CTFshow SQL 195-200 堆叠注入攻击解析与密码修改过程详解

2022-12-06 20:18:50

堆叠注入攻击：一种绕过 SQL 过滤的技巧

在 CTFshow SQL 195-200 挑战中，我们面临了一项艰巨的任务——修改管理员密码。然而，网站的密码修改功能中存在着 SQL 注入漏洞，让我们得以利用堆叠注入攻击来绕过 SQL 查询过滤，实现我们的目标。

什么是堆叠注入？

堆叠注入攻击是一种 SQL 注入攻击技术，发生在攻击者可以控制 SQL 查询语句中字段值的情况下。通过构造恶意查询语句，攻击者可以绕过查询过滤并执行任意 SQL 命令。

识别堆叠注入漏洞

在 CTFshow 挑战中，我们发现密码修改功能的 SQL 查询语句如下：

UPDATE users SET password = '111' WHERE username = 'admin' AND password = 'old_password';

在这个查询中，username 和 old_password 字段值是由用户控制的。我们可以构造一个恶意查询语句，将这两个字段的值设置为任意值，从而绕过过滤并修改密码。

构造恶意查询语句

我们构造了一个恶意查询语句，将 username 和 old_password 字段的值设置为虚假的字符串：

UPDATE users SET password = 'new_password' WHERE username = 'admin' AND password = 'aaaaaaaaa';

当我们执行这个查询时，SQL 服务器将忽略查询过滤，将 username 设置为 admin，old_password 设置为 aaaaaaaaa，并用 new_password 更新 password 字段。这样，我们就成功修改了管理员密码。

获取管理员密码

除了修改密码外，堆叠注入还可以用于获取管理员密码。我们可以构造一个恶意查询语句，将 password 字段值设置为一个特殊值，例如：

select password from users where username='admin' limit 1;

当我们执行这个查询时，SQL 服务器会将 password 字段值设置为管理员密码，从而泄露了该密码。

步骤

识别堆叠注入漏洞。
构造恶意查询语句。
执行恶意查询语句。
获取管理员密码。

示例代码

-- 修改管理员密码
UPDATE users SET password = '111' WHERE username = 'admin' AND password = 'old_password';

-- 构造恶意查询语句
UPDATE users SET password = 'new_password' WHERE username = 'admin' AND password = 'aaaaaaaaa';

-- 获取管理员密码
select password from users where username='admin' limit 1;