User Agent注入攻击及防御

CloudFlare公司经常会收到客户询问为什么他们的一些请求会被 CloudFlare WAF 屏蔽。最近，一位客户就提出他不能理解为什么一个访问他主页简单的 GET 请求会被 WAF 屏蔽。

下面是被屏蔽的请求：

GET / HTTP/1.1

Host: www.example.com

Connection: keep-alive

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+'

Accept-Encoding: gzip, deflate, sdch

Accept-Language: en-US,en;q=0.8,fr;q=0.6

正如他说的，一个简单的请求访问 WEB 主页，乍看之下好像没什么问题。除非你仔细查看 User-Agent 部分：

Mozilla/5.0 (compatible; MSIE 11.0; Windows NT 6.1; Win64; x64; Trident/5.0)'+(select*from(select(sleep(20)))a)+

User-Agent 前半部分看起来挺正常的(好像是微软 IE 11)，但是却以字符串 '+(select*from(select(sleep(20)))a)+ 结尾。攻击者试图对 User-Agent 值进行 SQL 注入。

普通的 SQL 注入通常是对 URL 及其参数进行的，但这里攻击者却将 SQL 查询语句 select * from (select(sleep(20))) 隐藏在了 HTTP 头部的 User-Agent 字段之中 。这种技术通常被各种扫描器所使用，例如，sqlmap 的 -p 参数会尝试对 HTTP 请求头部字段进行注入。

延时注入

许多 SQL 注入都是在尝试从网站中提取信息(例如用户名、密码或其他隐私信息)。但这条语句却不太一样，它请求数据库进程等待 20 秒。这种攻击属于 SQL 盲注，一般的 SQL 注入会将查询的结果返回到 WEB 页面中，而盲注的攻击者则看不到查询的输出，所以他们会另辟蹊径使用其他的方式来判断注入。两种常见的方法就是使 WEB 服务器产生错误或者产生延时。如上使用 sleep 会是 WEB 服务器等待 20 秒才进行响应，攻击者可以根据响应是否产生延时来判断是否存在注入漏洞。

示例

为了更好的说明，我使用 PHP 创建了一个不安全的应用，其中会将 User-Agent 保存到 MySQL 数据库中。这类代码可能会存在于真实的应用中用来分析信息，例如统计访问次数。

在这个示例中，我忽略了所有良好安全的编码习惯，因为我想阐述下 SQL 的工作原理。

再次警告：千万不要复制/粘贴以下代码!因为这些代码并不规范。

下面是 PHP 代码：

$link = new mysqli('localhost', 'insecure', '1ns3cur3p4ssw0rd', 'analytics');

$query = sprintf("INSERT INTO visits (ua, dt) VALUES ('%s', '%s')",

$_SERVER["HTTP_USER_AGENT"],

date("Y-m-d h:i:s"));

$link->query($query);

?>

Thanks for visiting

这段代码会连接到本地的 analytics 数据库，并将访客 HTTP 头部的 User-Agent 字段不加过滤的插入到数据库中。

这就是一个 SQL 注入的例子，但是因为我们的代码不会产生任何错误，所以攻击者无法通过报错来得知是否存在注入漏洞，除非他们使用类似 sleep() 之类的方法。

为了验证是否存在注入漏洞，只需要执行如下命令(其中 insecure.php 就是上述示例代码)：

curl -A "Mozilla/5.0', (select*from(select(sleep(20)))a)) #" http://example.com/insecure.php

这样就会将 HTTP 头部的 User-Agent 字段设置为 Mozilla/5.0', (select*from(select(sleep(20)))a)) #。而我们不安全的 PHP 代码会不加过滤就直接将这些字符串插入查询语句中，此时的查询语句变成了如下样子：

INSERT INTO visits (ua, dt) VALUES ('Mozilla/5.0', (select*from(select(sleep(20)))a)) #', '2016-05-17 03:16:06')

本来应该插入两个值，但现在只会插入一个值 Mozilla/5.0 并执行 (select*from(select(sleep(20)))a) 语句(这会使数据库休眠 20 秒)。而 # 是注释符，意味着后续的语句被注释并忽略了(就是忽略了插入日期)。

