1.背景题目Lab:SQL injection UNION attack,finding a column containing text链接SQL injection UNION attacks | Web Security Academy目标通过UNION注入确定查询返回的列数找到能够回显字符串的列并让页面成功显示指定的随机字符串。2.原理UNION的两个硬性要求查询列数和类型兼容用NULL是因为NULL可以转换为任何数据类型NULL只保证不报错但不会在页面上产生可见内容。要找到能显示字符串的列需要把某一列换成字符串如a观察页面哪里多出了这个字符——页面上出现a的那一列就是兼容字符串的显示位。a是字符串值必须加单引号username这类是列名不能加单引号3.攻击步骤Step 1确认注入点点分类链接确认URL里有?categoryPets说明这个参数可控。Step 2确定列数法1:用UNION SELECT NULL递增探测列数在category参数里依次尝试1列GiftsUNIONSELECTNULL--报错2列GiftsUNIONSELECTNULL,NULL--报错3列GiftsUNIONSELECTNULL,NULL,NULL--页面正常4列GiftsUNIONSELECTNULL,NULL,NULL,NULL--报错验证法2:用ORDER BY探测更快GiftsORDERBY1--→正常GiftsORDERBY2--→正常GiftsORDERBY3--→正常GiftsORDERBY4--→报错→说明列数为3结论一致原查询返回3列。ORDER BY只观察是否报错反馈更直接因此比UNION NULL递增更快。Step3找到兼容字符串的列将某一列替换为字符串a逐列试探其余列用NULL占位第1列放aGiftsUNIONSELECTa,NULL,NULL--页面无a出现第2列放a​GiftsUNIONSELECTNULL,a,NULL--有a出现第3列放aGiftsUNIONSELECTNULL,NULL,a--结论第2列为字符串显示位。Step4让实验室随机值出现在页面上将a替换为实验室顶部提供的随机字符串假设为IPvqdb保持放在第2列GiftsUNIONSELECTNULL,IPvqdb,NULL--页面正常返回且出现IPvqdb→实验已解决​4.修复方案1.UNION攻击的修复方式与上一道相同使用参数化查询。无论是WHERE子句注入还是UNION注入只要把用户输入当作数据传结构就无法改变。2.对于需要动态拼接SQL的场景应该限制用户输入的格式不要让任意字符串进入SQL。5.反思通过逐列将字符串替换NULL并观察是否报错判断类型兼容和是否回显判断显示位以试错方式定位目标列。