搜索

[14580] 2019-09-13_当SQL注入遇到诡异的编码问题

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-09-13_当SQL注入遇到诡异的编码问题 当 S Q L 注 入 遇 到 诡 异 的 编 码 问 题 r 0 y a n x   F r e e B u f   2 0 1 9 - 0 9 - 1 3 前 言 前 言 最 近 给 甲 方 爸 爸 做 渗 透 测 试 时 发 现 了 一 个 诡 异 的 最 近 给 甲 方 爸 爸 做 渗 透 测 试 时 发 现 了 一 个 诡 异 的 S Q L 注 入 ， 之 所 以 说 诡 异 ， 是 因 为 该 系 统 数 据 库 连 接 编 码 与 实 际 的 数 据 库 编 码 不 一 致 ， 并 注 入 ， 之 所 以 说 诡 异 ， 是 因 为 该 系 统 数 据 库 连 接 编 码 与 实 际 的 数 据 库 编 码 不 一 致 ， 并 且 数 据 库 表 字 段 名 使 用 了 中 文 的 字 段 名 ， 导 致 通 过 正 常 手 段 无 法 获 取 到 数 据 库 数 据 。 且 数 据 库 表 字 段 名 使 用 了 中 文 的 字 段 名 ， 导 致 通 过 正 常 手 段 无 法 获 取 到 数 据 库 数 据 。 故 事 开 始 故 事 开 始 1 、 拿 到 资 产 清 单 后 ， 发 现 有 这 样 一 个 站 。 2 、 简 单 测 试 了 一 下 ， 发 现 该 页 面 无 验 证 码 ， 无 密 码 验 证 次 数 限 制 ， 可 进 行 暴 力 破 解 ， 但 进 行 了 一 波 爆 破 后 ， 并 未 得 到 可 用 账 号 。 3 、 通 过 系 统 资 产 表 得 到 负 责 人 和 维 护 人 的 手 机 号 。 4 、 使 用 负 责 人 的 手 机 号 为 账 号 ， 暴 力 破 解 得 到 弱 口 令 1 8 6 x x x x x x x x / 1 2 3 4 5 6 7 8 登 录 系 统 。 5 、 简 单 看 了 下 页 面 ， 发 现 以 下 页 面 存 在 b a s e 6 4 编 码 的 s i d 参 数 ， 解 码 为 手 机 号 1 8 6 x x x x x x x x ， 改 为 1 8 6 x x x x x x x x ’ 再 编 码 发 送 会 报 错 。
6 、 看 到 这 里 心 里 大 喜 ， 显 然 这 里 应 该 存 在 基 于 错 误 显 示 的 S Q L 注 入 ， 话 不 多 说 ， S Q L M A P 一 把 梭 ， 成 功 跑 出 了 注 入 点 并 且 得 知 该 数 据 库 用 户 是 管 理 员 。 7 、 至 此 这 个 漏 洞 算 是 存 在 了 ， 本 不 想 深 挖 ， 但 是 又 发 现 该 系 统 存 在 一 个 后 台 页 面 ， 于 是 想 从 数 据 库 中 拿 个 账 号 登 陆 看 看 。 8 、 当 我 熟 练 地 拿 起 S Q L M A P 跑 出 字 段 名 时 ， 我 惊 呆 了 ， 这 开 发 大 哥 居 然 用 的 中 文 字 段 名 。 s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - - t e c h n i q u e   E s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - - t e c h n i q u e   E   - - i s - d b a s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - - t e c h n i q u e   E   - D   C A N T E E N   - T   X X X _ I N F O _ U S E R   - - c o l u m n s
9 、 照 着 平 常 的 命 令 d u m p 几 条 数 据 看 看 ， 果 然 跑 不 出 来 。 1 0 、 刚 开 始 我 以 为 只 是 S Q L M A P 对 中 文 的 兼 容 性 问 题 ， 尝 试 了 以 下 几 种 方 法 ， 都 没 有 成 功 ： 不 使 用 报 错 回 显 注 入 ， 使 用 布 尔 盲 注 的 方 式 在 L i n u x 上 面 跑 — e n c o d i n g   G B K / — e n c o d i n g   U T F - 8 等 设 置 c m d 页 面 编 码 为 u t f 8 1 1 、 于 是 使 用 S Q L M A P 调 试 输 出 看 看 数 据 包 ， 发 现 了 奇 葩 的 事 情 ， 报 错 页 面 居 然 存 在 两 种 编 码 ！ s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - - t e c h n i q u e   E   - D   C A N T E E N   - T   X X X _ I N F O _ U S E R   - C   工 号 , 密 码   - - s t a r t   1   - - s t o p   3   - - d u m p s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - - t e c h n i q u e   E   - D   C A N T E E N   - T   X X X _ I N F O _ U S E R   - C   工 号 , 密 码   - - s t a r t   1   - - s t o p   3   - - d u m p   - v   7
