_replace("union","",$str)；

这样使用union select进行注入的sql语句会产生语法错误，导致不能注入。绕过方式很简单，比如双写”selectselect”，或者使用大小写如”Select”，对于这种变形，开发者将字符替换也进行改变，如下：

$str＝str_ireplace("select","***",$str)；

$str＝str_ireplace("union","***",$str)；

这种字符替换虽然有效，能解决大部分的注入问题，但是会引发一个新的问题，因为替换往往是全局的，也就是说所有用户的输入都会被替换，会影响正常的业务运行。于是开发者们换了一种思路：正则匹配。

3.select注入的防护方法：正则匹配

在一些waf或者流行的cms中，我们会看到这样的防护代码：

$filter＝"\\<.+javascript:window\\[.{1}\\\\x|||\\b(alert\$|confirm\\(|expression\\(|prompt\\(|benchmark\s*？\(.*$|sleep\s*？$.*$|load_file\s*？\$)|]*？\\bon([a-z]{4,})\s*？＝|^\\+\\/v(8|9)|\\b(and|or)\\b\\s*？([\\(\$'\"\\d]+？＝[\$\$'\"\\d]+？|[\$\$'\"a-zA-Z]+？＝[\$\$'\"a-zA-Z]+？|>|<|\s+？[\\w]+？\\s+？\\bin\\b\\s*？\(|\\blike\\b\\s+？[\"'])|\\/\\*.*\\*\\/|

其中拦截了benchmark、sleep、load_file、and、or、blike以及它们的一些变形。

但这种防护，可以采用下面的方式绕过。

以拦截“INSERT\\s+INTO.+？VALUE”为例，我们可以通过insert into xxx select的方式来绕过，如图4所示，第一条语句创建一个空表，模拟一个场景以方便下一步进行注入测试，第二条语句：“insert into test select 1,2,3“”则是在上面test表的基础上进行注入查询。我是假设开发者写的防护代码是INSERT\\s+INTO.+？VALUE情况下，通过insert into xxx select进行注入来绕过过滤。

随着开发者对攻击者sql注入方式的不断深入研究，发现注入获取数据的时候总是需要联合查询或者子查询，于是产生了一些经典的正则，下面以discuz的防护代码_do_query_safe函数为例，举例说明一些经典拦截的正则表达式。

$_config['security']['querysafe']['dfunction']＝array('load_file','hex','substring','if','ord','char')；

这段代码中，把load_file、hex、substring、if、ord、char关键字加入到拦截的黑名单中；

$_config['security']['querysafe']['daction']＝array('@','intooutfile','intodumpfile','unionselect','(select','unionall','uniondistinct')；

这段代码中，把@、intooutfile、intodumpfile、unionselect、(select、unionall、uniondistinct关键字加入到拦截的黑名单中；

$_config['security']['querysafe']['dnote']＝array('/*','*/','#','--','"')；

...$clean＝preg_replace("/[^a-z0-9_\-#\*\/\"]+/is","",strtolower($clean))；

这段代码中，把特殊字符/*、*/、#、--、"加入到拦截的黑名单中；

把a-z字符0-9字符、_、-、(、)、#、*、/这些特殊字符替换成空字符。

这段代码中，通过strpos这个函数来判断$clean变量包含的字符串中，是否能够匹配$fun中的正则，简言之，就是判断用户输入的字符串中是否含有黑名单中的关键字，若含有则返回错误，将用户输入拦截。

这段代码是discuz对sql注入的最后一段防线，但在某些场景下，也是可以绕过的，比如同表注入，就不需要用到子查询，如图5中所示的代码，通过substr实现了对同一个表的注入，而无需使用子查询。

也可以通过多语句的方式绕过上述正则进行注入，如图6所示，其中设置一个@a变量值等价于0x73656c656374202a2066726f6d2074657374，这是一段16进制的编码，将它解码则为“select test1,test2,test3 union select 1,2,3”，它实际上就是一个数据库查询语句；“prepare s from@a”则表示将@a这个变量代表的数据库查询语句预处理为变量s，“execute s”表示执行变量s，即执行上面的“select test1,test2,test3 union select1,2,3”数据库语句。通过把一个查询数据库语句拆分成3段来执行，通过多语句的方式规避了防护代码的拦截。

4.Select注入的防护方法：语义分析

正则也可能被绕过，通过对用户的输入进行语义分析，如果符合mysql的语法，就将其识别为sql注入进行阻断，如图7所示，比如语句“{emit(“’+’simple_expr->simple_expr”)；}”，对于一个简单的select 1语句，1表示的就是simple_expr的位置，在simple_expr前面可以加一些特殊字符进行变形，如插入一个加号，形式如下：select+1，则这个语句“{emit(“’+’simple_expr->simple_expr”)；}”表示把select+1识别为select 1，简言之就是把攻击者变形的语句还原成原来的形态，以方便防护代码能识别进行拦截。

