INSERT 上的 SQL 注入

Question

我目前正在以 IT 实习生的身份测试我公司应用程序的 SQL 注入漏洞。

所以我发现，该应用程序确实容易受到注入攻击，因为我可以更改一些插入语句。

所以我将insert语句更改为：

INSERT INTO tablename( column, column1, column2, column3, column4,column5, column6, column7, column8 ) 
VALUES ( 10965972, 185796154, 25, 23,2023, '', CURRENT_DATE, 'v0201100',
18); 

DELETE * 
  FROM tablename;-- , 2023,'a', CURRENT_DATE, 'v0201100', 18 )

我认为这应该是一个正确的语句，但是MySQL服务器返回了这个错误： MySQL 错误：1064（您的 SQL 语法有错误；[...]

如果有人可以帮助并告诉我语法错误的原因，那就太好了...

感谢您的帮助:-)

编辑： 感谢您的所有回答。 :) 不幸的是 * 不是问题。 我尝试执行不带删除部分的语句（语句由php执行） 所以语句如下所示：

[...] VALUES( 10963455, 182951959, 23, 23,2023, '', CURRENT_DATE, 'v0201100', 18)--, 2023, '', CURRENT_DATE, 'v0201100', 18 ）

但即便如此，MySQL 服务器也返回了相同的错误。 这是完整的错误消息：

MySQL 错误：1064（您有一个错误 在你的 SQL 语法中；检查手册 对应于您的 MySQL 服务器 正确使用语法的版本 靠近“--, 2023, ”, CURREN' 行 17) 会话停止。

如果有人知道这个问题，我将非常感激。

Answer 1

如果该示例查询块在SINGLE ->query() 调用中执行，则 MySQL 驱动程序不允许在单个查询调用中执行多个查询。它消除了 bobby table 类型的注入攻击，但不能阻止注入操作 where 子句等的值。

Answer 2

查看MySQL DELETE 规范，没有建议您可以在 DELETE 语句后立即包含 * 。尝试将其删除。

* 在 select 语句中用于选择所有列。此处指定它没有任何意义，因为您正在删除行。

我相信解析器会忽略 -- 注释行（我当然希望如此），所以这部分代码应该没问题。如有疑问，请将其删除以进行测试。

Answer 3

当我使用 ; 将您的 sql 语句拆分为多行时作为分隔符，我得到：

1) VALUES( 10965972, 185796154, 25, 23,2023, '', CURRENT_DATE, 'v0201100', 18);
2) DELETE * FROM 表名；
3) -- , 2023, 'a', CURRENT_DATE, 'v0201100', 18 )

对我来说，3）对我来说看起来不像有效的sql......

Answer 4

MySQL 不允许没有 where 语句的 delete 查询。你可以使用：

DELETE * FROM tablename WHERE 1 = 1

你可能还需要删除delete之后的*，看起来MySQL不支持这一点。

Answer 5

@freddy：DELETE * FROM tablename 应该是DELETE FROM tablename。

Answer 6

DELETE 语句的 ANSI SQL 定义不包含星号 *

Try, DELETE FROM tablename

Answer 7

此外，您还使用 SQL 注入。 SQL 注入在您的公司可能发生的原因是一个秘密（只需使用预先准备的语句），但这不是问题所在。大多数 SQL 注入是由于使用 mysql_query() 而不进行过滤/转义引起的。 mysql_query() 只允许 1 个查询。如果这可以工作，则必须有 mysql_multi_query() 。
MySQL 禁止修改 SELECT 语句中的数据。