> 데이터 베이스 > MySQL 튜토리얼 > MySQL解决SQL注入的另类方法详解_MySQL

MySQL解决SQL注入的另类方法详解_MySQL

WBOY
풀어 주다: 2016-05-27 13:44:48
원래의
1078명이 탐색했습니다.

本文实例讲述了MySQL解决SQL注入的另类方法。分享给大家供大家参考,具体如下:

问题解读

我觉得,这个问题每年带来的成本可以高达数十亿美元了。本文就来谈谈,假定我们有如下 SQL 模板语句:

select * from T where f1 = '{value1}' and f2 = {value2}

로그인 후 복사
로그인 후 복사

现在我们需要根据用户输入值填充该语句:

value1=hello
value2=5

로그인 후 복사

我们得到了下面的 SQL 语句,我们再提交给数据库:

select * from T where f1='hello' and f2=5

로그인 후 복사

问题在于,攻击者可以构造如下的用户输入值:

value1=anything' or 1=1 or f1='whatever
value2=5

로그인 후 복사

拼接好的最终语句就变成了:

select * from T where f1='anything' or 1=1 or f1='whatever' and f2=5

로그인 후 복사

攻击者成功地改变了模板语句的语义。这种问题不单单发生在 SQL 上,还出现在通常使用模板的任何语言上,比如 HTML 和 shell 脚本。

常规解决方案的说明

SQL 是具备任意性和一致性的公理,token 和派生规则构成其公理化基础。要注意的一个词语是「任意性」。与 SQL 等价的公理化数不胜数。对于这种任意等价的表示,每一条合法的语句都能被准确地映射到 SQL 里的合法语句,其它语言亦然。在这种任意等价表示中,如果某语句是不合法的,那么它在 SQL 里也是不合法的。攻击者不可能构造出可以满足任何可能的、任意与 SQL 等价的规则。

代码如下:

(select * T (and (= f1 'anything' or 1=1 or a='whatever') (= f2 5)))

语法错误。攻击者想要的是:

代码如下:

(select * T (or (= f1 'anything') (or (=1 1) (and (= a 'whatever') (= f2 5)))))

这是不同的。攻击者的注入不能输出合法的前缀语言。

例子2:欧拉表示法

另一个替代方法将数得着欧拉表示法了。从中缀表示法到欧拉:

a OP1 b OP2 c <=> OP1(a,OP2(b,c))

로그인 후 복사

例子中的语句:

select( *,T,and(=(f1,'{value1}'),=(f2,{value2})))

로그인 후 복사

而注入的语句将出现语法错误:

代码如下:

select( *,T,and(=(f1,'anything' or 1=1 or a='whatever'),=(f2,5)))

攻击者本来是想写成:

代码如下:

select( *,T,or(=(f1,'anything',or(=(1,1),and(=(a,'whatever'),=(f2,5))))))

攻击者正在做错误的事情。他的注入根本就没有注意到所选的任意标记法。

例子3:对象标记法(object notation)

还有一种替代方法,对象标记法。从前缀表示法到对象:

a OP1 b OP2 c <=> a.OP1(b).OP2(c)

로그인 후 복사

例子的代码:

T.where(f1.=('{value1}').and(f2.=({value2})).select(*)

로그인 후 복사

注入再一次折戟于语法:

T.where(f1.=('anything' or 1=1 or a='whatever').and(f2.=5)).select(*)

로그인 후 복사

我不再提供正确答案了,读者可以当做练习,看看攻击者应该写成什么样子。

代码如下:

{"select":"iph0ohKi", "*":"ieZoh4xa", "from":"aeZi5uja", "where":"OoJ4aX4n", "=":"eeQu2Zad", "(":"eiD5aera",")":"Soo2uach", "or":"Ocaig5Es"}

为了论证起见,我们将把操作数映射为 半任意的结构化序列:

T <=> @phai1Oa6@T@
hello <=> @phai1Oa6

로그인 후 복사

phai1Oa6 是任意选取的字符序列。对于当前情形,例子:

select * from T where f1 = '{value1}' and f2 = {value2}

로그인 후 복사
로그인 후 복사

变成了:

iph0ohKi ieZoh4xa aeZi5uja @phai1Oa6@T@ OoJ4aX4n @phai1Oa6 eeQu2Zad '{value1}' @phai1Oa6 @phai1Oa6 eeQu2Zad {value2}

这是合法的、任意的 brainfuck 语言。经过注入之后,我们得到了:

iph0ohKi ieZoh4xa aeZi5uja @phai1Oa6@T@ OoJ4aX4n @phai1Oa6 eeQu2Zad 'anything' or 1=1 or a='whatever' @phai1Oa6 @phai1Oa6 eeQu2Zad 5

你可以看到,它包含的 token 有 'or' 和 '=',它们在任意的 brainfuck 语言中是不合法的。我们的语法说,你必须这样使用:

or <=> Ocaig5Es
= <=> eeQu2Zad

로그인 후 복사

这些 token 也不是操作数,因为它们将只能被视作:

or <=> @phai1Oa6
= <=> @phai1Oa6@=@

로그인 후 복사

换句话说,注入之后的语句就变得不合法、也不可用了。

策略3:验证不变量

你数数下面模板语句例子中的 token 有几个?

[1] select [2] * [3] from [4] T [5] where [6] f1 [7] = [8] '{value1}' [9] and [10] f2 [11] = [12] {value2}
12 个。模板填充之后,总数必须仍然为 12,但是我们却看到了攻击者所引发的结果:

[1] select [2] * [3] from [4] T [5] where [6] f1 [7] = [8] 'anything' [9] or [10] 1 [11] = [12] 1 [13] or [14] a [15] = [16] 'whatever' [17] and [18] f2 [19] = [20] 5

现在有 20 个 token 。违反这种不变量,就暴露了有问题的地方。同样适用于相同语句的表示,除了任意的、brainfuck 语言。模板的填充根本不可能导致 token 数量的变化。

事实上,你可以试着使用其它不变量,并在填充之后进行验证。攻击者必须和它们保持一致。

结论

有些人提倡,程序员在填充 SQL 模板时,应该更加小心。应对 SQL 注入问题,只是需要在编程方面多加小心。很明显,这种方式算不上解决方案。人们仍然在校验用户输入值方面出现错误,最终接受了带有恶意的用户输入值。换句话说,单凭我们所有人更努力地工作,是无法根本解决这种问题的。

真正的解决方案在于,SQL 语句本身的任意性,并要求所有现存不变量都符合任意的等价结构的规则。无需程序员的干预,就能自动完成。

攻击者不得不符合一种未知的、任意的 brainfuck 语法的规则。想要符合一组未知的规则,将是难以解决的问题。因此,攻击者通常无法得手。

更多关于MySQL相关内容感兴趣的读者可查看本站专题:《MySQL日志操作技巧大全》、《MySQL事务操作技巧汇总》、《MySQL存储过程技巧大全》、《MySQL数据库锁相关技巧汇总》及《MySQL常用函数大汇总》

希望本文所述对大家MySQL数据库计有所帮助。

관련 라벨:
원천:php.cn
본 웹사이트의 성명
본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.
인기 튜토리얼
더>
최신 다운로드
더>
웹 효과
웹사이트 소스 코드
웹사이트 자료
프론트엔드 템플릿