Web4: SQL injection - Các bước khai thác

1. Phát hiện

Một cách thông thường, để phát hiện một ứng dụng web có dính lỗi SQL injection hay không là thêm vào câu truy vấn các meta character trong các hệ quản trị cơ sở dữ liệu, chẳng hạn như dấu nháy đơn (single quote), dấu nháy kép (double quote), dấu chấm phẩy (semi colon) và các ký tự comment (--, ##, /**/)… và chờ xem ứng dụng web sẽ xứ lý câu truy vấn đó như thế nào.

2. Thu thập thông tin về hệ quản trị cơ sở dữ liệu

Khi phát hiện ứng dụng bị dính lỗi SQL injection, công việc cần làm tiếp theo là thu thập thông tin về hệ quản trị cơ sở dữ liệu mà ứng dụng đang dùng, thông tin này bao gồm loại cơ sở dữ liệu (mysql, mssql, oracle…) và phiên bản của nó.

Để xác định hệ loại quản trị mà ứng dụng đang sử dụng, chúng ta có thể đánh giá theo nhiều tiêu chí. Có thể đánh giá qua thông báo lỗi:

Trong trường hợp ở trên, thông báo lỗi cho biết ứng dụng web sử dụng MySQL.

3. Xác định số lượng cột trong mệnh đề select

Khi khai thác SQL injection, chúng ta thường sử dụng một hay nhiều mệnh đề select phụ (subselect), điều này được thực hiện thông qua từ khóa union. Union là từ khóa dùng để gộp kết quả của nhiều mệnh đề select do đó trong mỗi mệnh đề select đòi hỏi số lượng các trường đều phải bằng nhau và đều bằng số lượng các trường được select trong mệnh đề select ban đầu. Xét một ví dụ cụ thể:

Ở đây, trong mệnh đề select ban đầu chọn ra 3 trường là id, content và author. Do đó mệnh đề select sau từ khóa union cũng cần phải có đúng 3 trường. Nếu số trường select ở mệnh đề select sau union không bằng số lượng các trường được select trong mệnh đề select đầu tiên, chúng ta sẽ nhận được thông báo lỗi. Vậy làm sao để biết để biết được chính xác mệnh đề select đầu tiền chọn ra bao nhiêu trường. Chúng ta có thể thực hiện thử dần bằng cách tăng dần số lượng cột trong mệnh đề select sau union (bắt đầu từ 1). Khi nào không thấy thông báo lỗi xuất hiện thì đó chính là số lượng cột cần tìm.

Một cách khác để làm điều này, nhanh chóng hơn đó là sử dụng 'order by'. Trong các hệ quản trị cơ sở dữ liệu từ khóa 'order by' được sử dụng để sắp xếp thứ tự cho các bản ghi thu được trong mệnh để select. Sau order by có thể là tên một cột để xác định rằng kết quả thu về sẽ được sắp xếp theo giá trị của cột đó (có thể tăng dần hay giảm dần). Sau order by cũng có thể là số thứ tự vị trí của cột đó. Nếu giá trị sau order lớn hơn số cột được select thì chúng ta sẽ thấy thông báo lỗi.

4. Xác định thông tin

Sau khi lấy được các thông tin cơ bản, chúng ta sẽ tiến hành khai thác SQL injection để lấy cơ sở dữ liệu hay thực hiện những hành vi khác thông qua lỗ hổng này.

Xác định tên bảng, cột: chúng ta có nhiều cách để làm được công việc này, một trong những cách đó là “đoán” vì nó nhanh chóng và trong những trường hợp cụ thể, đây là cách rất hữu ích. Ví dụ: một số tên bảng thông dụng như : user, users, admin, administrator, staff, account, manager… (chú ý tiền tố tbl_ rất hay được các lập trình viên sử dụng để đặt cho tên bảng).

Một cách chính qui hơn để biết được tên bảng, tên cột là sử dụng đối tượng information_schema. Đối tượng này cung cấp các thông tin về tables, columns, views và procedures… của cơ sở dữ liệu.

Lưu ý: Bài gốc có phần ví dụ nhưng link tới trang thực hiện ví dụ đã bị die. Các bạn vui lòng tìm và tham khảo ví dụ trên các kênh khác nhé.