网站已被 SQL 注入攻击

Question

最近我的网站被 SQL 注入攻击了。黑客使用了以下查询 获取我的数据库名称。我无法理解他们写的这个查询。

查询：

=-999.9%20UNION%20ALL%20SELECT%20concat(0x7e,0x27,Hex(cast(database()%20as%20char)),0x27,0x7e),0x31303235343830303536,0x31303235343830303536,0x31303235343830303536--

运行查询后，它显示一个整数结果，类似于“74545883”。

您能解释一下查询是如何工作的吗？

Answer 1

它看起来像是溢出攻击。他们与您现有的查询进行UNION-ed。将所有 %20 替换为（空格），因为其网址编码会产生：

=-999.9 UNION ALL SELECT CONCAT(0x7e,0x27,Hex(cast(database() as char)),0x27,0x7e),0x31303235343830303536,0x31303235343830303536,0x31303235343830303536-

分解它：

1. =-999.9 只是结束当前查询
2. 0x31303235343830303536 是 NULL - 它们只是与现有查询中的列数匹配。如果您有 SELECT * FROM users 且 users 有 4 列，则 UNION 也必须有 4 列。结果，他们只是使用“NULL 值”来填充这些列。
3. 真正的混乱在于CONCAT()。它们将 126、39、数据库名称组合为十六进制值，39 和 126
4. -- 是 mysql 注释 - 从

这次攻击来看，它会忽略您的查询的其余部分，我怀疑您不是将输入包装在 mysql_real_escape_string() 中，这允许攻击者跳出您的查询并执行自己的查询。

有关详细信息，请参阅 owasp.org信息。

Answer 2

这不是完整的查询，实际上是人在您的网络应用程序中输入了此字符串。

现在，首先将并集部分中的 %20 替换为空格，您会得到：

SELECT concat(0x7e,0x27,Hex(cast(database() as char)),0x27,0x7e),0x31303235343830303536,0x31303235343830303536,0x31303235343830303536--

似乎用户将字符串放在您期望数字的某个位置。所以，你看到首先有一个数字（999.9）来完成查询的原始条件。然后，添加 UNION 部分。
最后，在 UNION 部分之后，添加注释字符 (-- )，以便绕过查询的其余部分（可能由您的系统添加）。

我们可以格式化代码以便更好地理解：

SELECT 
    concat
    (
        0x7e,
        0x27,
        Hex(cast(database() as char)),
        0x27,
        0x7e
    ),
    0x31303235343830303536,
    0x31303235343830303536,
    0x31303235343830303536

现在，结果第一列的子字符串将包含数据库名称的十六进制编码形式。实际上，它应该用单引号（0x27）包围，然后再次用〜（0x7e）包围

Answer 3

查询使用 DATABASE() ，然后使用 HEx( ) 函数。

一旦他们有了这个，他们就可以使用 UNHEX 函数

看一下 UNHEX 示例

mysql> SELECT UNHEX('4D7953514C');
        -> 'MySQL'
mysql> SELECT 0x4D7953514C;
        -> 'MySQL'
mysql> SELECT UNHEX(HEX('string'));
        -> 'string'
mysql> SELECT HEX(UNHEX('1267'));
        -> '1267'

很高兴知道它们是如何进入的，但总而言之，您需要修复代码以避免 SQL 注入。

Answer 4

-999.9 UNION ALL SELECT 
CONCAT('Hex(cast(database() as char))'),
0x31303235343830303536,
0x31303235343830303536,
0x31303235343830303536

我想你的日志中一定还有其他条目，如果没有，他事先就知道你有 3 列。

Answer 5

这是使用 Havij 进行注入的示例
0x7e 和 0x27 对​​应于 ~ 和 ' ，它们将用于框架 HTML 显示
例如
id=999999.9+union+all+select+0x31303235343830303536,(select+concat(0x7e,0x27,unhex(Hex(cast(sample_tbl.name+as+char))),0x27,0x7e)+from+测试.sample_tbl+Order+by+id+limit+0,1)+--
此查询将根据

http://www.string-functions.com/hex-string.aspx

Answer 6

首先，查询看起来像是 HTML 编码的。将 %20 替换为空格，它会变得更具可读性。他们还将部分查询转换为某种内容的十六进制表示形式。也尝试对语句的该部分进行十六进制解码。

当您尝试将 SQL 动态创建为字符串，然后将其发送到 DBMS 时，就会产生 SQL 注入风险。想象一下，像这样的字符串存储在您的系统中，用于搜索栏等：

SELECT * FROM SOME_TABLE WHERE SOME_COLUMN=

要完成查询并让攻击进入，他们需要进行如下输入this:

'x' or 1=1

在这种情况下，查询将变为：

SELECT * FROM SOME_TABLE WHERE SOME_COLUMN='x' or 1=1

SOME_COLUMN< /code> 可以是任何变量，无论它在哪里失败，重要的是 1=1 始终为 true，从而可能使攻击者能够访问该表中的每一行。

现在您已经了解了，请检查您的代码并将每个动态创建的查询替换为准备好的语句。 OWASP 网站也有大量用于防御性编码的资源：

www.owasp.org

Answer 7

是的，他得到了您的数据库名称的十六进制形式，您所说的“74545883”。
通过对其进行解密，他可以获得真实的数据库名称。