模板
教程
环境
性能
功能
管理
SQL 注入，永不过时的黑客技术
TalkTalk的信息泄漏事件导致约15万人的敏感信息被暴露，涉嫌造成这一事件的其中一名黑客使用的并不是很新的技术。事实上，该技术的「年纪」比这名15岁黑客还要大两岁。
[译注：TalkTalk是英国电话和宽带供应商，这件信息安全事故发生在2015年10月份，当时这件事情还挺轰动的，上了新闻头条，其中一名黑客年仅15岁。]
这项技术就是大名鼎鼎的SQL注入，所谓SQL注入就是黑客在网站的提交表单数据中输入恶意命令从而获取数据的方法。它曾经被用来窃取世界卫生组织员工的信息，偷过华尔街日报数据，甚至还攻击过美国联邦政府机构。
“这是最简单的黑客技术”，w0rm 告诉 Motherboard[译者注：Motherboard就是这篇文章原文所在网站]，他是一名匿名黑客，声称对华尔街日报的攻击负责。整个攻击过程只用了几个小时。
但是，正因为它是比较简单的技术，同时经常被用来从公司或者政府机构窃取数字信息，所以SQL注入攻击应该相对来说比较容易防范才对。
但为何到了2015年，SQL注入攻击仍然能导致最大规模的信息泄漏事件呢?
有迹可循的最早SQL注入攻击的记录大概是Jeff Forristal在黑客杂志Phrack上发表的文章。Forristal当时是rain.forest.puppy的掌舵人[译者注：rain.forest.puppy是一个安全咨询组织，或者说，是个黑客团队?：)]，他目前在网络安全公司Bluebox，负责移动安全方面的CTO。
“微软声称，你看到的都不是问题，所以不用费心去处理它”
[译者注：这是有人给微软报告SQL server这个漏洞时，微软的回复]
SQL, 全称为结构化查询语言，是一种用来管理数据库的编程语言。本质上说，他就是被网站用来从数据库中提取一些数据来处理或者展示给用户的。
但是Forristal发现，当输入特定的命令时，会导致服务器泄漏信息。“用户可能捎带一些自己的SQL语句”，他写道。
在Phrack的1998年12月份期刊上，Forristal发表了微软的SQL server的一系列SQL注入的问题。当Forristal的同事们向微软反馈此问题时，“他们的回答是：好了，别闹了”，他写道，“他们说，你看到的都不是问题，所依别费心去处理了”
SQL注入发展到今天，已经过去了15年，在OWASP组织每三年发表一次的OWASP的Top 10问题上，SQL注入攻击经常坐上榜首的位置。OWSAP全称是开放式Web应用程序安全项目(Open Web Application Security Project)，它是一个监控网站面临哪些安全威胁的非盈利性组织。
Phrack现在的logo
“SQL注入经常是第一威胁，主要反映在相关攻击事件的数量上，同时还有一些其他因素导致它如此频发，” Troy Hunt在Motherboard的一次电话采访中如是说道，Troy Hunt是攻击检测网站haveibeenpwned.com的创始人[译者注：感觉像是一个社工库]。
“当你访问一个网页时，你发出一个请求，然后渲染服务器返回的数据”， Hunt介绍，“举个例子，你看一篇新闻，在地址栏上使用id=‘1’来发出请求时，服务器返回编号为1的文章，把id改成2的时候，服务器返回编号为2的文章”
但是，“使用SQL注入攻击，攻击者可能会将ID字段改成一个其他什么东西，导致服务器做一些意料之外的事情”，Hunt继续说到，比如返回一些隐私数据。
一次攻击也许只返回一条或者一段信息，于是攻击者就“不断重复攻击，一次又一次，想干几次干几次，直到他们获取到所有数据为止”，Hunt说。
显然，这需要一段比较长的时间，所以，黑客一般会使用自动化工具。其中比较具有代表性的事Havij，“这是最流行的脚本小工具，因为它支持 Windows操作系统，而且还有个图形界面”， Mustafa AI-Bassam通过在线聊天工具和Motherboard如此描述，他是一名安全研究员，同时还是一名LulzSec黑客组织的前成员。
另一个经常被用到的工具是 sqlmap 。“它可以爬取网站的页面，就像搜索引擎的爬虫，寻找网站中所有输入表单，然后提交一些可能导致MySQL语法错误的数据”， AI-Bassam继续介绍。
当攻击者找到一个攻击点，接下来就很容易自动化开搞了。
原文转自：http://www.testwo.com/article/630
