搜索

[11919] 2017-10-22_OracleAdvancedSupport系统SQL注入漏洞挖掘经验分享

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-10-22_OracleAdvancedSupport系统SQL注入漏洞挖掘经验分享 O r a c l e   A d v a n c e d   S u p p o r t 系 统 S Q L 注 入 漏 洞 挖 掘 经 验 分 享 北 其 G g   F r e e B u f   2 0 1 7 - 1 0 - 2 2 O r a c l e   A d v a n c e d   S u p p o r t 系 统 系 统 S Q L 注 入 漏 洞 分 析 注 入 漏 洞 分 析 一 年 多 前 我 在 客 户 的 一 个 外 部 环 境 中 执 行 渗 透 测 试 ， 任 何 外 部 环 境 渗 透 测 试 的 重 要 步 骤 之 一 就 是 挖 掘 出 可 访 问 一 年 多 前 我 在 客 户 的 一 个 外 部 环 境 中 执 行 渗 透 测 试 ， 任 何 外 部 环 境 渗 透 测 试 的 重 要 步 骤 之 一 就 是 挖 掘 出 可 访 问 的 的 W E B 服 务 。 服 务 。 n m a p 和 和 E v e W i t n e s s 的 结 合 会 令 这 步 骤 变 得 更 快 ， 因 为 我 们 可 以 进 行 端 口 扫 描 的 结 合 会 令 这 步 骤 变 得 更 快 ， 因 为 我 们 可 以 进 行 端 口 扫 描   并 且 把 这 些 结 果 以 并 且 把 这 些 结 果 以 屏 幕 截 图 的 形 式 导 入 到 屏 幕 截 图 的 形 式 导 入 到   E y e W i t n e s s 中 。 当 梳 理 完 中 。 当 梳 理 完   E y e W i t n e s s 提 供 的 屏 幕 截 图 页 面 后 ， 我 发 现 了 一 个 提 供 的 屏 幕 截 图 页 面 后 ， 我 发 现 了 一 个 O r a c l e   高 高 级 支 持 服 务 。 级 支 持 服 务 。 虽 然 我 之 前 从 没 听 过 O r a c l e   A d v a n c e d   S u p p o r t , 但 是 当 我 很 快 的 g o o g l e 完 之 后 ， 我 了 解 到 它 似 乎 是 一 个 允 许 o r a c l e 的 技 术 支 持 在 外 部 登 入 ， 并 且 在 o r a c l e 系 统 环 境 下 进 行 任 何 技 术 支 持 需 要 的 操 作 的 服 务 。 有 了 这 个 信 息 之 后 ，   我 们 可 以 将 现 有 的 w e b 应 用 测 试 与 它 结 合 起 来 。 我 们 可 以 对 这 个 应 用 开 始 进 行 一 些 简 单 的 侦 查 ， 包 括 ： 寻 找 已 经 被 爆 出 的 漏 洞
用 b u r p 爬 取 应 用 枚 举 常 见 的 路 径 查 看 可 获 取 的 页 面 的 源 码 幸 运 的 是 ， 我 在 主 页 的 源 码 中 发 现 了   一 个 包 含 资 产 目 录 清 单 的 链 接 。 对 于 像 这 样 一 个 未 知 的 应 用 ， 目 录 列 表 是 很 有 用 的 ， 它 给 我 们 了 一 些 希 望 去 发 现 一 些 很 有 趣   但 不 应 该 被 访 问 到 的 东 西 。 果 不 其 然 的 在 搜 寻 每 个 目 录 之 后 ， 我 偶 然 发 现 了 以 下 的 j a v a s c r i p t 文 件 ： 让 它 变 得 更 适 合 阅 读 一 些 在 W e b 渗 透 测 试 中 ， 其 中 一 个 我 喜 欢 的 并 且 常 常 忽 视 的 事 情 是 查 找 应 用 中 的 j a v a s c r i p t 文 件 ，   并 且 看 看 他 们 是 否 支 持 任 何 P O S T   或 者 是 G E T 请 求 。 我 们 已 经 发 现 了 一 个 叫 做 s q l - s e r v i c e . j s 的 j a v a s c r i p t 文 件 ， 这 让 我 立 刻 在 脑 海 中 提 高 起 警 觉 来 。 这 个 文 件 包 含 4 个 匿 名 函 数 其 中 三 个 t . g e t J S O N 方 法 的 G E T 请 求 和 一 个 t . p o s t 方 法 的 P O S T 请 求 。 这 些 函 数 包 含 如 下 一 些 变 量 ：