这类绕过拦截的方法通用的思路就是寻找特殊的语法，导致防护的语义分析出错,当错误到一定的阈值时，防护设备便认为这不是一个合法的sql语句从而放行，如图8所示，在1后面加上字符集的处理，或者如图9所示，通过把trim函数把xxxbarxxx变成barxxx，“select trim(leading‘x’from‘xxxbarxxx’)”等价于“select barxxx”，攻击者选择前面较为复杂的语句进行形式混淆来躲避防护设备语义分析的识别。

现有技术至少存在以下不足：

1.现有技术中利用select关键字进行sql注入的方法几乎被开发者的各种防护措施所拦截，无法使用。

2.现有技术中，多语句注入很多情况下也可以被语义分析的防护方式所拦截。

发明内容

为解决现有技术中存在的技术问题，本发明提供了一种绕过select关键字的sql注入方法，在select关键字注入都无法使用时，可以实现sql注入。本发明利用mysql8.0中的table和VALUES的特点，在需要进行sql注入的表中，使用union table进行sql注入，实现了绕过select关键字的sql注入。在多语句注入也被拦截的情况下，也可以使用本发明的方法进行sql注入。

在mysql 8.0.19之后，mysql引入了几个新的语法：

TABLE table_name[ORDER BY column_name][LIMIT number[OFFSET number]]，

作用是直接列出表的全部内容，如图10所示的示例；

VALUES row_constructor_list[ORDER BY column_designator][LIMIT BYnumber]，

作用是直接列出一行的值，如图11所示的示例；

VALUES语句和table语句结合使用的结果就是列出表的全部数据，如图12所示的结合table和VALUES使用select关键字注入的示例，很显然“union select”会很容易被开发者拦截。

