一、 注入式攻擊的類型
可能存在許多不同類型的攻擊動機,但是乍看上去,似乎存在更多的類型。這是非常真實的-如果惡意使用者發現了一個能夠執行多個查詢的辦法的話。本文後面,我們會對此作詳細討論。
如果你的指令碼正在執行一個SELECT指令,那麼,攻擊者可以強迫顯示一個表格中的每一行記錄-通過把一個例如"1=1"這樣的條件注入到WHERE子句中,如下所示:
SELECT * FROM wines WHERE variety = 'lagrein' OR 1=1;'
正如我們在前面所討論的,這本身可能是很有用的資訊,因為它揭示了該表格的一般結構(這是一條普通的記錄所不能實現的),以及潛在地顯示包含機密資訊的記錄。
一條更新指令潛在地具有更直接的威脅。通過把其它屬性放到SET子句中,一名攻擊者可以修改當前被更新的記錄中的任何欄位,例如下面的例子:
UPDATE wines SET type='red','vintage'='9999' WHERE variety = 'lagrein'
通過把一個例如1=1這樣的恒真條件添加到一條更新指令的WHERE子句中,這種修改範圍可以擴充到每一條記錄,例如下面的例子:
UPDATE wines SET type='red','vintage'='9999 WHERE variety = 'lagrein' OR 1=1;'
最危險的指令可能是DELETE-這是不難想像的。其注入技術與我們已經看到的相同-通過修改WHERE子句來擴充受影響的記錄的範圍,例如下面的例子:
DELETE FROM wines WHERE variety = 'lagrein' OR 1=1;'
二、 多個查詢注入
多個查詢注入將會加劇一個攻擊者可能引起的潛在的損壞-通過允許多條破壞性指令包括在一個查詢中。在使用MySQL資料庫時,攻擊者通過把一個出乎意料之外的終止符插入到查詢中即可很容易實現這一點-此時一個注入的引號(單引號或雙引號)標記期望變數的結尾;然後使用一個分號終止該指令。現在,一個另外的攻擊指令可能被添加到現在終止的原始指令的結尾。最終的破壞性查詢可能看起來如下所示:
SELECT * FROM wines WHERE variety = 'lagrein';
GRANT ALL ON *.* TO 'BadGuy@%' IDENTIFIED BY 'gotcha';'
這個注入將建立一個新的使用者BadGuy並賦予其網路特權(在所有的表格上具有所有的特權);其中,還有一個"不祥"的口令被加入到這個簡單的SELECT語句中。如果你遵循我們在以前文章中的建議-嚴格限制該過程使用者的特權,那麼,這應該無法工作,因為web伺服器精靈不再擁有你撤回的GRANT特權。但是從理論上講,這樣的一個攻擊可能給予BadGuy自由權力來實現他對你的資料庫的任何操作。
至於這樣的一個多查詢是否會被MySQL伺服器處理,結論並不唯一。這其中的一些原因可能是由於不同版本的MySQL所致,但是大多數情況卻是由於多查詢存在的方式所致。MySQL的監視程式完全允許這樣的一個查詢。常用的MySQL GUI-phpMyAdmin,在最終查詢之前會複製出以前所有的內容,並且僅僅這樣做。
但是,大多數的在一個注入上下文中的多查詢都是由PHP的mysql擴充負責管理的。幸好,預設情況下,它是不允許在一個查詢中執行多個指令的;試圖執行兩個指令(例如上面所示的注入)將會簡單地導致失敗-不設定任何錯誤,並且沒有產生任何輸出資訊。在這種情況下,儘管PHP也只是"規規矩矩"地實現其預設行為,但是確實能夠保護你免於大多數簡單的注入式攻擊。
PHP5中的新的mysqli擴充(參考http://php.net/mysqli),就象mysql一樣,內在地也不支援多個查詢,不過卻提供了一個mysqli_multi_query()函數以支援你實現多查詢-如果你確實想這樣做的話。
然而,對於SQLite-與PHP5綁定到一起的可嵌入的SQL資料庫引擎(參考http://sqlite.org/和http://php.net/sqlite)情況更為可怕,由於其便於使用而吸引了大量使用者的關注。在有些情況下,SQLite預設地允許這樣的多指令查詢,因為該資料庫可以最佳化批查詢,特別是非常有效批INSERT語句處理。然而,如果查詢的結果為你的指令碼所使用的話(例如在使用一個SELECT語句檢索記錄的情況下),sqlite_query()函數卻不會允許執行多個查詢。