SQL 注入之二次注入

最新推荐文章于 2025-03-12 19:16:57 发布

原创最新推荐文章于 2025-03-12 19:16:57 发布 · 6.6k 阅读

44 ·

CC 4.0 BY-SA版权

文章标签：

#渗透测试 #sql #安全

web安全同时被 2 个专栏收录

4 篇文章

订阅专栏

sql注入

2 篇文章

订阅专栏

1、原理

二次注入可以理解为，攻击者构造的恶意数据存储在数据库后，恶意数据被读取并进入到 SQL 查询语句所导致的注入。防御者可能在用户输入恶意数据时，对其中的特殊字符进行了转义处理；但在恶意数据插入到数据库时，被处理的数据又被还原并存储在数据库中，当 Web 程序调用存储在数据库中的恶意数据并执行 SQL 查询时，就发生了 SQL 二次注入。

二次注入的过程

（1）先构造语句（此语句含有被转义字符的语句，如 mysql_escape_string、mysql_real_escape_string 转义）

（2）将我们构造的恶意语句存入数据库（被转义的语句）

（3）第二次构造语句（结合前面已被存入数据库的语句构造。因为系统没有对已存入的数据做检查，成功注入）

2、实验过程

以 sqli-labs less 24 为例

（1）查看初始 users 表

发现初始 users 表中账号 admin 的密码为 admin

（2）注册用户

在网站注册名为 admin'-- - 密码为 123456 的用户

注册用户的主要代码如下：

if (isset($_POST['submit']))
{
	$username=  mysql_escape_string($_POST['username']) ;
	$pass= mysql_escape_string($_POST['password']);
	$re_pass= mysql_escape_string($_POST['re_password']);
    //对注册账号时输入的数据进行转义	

	echo "<font size='3' color='#FFFF00'>";
	$sql = "select count(*) from users where username='$username'";
	$res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( ');
  	$row = mysql_fetch_row($res);
	
	if (!$row[0]== 0) 
		{
		?>
		<script>alert("The username Already exists, Please choose a different username ")</script>;
		<?php
		header('refresh:1, url=new_user.php');
   		} 
		else 
		{
       		if ($pass==$re_pass)
			{
   				$sql = "insert into users ( username, password) values(\"$username\", \"$pass\")";
                //创建账号的代码
   				mysql_query($sql) or die('Error Creating your user account,  : '.mysql_error());

                .........

我们可以在该 php 文件末尾中添加一句代码，在网页中打印出创建的用户名。把自动跳转页面的代码注释，方便查看效果。

echo "Hint: The Query String you input is escaped as : ".$username ."<br>";

可以发现此时的用户名 admin'-- - 的单引号已被转义，不能在注册用户时就直接进行 sql 注入，只能进行二次利用，去实现 sql 注入获取数据。

（3）修改用户密码

我们先查看一下此时的 users 表，发现多了一个用户 admin'-- -，而不是刚刚网页打印出来的 admin\'-- -，这是因为创建用户的代码只是在单引号前加了一个 \ ，使得在执行的时候单引号被认为是字符串里的一个字符，而不是被当成 sql 语句中的单引号。

修改用户 admin'-- - 的密码

再一次查看 users 表，发现用户 admin‘-- - 的密码并没有被修改，而是用户 admin 的密码被修改了。于是我们就有了 admin 的账户密码。

3、原因

在网站设计时，虽然过滤了注册的信息，把特殊字符进行了转义，但是在从数据库调用从外部保存下来的数据时，并没有进行过滤，使得“admin'-- -”被代入到 sql 语句执行，执行了这段 payload，达到了修改用户 admin 的密码的目的

具体代码

#原语句
UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' 

#插入 payload 后的语句
UPDATE users SET PASSWORD='$pass' where username='admin'-- -' and password='$curr_pass' 
#此时 'admin' 后的语句被注释

#真正的生效的语句
UPDATE users SET PASSWORD='$pass' where username='admin'
#从而达到了修改用户 admin 密码的目的