本发明提供了一种绕过select关键字的sql注入方法，应用于安装有mysql 8.0以上版本的被攻击服务器，包括如下步骤：

判断被攻击代码是否过滤了select关键字，如果过滤了select关键字，采用如下方法进行sql注入：

利用union table语句在需要注入sql语句的表中注入sql语句。

优选地，在被攻击代码中在仿写的VALUES语句后利用union table注入sql语句。

优选地，在被攻击代码中在仿写的select语句后利用union table注入sql语句。

优选地，当利用union table语句在需要注入sql语句的表中注入sql语句后，如发现注入失败，则使用盲注的手法结合table语句进行注入。

优选地，在使用盲注的手法注入时，利用mysql8.0中的table语句根据数据库中表名和字段数逐行逐字符注入出表的内容。

优选地，所述使用盲注的手法注入具体包括如下步骤：

猜测表中各行的内容；

按猜测的各行内容进行字符拆分；

按猜测字符顺序进行对比，逐步注入出表的数据。

优选地，当未回显出期望获取的信息，判断为所述注入失败。

优选地，将union table进行正则表达的变换，以绕过拦截。

优选地，所述将union table进行正则表达的变换包括：

将“union table”变换为“union tabletable”。

优选地，所述将union table进行正则表达的变换：

将“union table”变换为“union Table”。

与现有技术相对比，本发明的有益效果如下：

(1)本发明通过利用mysql 8.0中的union table实现了绕过select关键字的sql注入，不易被开发者拦截。

(2)本发明在利用mysql 8.0中的union table注入失败时，利用mysql 8.0中的table采用盲注的手法进行sql注入，不易被开发者拦截。

附图说明

图1是在毫无防范的系统中在url地址中进行sql注入前的网页(id＝5)；

图2是在毫无防范的系统中在url地址中进行sql注入后的网页(id＝6-1)；

图3是在毫无防范的系统中利用联合查询实现sql注入的方法示例；

图4是绕过“INSERT\\s+INTO.+？VALUE”正则的注入方法示例；

图5是不使用子查询，使用substr进行同表注入的方法示例；

图6是通过多语句绕开正则进行注入的方法示例；

图7是通过语义分析进行sql注入防护的示例；

图8是通过在注入语句中加入字符集绕过语义分析防护的示例；

图9是通过特殊函数对注入语句进行形式混淆绕过语义分析防护的示例；

图10是mysql 8.0引入的table语句的作用示例；

图11是mysql 8.0引入的VALUES语句的作用示例；

图12是在mysql 8.0中结合table和VALUES使用select关键字注入的示例；

图13是在mysql 8.0中使用本发明方法绕过select关键字进行注入的示例；

图14是实施例2中被攻击服务器中数据库的示例；

图15是实施例2中使用本发明的方法进行注入的示例；

图16是实施例2中采用本发明方法进行盲注时猜测第一行第一位内容的注入示例；

图17是实施例2中采用本发明方法进行盲注时，当猜测的第一行第一位内容正确时的回显内容示例。

具体实施方式

下面结合附图1-17，对本发明的具体实施方式作详细的说明。

在mysql 8.0.19之后，mysql引入了几个新的语法：

TABLE table_name[ORDER BY column_name][LIMIT number[OFFSET number]]，

作用是直接列出表的全部内容，如图10所示的示例；

VALUES row_constructor_list[ORDER BY column_designator][LIMIT BYnumber]，

作用是直接列出一行的值，如图11所示的示例；

利用union table语句在需要注入sql语句的表中注入sql语句。

作为优选实施方式，在被攻击代码中在仿写的VALUES语句后利用union table注入sql语句。

作为优选实施方式，在被攻击代码中在仿写的select语句后利用union table注入sql语句。

作为优选实施方式，当利用union table语句在需要注入sql语句的表中注入sql语句后，如发现注入失败，则使用盲注的手法结合table语句进行注入。

作为优选实施方式，在使用盲注的手法注入时，利用mysql8.0中的table语句根据数据库中表名和字段数逐行逐字符注入出表的内容。

作为优选实施方式，所述使用盲注的手法注入具体包括如下步骤

猜测表中各行的内容；

按猜测的各行内容进行字符拆分；

按猜测字符顺序进行对比，逐步注入出表的数据。

作为优选实施方式，当未回显出期望获取的信息，判断为所述注入失败。

作为优选实施方式，将union table进行正则表达的变换，以绕过拦截。

作为优选实施方式，所述将union table进行正则表达的变换包括：

将“union table”变换为“union tabletable”。

作为优选实施方式，所述将union table进行正则表达的变换：

将“union table”变换为“union Table”。

为了绕开select关键字采用的union table进行的sql注入，除上述“uniontable”的正则表达的变换外，还可以选择其他不易被开发者识别的正则变换，以提高注入成功的概率。

实施例1

根据本发明的一个具体实施方案，在mysql 8.0中使用本发明方法绕过select关键字进行注入的示例，如图13所示，通过使用本发明的方法利用union table在合法的VALUES语句后成功注入了sql语句，并回显出表user的内容。

实施例2

下面以可以回显的情况下，使用本发明的方法绕过select关键字进行注入为例，说明本发明的方法。

我们假设有这样一个场景，select关键词无法使用，多语句无法使用，注入均失败。数据库如图14所示。应用代码片段如下所示:

$sql＝"select*from news where id＝'注入点'"

如果输入点是有回显的话，使用本发明的方法，利用mysql 8.0中的union table进行注入，如图15所示，其中表new2和user都是3列，所以可以直接联合，实际情况中，管理员或者用户表通常不止3列，但是有一些特殊的表常常是3或者4列，如config配置表，通常的列名为id、config_name、config_value，通过图15所示的方法，可以获取网站的关键配置信息，从而对进一步渗透有帮助，类似的还有session表、log表等。

当使用上述方法注入失败时，可以采用盲注的手法，根据获取到的数据表名和字段数，如图16所示，使用本发明的方法，利用mysql 8.0中的table进行逐步注入。假设表名为user，user表中的第一行的第一列为admin字符串，那么“select*from news2 where id＝-1or(1,’a’,’u’)<(table user limit 1)”是去匹配a字符是不是admin字符串的第一个字符，如果a是user表中第一行的第一个字符，则回显如图17所示，如果不是，如果不是，则回显显示empty；就这样根据回显方式的不同通过暴力枚举去猜解数据库中的字段，匹配到第一位为a后，再去猜解第二位字符，依次类推，即可逐步注入出user表的数据。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均包含在本发明的保护范围之内。

Claims

1.一种绕过select关键字的sql注入方法，应用于安装有mysql 8.0以上版本的被攻击服务器，其特征在于，包括如下步骤：

利用union table语句在需要注入sql语句的表中注入sql语句。

2.根据权利要求1所述的绕过select关键字的sql注入方法，其特征在于，在被攻击代码中在仿写的VALUES语句后利用union table注入sql语句。

3.根据权利要求1所述的绕过select关键字的sql注入方法，其特征在于，在被攻击代码中在仿写的select语句后利用union table注入sql语句。

4.根据权利要求1所述的绕过select关键字的sql注入方法，其特征在于，当利用uniontable语句在需要注入sql语句的表中注入sql语句后，如发现注入失败，则使用盲注的手法结合table语句进行注入。

5.根据权利要求4所述的绕过select关键字的sql注入方法，其特征在于，在使用盲注的手法注入时，利用mysql8.0中的table语句根据数据库中表名和字段数逐行逐字符注入出表的内容。

6.根据权利要求4所述的绕过select关键字的sql注入方法，其特征在于，所述使用盲注的手法注入具体包括如下步骤：

猜测表中各行的内容；

按猜测的各行内容进行字符拆分；

按猜测字符顺序进行对比，逐步注入出表的数据。

7.根据权利要求4所述的绕过select关键字的sql注入方法，其特征在于，当未回显出期望获取的信息，判断为所述注入失败。

8.根据权利要求1所述的绕过select的sql注入方法，其特征在于，将union table进行正则表达的变换，以绕过拦截。

9.根据权利要求8所述的绕过select关键字的sql注入方法，其特征在于，所述将uniontable进行正则表达的变换包括：

将“union table”变换为“union tabletable”。

10.根据权利要求8所述的绕过select关键字的sql注入方法，其特征在于，所述将union table进行正则表达的变换：

将“union table”变换为“union Table”。