Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

SQL注入漏洞作為WEB安全的最常見的漏洞之一,在java中隨着預編譯與各種ORM框架的使用,注入問題也越來越少。

新手代碼審計者往往對Java Web應用的多個框架組合而心生畏懼,不知如何下手,希望通過Mybatis框架使用不當導致的SQL注入問題為例,能夠拋磚引玉給新手一些思路。

一、Mybatis的SQL注入

Mybatis的SQL語句可以基於註解的方式寫在類方法上面,更多的是以xml的方式寫到xml文件。

Mybatis中SQL語句需要我們自己手動編寫或者用generator自動生成。編寫xml文件時,Mybatis支持兩種參數符號,一種是#,另一種是$。比如:

使用預編譯,$使用拼接SQL。

Mybatis框架下易產生SQL注入漏洞的情況主要分為以下三種:

1、模糊查詢

Select * from news where title like ‘%#{title}%’

在這種情況下使用#程序會報錯,新手程序員就把#號改成了$,這樣如果java代碼層面沒有對用户輸入的內容做處理勢必會產生SQL注入漏洞。

正確寫法:

select * from news where tile like concat(‘%’,#{title}, ‘%’)

2、in 之後的多個參數

in之後多個id查詢時使用# 同樣會報錯,

Select * from news where id in (#{ids})

正確用法為使用foreach,而不是將#替換為$

id in#{ids} 

3、order by 之後

這種場景應當在Java層面做映射,設置一個字段/表名數組,僅允許用户傳入索引值。這樣保證傳入的字段或者表名都在白名單裏面。需要注意的是在mybatis-generator自動生成的SQL語句中,order by使用的也是$,而like和in沒有問題。

二、實戰思路

我們使用一個開源的cms來分析,java sql注入問題適合使用反推,先搜索xml查找可能存在注入的漏洞點→反推到DAO→再到實現類→再通過調用鏈找到前台URL,找到利用點,話不多説走起

1、idea導入項目

Idea首頁 點擊Get from Version Control,輸入https://gitee.com/mingSoft/MCMS.git

下載完成,等待maven把項目下載完成

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

2、搜索$關鍵字

Ctrl+shift+F 調出Find in Path,篩選後綴xml,搜索$關鍵字

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

根據文件名帶Dao的xml為我們需要的,以IContentDao.xml為例,雙擊打開,ctrl +F 搜索$,查找到16個前三個為數據庫選擇,跳過,

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

繼續往下看到疑似order by 暫時擱置

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

繼續往下看發現多個普通拼接,此點更容易利用,我們以此為例深入,只查找ids從前端哪裏傳入

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

3、搜索映射對象

Mybatis 的select id對應要映射的對象名,我們以getSearchCount為關鍵字搜索映射的對象

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

搜到了IContentDao.java,IContentDaoimpl.java和McmsAction.java,分別對應映射的對象,對象的實現類和前端controler,直接跳轉到controler類

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

發現只有categoryIds與目標參數ids相似,需進一步確認,返回到IContentDao.java按照標準流繼續反推

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

找到ids為getSearchCount的最後一個參數,alt+f7查看調用鏈

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

調轉到ContentBizImpl,確認前台參數為categoryIds

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

返回到McmsAction,參數由BasicUtil.getString接收,

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

跟進BasicUtil.getString

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

繼續跳到SpringUtil.getRequest(),前端未做處理,sql注入實錘

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

4、漏洞確認

項目運行起來,構造sql語句http://localhost:8080/ms-mcms/mcms/search.do?categoryId=1%27)%20%20or+updatexml(1,concat(0x7e,(SELECT+%40%40version),0x7e),1)%23 得到mysql的版本5.7.27,驗證注入存在。

Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防

三、總結

以上就是Mybatis的sql注入審計的基本方法,我們沒有分析的幾個點也有問題,新手可以嘗試分析一下不同的注入點來實操一遍,相信會有更多的收穫。當我們再遇到類似問題時可以考慮:

1、Mybatis框架下審計SQL注入,重點關注在三個方面like,in和order by

2、xml方式編寫sql時,可以先篩選xml文件搜索$,逐個分析,要特別注意mybatis-generator的order by注入

3、Mybatis註解編寫sql時方法類似

4、java層面應該做好參數檢查,假定用户輸入均為惡意輸入,防範潛在的攻擊

版權聲明:本文源自 網絡, 於,由 楠木軒 整理發佈,共 2083 字。

轉載請註明: Mybatis框架下SQL注入攻擊的3種方式,真是防不勝防 - 楠木軒