SQL注入之二次注入攻击

快来打我* 2022-12-08 05:27 211阅读 0赞

**目录**

1 二次注入的原理

2 以sqli-labs24为例：

2.1 注册 admin'\# 账号

2.2 注意此时的数据库中出现了admin'\#的用户，同时admin的密码为admin

2.3 登录admin'\#，并修改密码

2.4 这时并没有修改admin'\#的密码，而是修改了admin的密码。原理上面已经提过

--------------------

# 1 二次注入的原理 #

在第一次进行数据库插入数据的时候，仅仅只是使用了 addslashes 或者是借助 get\_magic\_quotes\_gpc 对其中的特殊字符进行了转义，在写入数据库的时候还是保留了原来的数据，但是数据本身还是脏数据。

在将数据存入到了数据库中之后，开发者就认为数据是可信的。在下一次进行需要进行查询的时候，直接从数据库中取出了脏数据，没有进行进一步的检验和处理，这样就会造成SQL的二次注入。比如在第一次插入数据的时候，数据中带有单引号，直接插入到了数据库中；然后在下一次使用中在拼凑的过程中，就形成了二次注入。

假如有一个网站管理员的用户名为：root 密码为：123456789 ，攻击者注册了一个账号 ： **root'--    **密码为：**123**   因为账号当中有特殊字符，网站对于特殊字符进行了转义，一次注入在这就行不通了。虽然账号被转义了，但是他在数据库当中任然是以**  root'--  **的方式被储存的。现在攻击者开始实施正真的攻击了，他开始对账号修改密码。普通网站修改密码的过程为：

*  <(￣︶￣)↗     先判断用户是否存在
 *  <(￣︶￣)↗     确认用户以前的密码是否正确
 *  <(￣︶￣)↗     获取要修改的密码
 *  <(￣︶￣)↗     修改密码成功。

在数据库中 -- 表示注释的意思，后面的语句不会执行，而root后面的那个单引号又与前面的 ' 闭合，而原本后面的那个单引号因为是在 -- 之后，所以就被注释掉了，所以他修改的其实是 root 的密码。

--------------------

# 2 以sqli-labs24为例： #

本关为二次排序注入的示范例。二次排序注入也成为存储型的注入，就是将可能导致sql注入的字符先存入到数据库中，当再次调用这个恶意构造的字符时，就可以出发sql注入。二次排序注入思路：

1.  黑客通过构造数据的形式，在浏览器或者其他软件中提交HTTP数据报文请求到服务端进行处理，提交的数据报文请求中可能包含了黑客构造的SQL语句或者命令。
2.  服务端应用程序会将黑客提交的数据信息进行存储，通常是保存在数据库中，保存的数据信息的主要作用是为应用程序执行其他功能提供原始输入数据并对客户端请求做出响应。
3.  黑客向服务端发送第二个与第一次不相同的请求数据信息。
4.  服务端接收到黑客提交的第二个请求信息后，为了处理该请求，服务端会查询数据库中已经存储的数据信息并处理，从而导致黑客在第一次请求中构造的SQL语句或者命令在服务端环境中执行。
5.  服务端返回执行的处理结果数据信息，黑客可以通过返回的结果数据信息判断二次注入漏洞利用是否成功。

此例子中我们的步骤是注册一个**admin'\# **的账号，接下来登录该帐号后进行修改密码。此时修改的就是admin的密码。

Sql语句变为

UPDATE users SET passwd="New_Pass" WHERE username ='admin' # ' AND password='

也就是执行了

UPDATE users SET passwd="New_Pass" WHERE username =' admin'

## 2.1 注册 **admin'\# **账号 ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70][]

## 2.2 注意此时的数据库中出现了admin'\#的用户，同时admin的密码为admin  ##

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1][]

## 2.3 登录admin'\#，并修改密码 ##

![4c8a699a840aa4e16642da935ea0ebc0.png][]

## 2.4 这时并没有修改admin'\#的密码，而是修改了admin的密码。原理上面已经提过 ##

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70]: /images/20221123/704e6ce9ef0c4823b7fbcb514e7f6e79.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RyaWZ0ZXJfR2FsYXh5_size_16_color_FFFFFF_t_70 1]: /images/20221123/062c929fa84e4885a48f9f19bfc6b04a.png
[4c8a699a840aa4e16642da935ea0ebc0.png]: /images/20221123/c5964cf1ddf44928bf47aec1688bdd7a.png