【DVWA】SQL注入

SQL注入是網站常見的漏洞之一，它可以直接拿到網站上數據庫的全部內容。在DVWA搭建（http://www.javashuo.com/article/p-hojjhwzt-hm.html），並將DVWA的安全級別設置爲low以後，能很好地模擬出一次sql攻擊。經過親自經歷，咱們之後應該能很好地在開發網站時留下這個漏洞給人攻擊。

 

1、DVWA中的SQL注入展現

打開SQL Injection模塊，初看，這是個很普通的輸入框。好比咱們輸入1，他能很好地進行反饋，以下圖所示：

但你輸入1'你會發現這個網站是報錯的，不能很好地進行反饋，這就意味着，這個網站是存在SQL漏洞：

之因此這樣說的緣由，能夠在這網頁的源碼中一目瞭然。這網頁的源碼在.\DVWA\vulnerabilities\sqli\source\low.php裏面，具體以下：

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {
	// Get input
	$id = $_REQUEST[ 'id' ];

	// Check database
	$query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';";
	$result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

	// Get results
	while( $row = mysqli_fetch_assoc( $result ) ) {
		// Get values
		$first = $row["first_name"];
		$last  = $row["last_name"];

		// Feedback for end user
		$html .= "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
	}

	mysqli_close($GLOBALS["___mysqli_ston"]);
}

?>

留意到對於$query語句是沒有任何保護的，也就意味着，裏面$id=1，也就是$query演變成SELECT first_name, last_name FROM users WHERE user_id = '1' 還好說， SELECT first_name, last_name FROM users WHERE user_id = ''' 是確定報錯的，那若是  SELECT first_name, last_name FROM users WHERE user_id = '1' or '1=1'呢？是否是這個查詢一定爲真，並且where語句不生效，將整個users表的first_name和last_name都查出來了？也就是，咱們在輸入框輸入，1' or '1=1便可。

結果以下所示，果真和咱們想象的同樣：

 

2、SQL注入的防範

其實SQL注入的防範並不難，咱們只要對傳遞的參數作校驗，若是不合法，直接拒絕請求就完事了。分下面幾種狀況：

（1）若是你的輸入框是要求數字類型的，判斷是否爲數字，若是不是，直接拒絕請求

（2）若是是有格式的類型（好比 日期，email，電話，身份證號碼等等），判斷是非符合格式，若是不符合格式，拒絕請求。

（3）若是是字符串類型，沒有特殊的格式，須要對字符串長度作校驗，若是長度大於數據庫該字段的定義長度，直接拒絕請求。好比上面的id，數據庫要是定義爲varchar(1)，若是輸入超過1個字符，直接拒絕請求。

在.\DVWA\vulnerabilities\sqli\source\impossible.php裏面，DVWA直接給出SQL注入的防範方案，具體以下：

<?php

if( isset( $_GET[ 'Submit' ] ) ) {
	// Check Anti-CSRF token
	checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' );

	// Get input
	$id = $_GET[ 'id' ];

	// Was a number entered?
	if(is_numeric( $id )) {
		// Check the database
		$data = $db->prepare( 'SELECT first_name, last_name FROM users WHERE user_id = (:id) LIMIT 1;' );
		$data->bindParam( ':id', $id, PDO::PARAM_INT );
		$data->execute();
		$row = $data->fetch();

		// Make sure only 1 result is returned
		if( $data->rowCount() == 1 ) {
			// Get values
			$first = $row[ 'first_name' ];
			$last  = $row[ 'last_name' ];

			// Feedback for end user
			$html .= "<pre>ID: {$id}<br />First name: {$first}<br />Surname: {$last}</pre>";
		}
	}
}

// Generate Anti-CSRF token
generateSessionToken();

?>

能夠看到對於一個輸入的id的類型和長度，還有返回結果的多少作了一個嚴格的審查，還用了php的Prepared Statement機制，嚴格限定id的類型，這樣就作到萬無一失了。