sql注入安全漏洞：网络安全之SQL注入详解

sql注入安全漏洞：网络安全之SQL注入详解注：在没有具体说明的情况下，我们假设magic_quotes_gpc均为off。，好在现在的技术已经构造出不带引号的语句应用在某些场合。只要有经验，其实构造有效的语句一点也不难，甚至成功率也很高，但具体情况具体分析。首先要走出一个误区。关于SQL注入，目前已经有工具软件支持，如WebCruiser - Web Vulnerability Scanner （Web安全漏洞扫描工具，可以扫描出网站存在SQL注入、跨站脚本攻击、XPath注入的页面，并且可以进一步进行SQL注入验证、跨站攻击验证、XPath注入验证，官方网站为 http://sec4app.com ）：如果您想深入学习手工注入，请继续往下看： 早期的时候，根据程序的代码，要构造出没有引号的语句形成有效的攻击，还真的有点困难

2003年开始，喜欢脚本攻击的人越来越多，而且研究ASP下注入的朋友也逐渐多了起来，我看过最早的关于SQL注入的文章是一篇99年国外的高手写的，而现在国外的已经炉火纯青了，国内才开始注意这个技术，由此看来，国内的这方面的技术相对于国外还是有一段很大差距，话说回来，大家对SQL注入攻击也相当熟悉了，国内各大站点都有些堪称经典的作品，不过作为一篇完整的文章，我觉得还是有必要再说说其定义和原理。如果哪位高手已经达到炉火纯青的地步，不妨给本文挑点刺。权当指点小弟。

国内能看到php Mysql注入的文章可能比较少，但是如果关注各种WEB程序的漏洞，就可以发现，其实这些漏洞的文章其实就是一个例子。不过由于国内研究PHP的人比研究ASP的人实在少太多，所以，可能没有注意，况且PHP的安全性比ASP高很多，导致很多人不想跨越这个门槛。

尽管如此，在PHP站点日益增多的今天，SQL注入仍是最有效最麻烦的一种攻击方式，有效是因为至少70%以上的站点存在SQLInjection漏洞，包括国内大部分安全站点，麻烦是因为MYSQL4以下的版本是不支持子语句的，而且当php.ini里的magic_quotes_gpc为On时。提交的变量中所有的'(单引号) "(双引号) (反斜线)and空字符会自动转为含有反斜线的转义字符。给注入带来不少的阻碍。

5.1 注入工具

关于SQL注入，目前已经有工具软件支持，如WebCruiser - Web Vulnerability Scanner （Web安全漏洞扫描工具，可以扫描出网站存在SQL注入、跨站脚本攻击、XPath注入的页面，并且可以进一步进行SQL注入验证、跨站攻击验证、XPath注入验证，官方网站为 http://sec4app.com ）：

如果您想深入学习手工注入，请继续往下看：

早期的时候，根据程序的代码，要构造出没有引号的语句形成有效的攻击，还真的有点困难

，好在现在的技术已经构造出不带引号的语句应用在某些场合。只要有经验，其实构造有效的语句一点也不难，甚至成功率也很高，但具体情况具体分析。首先要走出一个误区。

注：在没有具体说明的情况下，我们假设magic_quotes_gpc均为off。

5.2 php Mysql注入的误区

很多人认为在PHP MYSQL下注入一定要用到单引号，或者是没有办法像MSSQL那样可以使用

"declare@asysnameselect@a=<command>execmaster.dbo.xp_cmdshell@a"这类的命令来消除引号，其实这个是大家对注入的一种误解或这说是对注入认识上的一种误区。为什么呢？因为不管在什么语言里，在引号（包括单双）里，所有字符串均是常量，即使是

dir这样的命令，也紧紧是字符串而已，并不能当做命令执行，除非是这样写的代码：

$command="dirc:";

system($command);

否则仅仅只是字符串，当然，我们所说的命令不单指系统命令，我们这里说的是SQL语句，要让我们构造的SQL语句正常执行，就不能让我们的语句变成字符串，那么什么情况下会用单引号？

什么时候不用呢？看看下面两句SQL语句：

①SELECT*FROMarticleWHEREarticleid='$id'

②SELECT*FROMarticleWHEREarticleid=$id

两种写法在各种程序中都很普遍，但安全性是不同的，第一句由于把变量$id放在一对单引号中，这样使得我们所提交的变量都变成了字符串，即使包含了正确的SQL语句，也不会正常执行，而第二句不同，由于没有把变量放进单引号中，那我们所提交的一切，只要包含空格，那空格后的变量都会作为SQL语句执行，我们针对两个句子分别提交两个成功注入的畸形语句，来看看不同

之处。

①指定变量$id为：

1'and1=2unionselect*fromuserwhereuserid=1/*

此时整个SQL语句变为：

SELECT*FROMarticleWHEREarticleid='1'and1=2unionselect*fromuserwhere

userid=1/*'

②指定变量$id为：

1and1=2unionselect*fromuserwhereuserid=1

此时整个SQL语句变为：

SELECT * FROM article WHERE articleid=1 and 1=2 union select * from user where userid=1

看出来了吗？由于第一句有单引号，我们必须先闭合前面的单引号，这样才能使后面的语句

作为SQL执行，并要注释掉后面原SQL语句中的后面的单引号，这样才可以成功注入，如果php.ini

中magic_quotes_gpc设置为on或者变量前使用了addslashes()函数，我们的攻击就会化为乌有，但第二句没有用引号包含变量，那我们也不用考虑去闭合、注释，直接提交就OK了。

大家看到一些文章给出的语句中没有包含单引号例如pinkeyes的《php注入实例》中给出的那句SQL语句，是没有包含引号的，大家不要认为真的可以不用引号注入，仔细看看PHPBB的代码，就可以发现，那个$forum_id所在的SQL语句是这样写的：

$sql="SELECT*

FROM".FORUMS_TABLE."

WHEREforum_id=$forum_id";

由于没有用单引号包含变量，才给pinkeyes这个家伙有机可乘，所以大家在写PHP程序的时候，记得用单引号把变量包含起来。当然，必要的安全措施是必不可少的。