搜索

[19010] 2016-03-06_PoC编写指南(基于布尔盲注的SQL注入PoC编写)

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-03-06_PoC编写指南(基于布尔盲注的SQL注入PoC编写) P o C   编 写 指 南 ( 基 于 布 尔 盲 注 的   S Q L   注 入 P o C 编 写 ) 我 不 是 城 管   i n n 0 t e a m   2 0 1 6 - 0 3 - 0 6 版 权 声 明 ： 本 文 首 发 于 微 信 号 ： i n n 0 t e a m 此 文 章 版 权 归 属 于   i n n 0 t e a m   所 有 ， 未 经 授 权 不 得 转 载 。 写 在 前 面 写 在 前 面           让 我 们 继 续 学 习 P o C 编 写 指 南 这 一 系 列 的 文 章 ， 这 次 的 作 者 是 我 们 团 队 的 城 管 打 人 打 人 （ 本 来 应 该 是 大 人 ， 故 意 写 错 的 ） ， 团 队 里 战 斗 力 最 高 的 一 位 ， 除 了 长 得 娘 了 点 ， 其 他 都 是 优 点 。 漏 洞 分 析 漏 洞 分 析           这 次 我 们 选 择 的 漏 洞 为   M e t I n f o   5 . 3   / i n c l u d e / g l o b a l / l i s t m o d . p h p   S Q L   注 入 漏 洞 。 （ h t t p : / / w w w . w o o y u n . o r g / b u g s / w o o y u n - 2 0 1 5 - 0 1 1 9 1 6 6 ） 想 看 原 文 分 析 的 可 以 点 上 面 的 链 接 去 研 究 ， 你 别 看 我 的 标 题 和 原 文 作 者 的 不 一 样 ， 内 容 其 实 是 一 样 的 。 原 文 中 的 分 析 不 是 太 详 细 ， 但 是 呢 ， 我 暂 时 不 想 详 解 这 个 漏 洞 ， 后 面 再 看 吧 ， 如 果 有 需 要 的 话 。 根 据 原 文 中 分 析 我 们 知 道 了 ， 存 在   S Q L   注 入 的 文 件 是 / i n c l u d e / g l o b a l / l i s t m o d . p h p   ,   存 在 注 入 的 变 量 是 $ s e r c h _ s q l 。 在   l i s t m o d . p h p   文 件   2 0 0   行 的 位 置 拼 接 了   S Q L   语 句 ， 在 拼 接   S Q L   语 句 之 前 ， 对   $ s e r c h _ s q l   变 量 进 行 了 初 始 化 操 作 ， 但 是 呢 ， 控 制 它 是 否 初 始 化 的 另 一 个 变 量 为   $ i m g p r o d u c t 。 当 这 个   $ i m g p r o d u c t   变 量 非   s e a r c h   的 任 意 字 符 的 时 候 ， 导 致   $ s e r c h _ s q l   不 能 进 行 初 始 化 ， 从 而 可 以 自 定 义 $ s e r c h _ s q l   进 行 注 入 。 阅 读 原 文 后 我 们 得 到 了 目 标   U R L ： h t t p : / / x x x . c o m / n e w s / n e w s . p h p ? l a n g = c n & c l a s s 2 = 5 & s e r c h _ s q l = 1 2 3 q w e a s d & i m g p r o d u c t = x x x x 存 在 注 入 的 参 数 是   s e a r c h _ s q l   注 入 的 类 型 是   B o o l e a n - B a s e d   B l i n d 。 漏 洞 复 现 漏 洞 复 现 手 工 复 现 漏 洞 对 学 习 可 是 很 有 帮 助 的 。 不 管 你 信 不 信 ， 我 反 正 是 信 了 。 本 地 搭 建   M e t I n f o   环 境 ,   下 载 地 址 M e t i n f o 5 . 3 下 载 地 址 ： h t t p : / / p a n . b a i d u . c o m / s / 1 o 6 T v P w A 读 者 下 载 完 安 装 包 后 ， 进 行 安 装 ， 具 体 安 装 步 骤 在 此 处 不 再 赘 述 。 笔 者 安 装 完 毕 后 网 站 的 地 址 为 :   h t t p : / / 1 2 7 . 0 . 0 . 