XML中的SQL注入攻击与绕过技术详解

1. 实验背景与目标

本实验基于PortSwigger提供的SQL注入靶场，重点研究XML环境下的SQL注入技术及绕过方法。实验目标是利用SQL注入漏洞获取管理员凭据并登录其账户。

2. 核心知识点

2.1 XML环境中的SQL注入特点

• 注入点不仅存在于传统URL参数中，还可能通过XML格式数据传递
• XML的特殊编码特性可被用于绕过安全过滤
• 后端可能直接解析XML中的SQL语句而不进行充分过滤

2.2 关键注入技术

堆叠查询(Stacked Queries)

• 允许在单次请求中执行多个SQL语句
• 分号(;)作为语句分隔符
• 在支持堆叠查询的数据库(如MySQL)中特别有效

UNION攻击

• 通过UNION操作符合并合法查询与恶意查询结果
• 要求两个查询的列数相同
• 数据类型必须兼容

2.3 编码绕过技术

十六进制编码

• 将SQL关键字转换为十六进制表示
• 例如：SELECT → \x53\x45\x4c\x45\x43\x54
• 可绕过基于关键字的WAF过滤

XML实体编码

• 利用XML的字符实体编码特性
• 例如：SELECT → SELECT
• 需要后端解码后仍能执行

3. 实验步骤详解

3.1 环境准备

1. 访问靶场URL：https://portswigger.net/web-security/sql-injection/lab-sql-injection-with-filter-bypass-via-xml-encoding
2. 启动实验环境
3. 准备Burp Suite工具及Hackvertor插件

3.2 漏洞探测

1. 功能分析：

   • 定位库存检查功能
   • 观察通过提交ID获取商品存量的交互
   • 确认响应中包含查询结果

2. 基础注入测试：

   • 修改ID值为1+1，验证数学表达式执行
   • 尝试基本UNION注入：1 UNION SELECT NULL
   • 确认WAF拦截情况

3.3 绕过技术实现

1. 使用Hackvertor插件：

   • 安装Burp Suite的Hackvertor扩展
   • 将SQL语句转换为十六进制实体编码
   • 示例转换：

     原始：UNION SELECT username,password FROM users
     编码：UNION SELECT username,password FROM user&#x73
     

2. 构造有效载荷：

   • 确定正确列数：通过递增NULL值测试
   • 构建最终注入语句：

     1 UNION SELECT username,password FROM users #
     

3.4 数据提取与利用

1. 执行注入：

   • 通过XML参数发送编码后的注入语句
   • 观察响应中的额外数据

2. 获取凭据：

   • 从响应中提取用户名和密码
   • 定位管理员账户(通常为admin/administrator)

3. 登录验证：

   • 使用获取的凭据尝试登录
   • 确认实验室完成

4. 防御措施

4.1 输入验证

• 实施严格的白名单验证
• 对XML数据进行模式验证(XSD)
• 限制特殊字符和SQL关键字

4.2 参数化查询

• 使用预编译语句
• 确保所有查询都参数化
• 避免字符串拼接构造SQL

4.3 编码处理

• 统一解码逻辑
• 避免多次解码
• 在验证后执行解码操作

4.4 WAF配置

• 更新规则集检测编码攻击
• 实施多层解码检测
• 监控异常查询模式

5. 扩展思考

1. 其他编码变体：

   • URL编码
   • Unicode编码
   • 多重编码组合

2. 上下文相关攻击：

   • 不同XML解析器的特性差异
   • 数据库特定语法利用
   • 基于时间的盲注技术

3. 自动化工具：

   • SQLmap的tamper脚本定制
   • 自定义编码转换工具
   • 模糊测试技术应用

通过本实验，我们深入理解了XML环境中SQL注入的特殊性及高级绕过技术，这对现代Web应用安全测试具有重要意义。