在 这 篇 文 章 的 剩 余 部 分 ， 我 将 提 及 匿 名 函 数 中 的 变 量 。 每 个 函 数 的 根 节 点 都 位 于 / r e s t / d a t a 路 径 下 。 接 下 来 是 将 他 们 拆 分 之 后 的 请 求 ： 有 了 这 些 之 后 ， 开 始 拿 出 我 最 喜 欢 的 代 理 工 具 : b u r p , 看 看 会 发 生 什 么 ! 直 捣 黄 龙 直 捣 黄 龙 我 首 先 尝 试 的 是 来 自 于 g e t S q l D a t a 函 数 路 径 是 / r e s t / d a t a / s q l 的 G E T 请 求 。 我 们 也 通 过 观 察 j a v a s c r i p t 发 现 这 个 请 求 需 要 附 加 一 个 参 数 ， 让 我 们 在 结 尾 加 上 ” t e s t ” . 当 我 们 把 ” t e s t ” 加 到 请 求 u r l 的 末 尾 ， 服 务 器 返 回 了 4 0 4 。 同 时 服 务 器 也 返 回 了 这 样 一 个 信 息 ： N a m e d   S Q L   n o t   f o u n d 。 如 果 我 们 尝 试 ” t e s t ” 之 外 的 其 他 字 符 串 ， 得 到 了 同 样 的 返 回 信 息 。 我 们 把 这 个 请 求 发 到 B u r p   的   i n t r u d e r 模 块 ， 打 算 试 图 过 一 个 目 录 列 表 字 典 来 枚 举 潜 在 的 参 数 名 ， 看 看 是 否 能 得 到 除 了 4 0 4 之 外 的 返 回 。 但 是 有 一 个 更 简 单 的 方 法 来 找 到 合 适 的 参 数 名 。 如 果 我 们 再 次 查 看 j a v a s c r i p t , 你 会 发 现 函 数 的 名 称 给 我 们 一 些 有 价 值 的 信 息 。 我 们 在 以 下 函 数 中 发 现 了 两 个 G E T 请 求 ： g e t N a m e d S q l L i s t   和   g e t S q l N a m e L i s t . 。 我 们 刚 才 的 请 求 返 回 的 错 误 信 息 是   N a m e d   S Q L   n o t   f o u n d   e r r o r 。 让 我 们 尝 试 针 对 g e t N a m e d S q l L i s t 函 数 的 G E T 请 求 。
这 的 确 给 了 我 们 不 少 的 信 息 ， 让 我 们 仔 细 分 析 一 下 ， 我 们 获 得 了 一 组 j s o n 对 象 ， 看 一 下 数 组 中 的 第 一 个 对 象 ： 我 们 发 现 了 以 下 的 属 性 ： n a m e ,   s q l ,   d a t a S o u r c e J N D I ,   p r i v i l e g e s ,   a n d   p a r a m L i s t ， 其 中   s q l 属 性 是 我 最 感 兴 趣 的 因 为 它 包 含 了 具 有 字 符 串 值 的 S Q L 语 句 。 我 们 把 n a m e 的 值 放 进 先 前 尝 试 的 G E T 请 求 中 。
H e y ! 我 们 得 到 一 些 返 回 ! 但 是 我 们 少 了 一 个 参 数 ， 让 我 们 加 进 来 ！ 虽 然 没 有 从 服 务 器 获 得 任 何 返 回 ， 但 是 也 没 有 返 回 任 何 错 误 ! 难 道 是 例 子 中 的 S Q L 语 句 被 执 行 了 ， 只 是 没 有 回 显 ? 我 们 可 以 继 续 尝 试 其 他 的 从 先 前 请 求 中 获 得 的 n a m e s ， 但 是 我 们 看 一 下 原 始 的 j a v a s c r i p t 。 我 们 发 现 有 一 个 叫 做 c r e a t e N a m e d S Q L 的 函 数 ， 它 是 一 个 P O S T 的 请 求 。 我 们 知 道 来 至 于 g e t N a m e d S q l L i s t   的 请 求 的 返 回 值 包 含 了 s q l 语 句 的 值 。 也 许 是 这 个 p o s t 请 求 会 允 许 我 们 在 服 务 器 上   执 行 s q l 查 询 。 我 们 试 一 下 ! S Q L   E x e c u t i o n 这 就 是 c r e a t e N a m e d S Q L 中 在 包 体 里 面 包 含 一 个 空 j s o n 对 象 的 P O S T 请 求 ：
