SQL注入详解|OWASP Top 10安全风险实践(二)

本文为一些列连载文章之一,不定期更新,计划目录如下:

SQL注入

命令注入

XML外部实体注入

XPATH注入

反射式、DOM及存储XSS

失效的身份认证和会话管理

不安全的直接对象引用

安全配置错误

敏感信息泄露

功能级访问控制缺失

跨站请求伪造

服务端请求伪造

文件上传漏洞

未验证的重定向和转发

不安全的反序列化

使用含有已知漏洞的组件

一、注入

注入攻击漏洞,例如SQL,OS 以及 LDAP注入。这些攻击发生在当不可信的数据作为命令或 者查询语句的一部分,被发送给解释器的时候。攻击者发送的恶意数据可以欺骗解释器,以执行计划外的命令或者在未被恰当授权时访问数据。

  1. SQL注入
  • 漏洞利用演示

  • 漏洞危害说明

SQL注入攻击成功后,可导致用户数据库中存储的机密数据被窃取,更改,删除,或者上传木马文件,甚至执行系统命令以进一步获取服务器权限等。

  • 漏洞代码分析

处理用户登录的后台代码主要如下:(左右滑动查看代码)

publicbooleancheck_Sql_Login(String ipaddr) throws Exception {        getConnection();        String name = loginuser.getName();        String passwd_page = loginuser.getPassword();        boolean flag = false; // 默认返回值是false        Md5Util md5 = new Md5Util();        String passwd =md5.getMD5(passwd_page.getBytes());         // 拼凑的SQL语句,存在注入风险        String sql = "selectname from user where name=" + "'" + name + "'" + " andpassword=" + "'" + passwd + "'";        System.out.println("登录页面,拼凑SQL语句: " + sql);         try {             java.sql.Statement st = conn.createStatement();             rs =st.executeQuery(sql);             if (rs.next()) {                 flag = true;             } else {                 flag = false;             }             st.close();             System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():" + flag);        } catch (Exceptione) {             e.printStackTrace();        } finally {             out.close();             conn.close();        }    return flag;    }

如果用户名tmp已经存在,输入tmp‘#即可。

如果用户名不存在,继续构建条件为true的语句,如xxx’ or 1=1or ‘1’=’1。

调试输出分别如下:

登录页面,拼凑SQL语句1: select name from user where name=’tmp’#’ andpassword=’d41d8cd98f00b204e9800998ecf8427e’

登录页面查询结果db.java.check_Sql_Login(): true

登录页面,拼凑SQL语句1: select name from user where name=’xxxxx’ or1=1 or ‘1’=’1′ and password=’d41d8cd98f00b204e9800998ecf8427e’

登录页面查询结果db.java.check_Sql_Login(): true

  • 漏洞代码修复

防止SQL注入可使用:(左右滑动查看代码)

a.推荐使用预编译语句,通过prepared Statements类的set方法对参数进行检测;

publicbooleancheck_Presql_Login() throws Exception {        getConnection();        String name = loginuser.getName();        String passwd = loginuser.getPassword();        boolean flag = false;         //定义执行的SQL代码        //区分data和code        String sql = "select* from user where name=" + "?" + " andpassword=" + "?";        pst = conn.prepareStatement(sql);        pst.setString(1,name);        Md5Util md5 = new Md5Util();        passwd = md5.getMD5(passwd.getBytes());        pst.setString(2,passwd);        System.out.println("登录页面,预编译SQL语句: " + sql);        rs = pst.executeQuery();        if (rs.next()) {            flag = true;        } else {            flag = false;        }rs.close();System.out.println("登录页面查询结果" + "db.java.check_Presql_Login():" + flag);return flag;}

b.使用ESAPI提供的方法;(左右滑动查看代码)

publicbooleancheck_EsapiSql_Login() throws Exception {        getConnection();        String name = loginuser.getName();        String passwd = loginuser.getPassword();        boolean flag = false; // 默认返回值是false        Md5Util md5 = new Md5Util();        passwd = md5.getMD5(passwd.getBytes());                Codec mysqlCodec = newMySQLCodec(MySQLCodec.MYSQL_MODE);        String esapi_name = ESAPI.encoder().encodeForSQL(mysqlCodec,name);        String esapi_passwd = ESAPI.encoder().encodeForSQL(mysqlCodec,passwd);         // 拼凑的SQL语句,存在注入风险        String sql = "selectname from user where name=" + "'" +esapi_name + "'" + " andpassword=" + "'" + esapi_passwd+ "'";         try {            java.sql.Statement st = conn.createStatement();            rs =st.executeQuery(sql);            if (rs.next()) {                 flag = true;            } else {                 flag = false;            }            st.close();            System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():"                     + flag);        } catch (Exceptione) {            e.printStackTrace();        } finally {            out.close();            conn.close();        }        return flag;}

c.自定义过滤方法;

1)自定义过滤方法(左右滑动查看代码)

 protectedstaticboolean sqlValidate(String str) {        str = str.toLowerCase();//统一转为小写        String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|*|%|chr|mid|master|truncate|" +                "char|declare|sitename|netuser|xp_cmdshell|;|or|-|+|,|like'|and|exec|execute|insert|create|drop|" +                "table|from|grant|use|group_concat|column_name|" +                "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|" +                "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";//过滤掉的sql关键字,可以手动添加                       String[] badStrs = badStr_miss.split("\|");        for (int i = 0; i< badStrs.length; i++) {            if(str.indexOf(badStrs[i]) >= 0) {               System.out.println("发现非法字符:"+badStrs[i]);                returntrue;            }        }        returnfalse;}

2)对用户输入进行过滤(左右滑动查看代码)

publicboolean check_ValidSql_Login() throws Exception {        getConnection();        String name = loginuser.getName();        String passwd = loginuser.getPassword();        boolean flag = false; // 默认返回值是false        Md5Util md5 = new Md5Util();        passwd = md5.getMD5(passwd.getBytes());         // 拼凑的SQL语句,存在注入风险        String sql = "selectname from user where name=" + "'" + name + "'" + " andpassword=" + "'" + passwd + "'";                if (sqlValidate(name)){             System.out.println("登录页面,拼凑SQL语句: " + sql);        } else {             try {                 java.sql.Statement st = conn.createStatement();                 rs = st.executeQuery(sql);                 if (rs.next()) {                     flag = true;                 } else {                     flag = false;                 }                 st.close();                 System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():" + flag);             } catch (Exceptione) {                 e.printStackTrace();             } finally {                 out.close();                 conn.close();             }        }        return flag;}

作者:王爱华 新钛云服安全架构师

二十年IT行业安全咨询、安全技术和安全管理经验,拥有安全行业CISSP、CISA认证,曾任浦东中软、络安、盛大网络、平安付、沪江网等公司安全咨询顾问、安全经理、高级安全研究员、安全架构师职位。处理过互联网公司各类安全问题,包括信息基础架构安全,应用架构和代码安全,应用运维安全,数据安全和灾难恢复等。熟悉ISO17799、等级保护、PCI-DSS、SOX等信息安全标准规范,具有支付牌照、等级保护、PCI认证的申请、实施和年审经验。熟悉Shell、Python、Java等语言,曾负责搭建metron开源大数据平台,单独开发OWASP TOP 10安全演示平台和企业信息安全管理平台等。