1 2 、 为 了 验 证 我 的 猜 想 ， 在 b u r p s u i t e 上 面 把 S Q L M A P 的 请 求 重 放 看 看 。 果 然 ， w e b 数 据 库 连 接 编 码 与 后 台 数 据 库 编 码 不 一 致 数 据 库 连 接 编 码 与 后 台 数 据 库 编 码 不 一 致 。 当 前 b u r p 设 置 的 编 码 为 u t f 8 ， 所 以 猜 测 下 图 中 乱 码 部 分 的 编 码 为 g b k 。 而 图 1 1 中 红 框 部 分 编 码 正 常 部 分 恰 好 是 b u r p 乱 码 部 分 ， 所 以 推 测 S Q L M A P 应 该 是 使 用 了 g b k 解 码 显 示 。 1 3 、 看 到 这 里 ， 我 有 一 句 m m p 不 知 当 讲 不 当 讲 。 吐 槽 完 毕 ， 还 是 乖 乖 地 想 起 了 应 对 方 法 ， 毕 竟 砖 还 是 要 搬 的 。 重 新 梳 理 了 一 下 字 符 的 编 码 转 换 过 程 ， 对 字 段 名 做 了 个 编 码 ， 如 下 。 对 的 ， 你 没 有 看 错 ， 确 实 是 编 码 成 了 一 个 不 正 常 的 字 符 ， S Q L M A P 正 确 识 别 出 了 编 码 ， 成 功 跑 出 了 数 据 ： s q l m a p   - r   s q l . t x t   - p   s i d   - - t a m p e r   b a s e 6 4 e n c o d e   - T   X X X _ I N F O _ U S E R   - C   宸 ュ 彿 , 瀵 嗙 爜   - - s t a r t   1   - - s t o p   3   - - d u m p
原 理 解 析 原 理 解 析 1 、 从 上 面 实 验 中 ， 我 猜 测 W E B 中 间 件 连 接 数 据 库 的 编 码 为 g b k ， 而 数 据 库 字 段 名 的 实 际 编 码 为 u t f 8 。 2 、 梳 理 一 下 从 用 户 发 起 H T T P 请 求 到 数 据 库 中 间 的 数 据 流 ， 其 关 键 的 编 码 过 程 如 下 （ 以 下 仅 为 本 人 不 太 专 业 的 理 解 ， 不 一 定 准 确 ） 。 关 键 问 题 在 于 ， S Q L M A P 输 入 的 p a y l o a d 经 过 g b k 编 码 成 字 节 流 ， 然 后 被 数 据 库 以 u t f 8 解 码 。 3 、 既 然 知 道 了 编 码 的 逻 辑 ， 那 么 通 过 反 向 编 码 就 可 以 让 数 据 库 拿 到 正 确 的 中 文 字 符 串 了 。 举 个 例 子 ， 如 果 密 码 两 个 字 要 被 数 据 库 解 码 ， 那 么 它 的 字 节 流 应 该 是 x e 5 x a f x 8 6 x e 7 x a 0 x 8 1 。 4 、 而 字 符 串 瀵 嗙 爜 通 过 g b k 编 码 后 的 字 节 流 也 是 x e 5 x a f x 8 6 x e 7 x a 0 x 8 1 ， 所 以 数 据 库 能 够 把 中 文 字 段 名 正 确 地 查 询 ： s s   =   ' 密 码 ' e   =   s . e n c o d e ( ' u t f - 8 ' ) p r i n t ( e )
5 、 所 以 r 0 y a n x 才 有 了 上 面 的 操 作 ， 把 中 文 字 符 串 先 进 行 u t f 8 编 码 再 进 行 g b k 解 码 得 到 字 符 串 ， P y t h o n 示 例 代 码 为 ： * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： r 0 y a n x ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 原 创 奖 励 计 划   ， 未 经 许 可 禁 止 转 载 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 # ! / u s r / b i n / p y t h o n s   =   ' 密 码 ' e   =   s . e n c o d e ( ' u t f - 8 ' ) p r i n t ( e . d e c o d e ( ' g b k ' ) )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理