我 们 得 到 一 个 关 于 S Q L _ N A M E 列 的 错 误 ， 当 我 们 在 包 体 中 包 含 空 的 j s o n 对 象 时 这 不 是 很 意 外 。 现 在 我 们 在 包 体 里 加 入 一 个 随 机 的 属 性 名 和 数 值 。 再 一 次 不 意 外 的 获 得 了 一 个 关 于 未 知 “ t e s t ” 字 段 的 b a d   r e q u e s t ， 但 是 如 果 你 注 意 的 话 ， 这 个 错 误 的 信 息 给 我 们 返 回 了 一 些 有 用 的 属 性 。 感 谢   O r a c l e 先 生 的 服 务 ! 这 些 属 性 也 同 样 出 现 了 从 g e t N a m e d S q l L i s t 发 出 请 求 获 得 的 返 回 中 。 我 使 用 g e t N a m e d S q l L i s t 请 求 的 返 回 中 其 中 的 一 个 值 赋 给 d a t a S o u r c e J N D I 属 性 。
这 看 起 来 是 一 个 很 好 的 测 试 请 求 ， 我 们 来 见 证 一 下   他 是 否 有 效 。 我 们 仍 然 从 服 务 器 获 得 了 一 个 错 误 返 回 ， 但 是 只 返 回 了 c o n t e n t - t y p e 。 S Q L 语 句 可 能 已 经 被 创 建 了 。 通 过 把 名 称 字 段 设 为 “ t e s t ” ,   让 我 们 尝 试 第 一 个 具 有 参 数 的 G E T 请 求 。 看 这 里 ! 我 们 获 得 了 一 些 S Q L 执 行 。 看 一 下 “ 我 们 ” 是 谁 。
看 起 来 我 们 是 S Y S M A N   用 户 。 通 过 这 个 o r a c a l   文 档 ( h t t p s : / / d o c s . o r a c l e . c o m / c d / B 1 6 3 5 1 _ 0 1 / d o c / s e r v e r . 1 0 2 / b 1 4 1 9 6 / u s e r s _ s e c u r e 0 0 1 . h t m )   知 道 ， 我 们 就 是 a d m i n i s t r a t o r . 试 一 下   我 们 能 否 抓 取 出 用 户 的 哈 希 .
我 们 可 以 获 得 数 据 库 中 的 用 户 密 码 的 哈 希 值 。 我 编 辑 和 删 除 了 主 要 的 部 分 。 知 道 了 我 们 是 一 个 具 有 a d m i n i s t r a t o r 权 限 的 用 户 ， 当 然 后 续 我 们 还 可 以 做 很 多 事 情 。 然 而 ， 针 对 此 博 客 的 目 的 ， 我 停 止 下 来 了 。 结 论 结 论 关 于 这 个 匿 名 s q l 执 行 我 联 系 了 o r a c l e ， 他 们 很 快 的 回 复 并 且 修 复 了 这 个 问 题 。 对 我 而 言 真 正 的 问 题 是 为 什 么 w e b 服 务 压 根 儿 就 允 许 s q l 语 句 被 执 行 呢 ? 这 个 博 客 最 大 的 收 获 是 一 定 要 看 应 用 中 的 j a v a s c r i p t 文 件 。 在 多 个 w e b 应 用 和 外 网 的 渗 透 测 试 中 ， 我 已 经 发 现 了 隐 藏 在 j a v a s c r i p t 文 件 中 s q l   注 入 ， 命 令 执 行 ， 和   x m l 实 体 注 入 攻 击 。 作 为 针 对 熟 练 渗 透 测 试 者 的 练 习 任 务 ， 看 完 这 篇 博 客 并 且 统 计 多 少 个 你 能 确 定 的 漏 洞 。 提 示 ： 超 过 三 处 。 * 本 文 作 者 ， 北 其 本 文 作 者 ， 北 其 G g ， 转 载 自 安 全 客 ， 转 载 请 注 明 来 自 ， 转 载 自 安 全 客 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理