此时的数据库中会出现这样一个条目：

+---------------------+---------------+

| dt | ua |

+---------------------+---------------+

| 0 | Mozilla/5.0 |

+---------------------+---------------+

请注意，其中日期值为 0，这正是 (select*from(select(sleep(20)))a) 语句执行的结果，另外 ua 的值为 Mozilla/5.0，而这可能就是攻击者成功执行 SQL 注入后留下的唯一痕迹了。

下面是接收到上述请求后服务器的运行结果，我们使用 time 命令来看看这个过程到底需要多长时间：

$ time curl -v -A "Mozilla/5.0', (select*from(select(sleep(20)))a) #" http://example.com/insecure.php

* Connected to example.com port 80 (#0)

> GET /insecure.php HTTP/1.1

> Host: example.com

> User-Agent: Mozilla/5.0', (select*from(select(sleep(20)))a) #

> Accept: */*

>

Date: Mon, 16 May 2016 10:45:05 GMT

Content-Type: text/html

Transfer-Encoding: chunked

Connection: keep-alive

Server: nginx

html>head>head>body>b>Thanks for visitingb>body>html>

* Connection #0 to host example.com left intact

real 0m20.614s

user 0m0.007s

sys 0m0.012s

看到 20 秒了吗，成功的执行了 SQL 注入。

漏洞利用

看到这，你也许会想“这的确很简单，但是黑客好像并没有攻击我的网站啊”。

但不幸的是，丰富的 SQL 语句使得哪怕是只有 3 行 PHP 代码的 insecure.php，也可以使得攻击者获得远不只使数据库睡眠 20 秒的效果。虽然攻击者执行的 INSERT INTO 的查询只会向数据库中写入数据，但这样仍然可以让他们提取出敏感信息和获取访问权限。

为了一个演示的例子，我们在数据库中创建了一个名为 user 的表，其中包含两个用户分别名为 root 和 john。下面来展示攻击者是如何发现存在 john 用户的，他们可以手工构造用户名并根据相应时间来判断是否存在这个用户。

例如：

curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='a')) #" http://example.com/insecure.php

这个访问会被立即响应，因为数据库中并没有以 a 打头的用户名，但是

curl -A "Mozilla/5.0', (select sleep(20) from users where substring(name,1,1)='j')) #" http://example.com/insecure.php

这个请求却会花费 20 秒时间。这样在猜出用户名的首字母后，攻击者就可以继续猜测用户名第二个、第三个字母等等，相同的技术还可以用来从数据库中提取其他数据。

如果我们的应用比较复杂，例如是一个博客的评论系统，那么我们可以利用这个漏洞将数据库的一些信息转存到一条评论中，这样我们就可以通过访问网页直接查看到数据库信息了,这种方法通常会在需要提取大量数据时使用。

代码加固

加固代码最好的方式就是像如下这样:

$link = new mysqli('localhost', 'analytics_user', 'aSecurePassword', 'analytics_db');

$stmt = $link->prepare("INSERT INTO visits (ua, dt) VALUES (?, ?)");

$stmt->bind_param("ss", $_SERVER["HTTP_USER_AGENT"], date("Y-m-d h:i:s"));

$stmt->execute();

?>

Thanks for visiting

首先将 SQL 查询语句使用 prepare 进行准备，随后使用 bind_param 绑定两个参数(User-Agent 和日期)，最后才是使用 execute 执行查询。

bind_param 可以确保一些 SQL 特殊字符会先被进行转义，随后才被执行。现在让我们来看一看在收到跟之前一样的 SQL 注入后数据库中的条目是什么样子的：

+---------------------+----------------------------------------------------+

| dt | ua |

+---------------------+----------------------------------------------------+

| 2016-05-17 04:46:02 | Mozilla/5.0',(select*from(select(sleep(20)))a)) # |

+---------------------+----------------------------------------------------+

此时，攻击者的 SQL 语句没有被执行而是被简单的存入了数据库当中。

总结

SQL 注入是攻击者最喜欢使用的攻击方式之一，它可能出任何由攻击者掌控输入的 WEB 应用中。最容易想象的就是出现在各种表单或 URL 之中，但即使是 HTTP 请求头部也同样可能出现。所以从安全角度来说，任何由 WEB 浏览器发送给 WEB 应用的数据都应当被假设为是恶意的。