1 / M e t I n f o / 访 问 安 装 后 的 地 址 ， 如 果 正 常 访 问 ， 那 就 代 表 安 装 成 功 ， 我 们 可 以 继 续 后 面 的 步 骤 了 。 这 里 要 强 调 一 点 , 如 果 你 是   L i n u x   系 统 ， 那 么   W e b   容 器 对 目 录 与 文 件 名 的 大 小 写 是 敏 感 的 ， 笔 者 建 议 直 接 目 录 在 创 建 的 时 候 用 小 写 根 据 原 漏 洞 详 情 的 描 述 ， 我 们 直 接 访 问 : h t t p : / / 1 2 7 . 0 . 0 . 1 / M e t I n f o / n e w s / n e w s . p h p ? l a n g = c n & c l a s s 2 = 5 & s e r c h _ s q l = 1 2 3 q w e & i m g p r o d u c t = x x x x 注 意 看 下 图 中 业 界 资 讯 下 方 的 条 目
好 啦 ， 然 后 我 们 给   s e a r c h _ s q l   的 参 数 后 加 一 个 单 引 号 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / M e t I n f o / n e w s / n e w s . p h p ? l a n g = c n & c l a s s 2 = 5 & s e r c h _ s q l = 1 2 3 q w e ' & i m g p r o d u c t = x x x x 下 图 中 业 界 资 讯 下 方 一 条 记 录 也 没 有 了 。 于 是 我 们 得 出 一 个 结 论 存 在   S Q L   注 入 。 那 么 我 们 再 想 一 下 ， 我 们 怎 么 判 断 存 在   S Q L   注 入 的 呢 ？ 先 请 求 正 常 的 页 面 （ 也 就 是 上 面 的 第 一 个 链 接 ） ， 然 后 再 请 求 带 单 引 号 的 页 面 （ 也 就 是 上 面 的 第 二 个 链 接 ） ， 如 果 两 次 结 果 不 一 样 ， 就 判 断 存 在 注 入 了 。 看 起 来 是 这 样 的 ， 对 吧 ？ 实 际 上 呢 ， 上 面 说 的 话 不 是 很 严 谨 。
我 们 验 证   S Q L   注 入 的 时 候 ， 一 定 一 定 一 定 是 为 了 证 明 我 们 输 入 的 字 符 被 当 作 为 了 证 明 我 们 输 入 的 字 符 被 当 作   S Q L   指 令 执 行 了 。 指 令 执 行 了 。 如 果 我 们 只 用 上 面 这 两 个 链 接 来 判 断 存 在 注 入 的 话 ， 这 误 报 率 简 直 高 到 没 边 了 。 仔 细 思 考 一 下 为 什 么 。 在 实 际 中 ， 是 非 常 之 复 杂 的 ， 我 们 试 想 一 下 ， 假 设 有 一 个 网 站 ， 它 装 了 一 个   W A F ,   当 你 请 求 第 一 个 没 单 引 号 的 链 接 的 时 候 ， 它 返 回 的 是 正 常 的 页 面 ， 然 后 ， 当 你 请 求 中 带 了 一 个 单 引 号 的 时 候 ， W A F   给 你 拦 了 ， 然 后 返 回 了 一 个 请 不 要 注 入 的 提 示 的 页 面 出 来 。 妥 妥 的 误 报 。 是 吧 ？ 这 样 我 们 就 得 修 改 一 下 这 个 两 个 请 求 了 。 我 们 看 一 下 这 个 请 求 的   S Q L   语 句 是 什 么 样 子 的 : S E L E C T   *   F R O M   m e t _ n e w s   1 2 3 q w e   w h e r e   l a n g   =   ' c n '     a n d   ( r e c y c l e   =   ' 0 '   o r r e c y c l e   =   ' - 1 ' )   a n d   ( (   c l a s s   1   =   ' 2 '     a n d   c l a s s   2   =   ' 5 '   )   )   a n d   d i s p l a y t y p e =   ' 1 '   a n d   a d d t i m e   < =   ' 2 0 1 5 - 1 2 - 2 9   1 7 : 5 9 : 2 0 '     o r d e r   b y   t o p _ o k d e s c , n o _ o r d e r   d e s c , u p d a t e t i m e   d e s c , i d   d e s c   L I M I T   0 ,   8 上 面 这 个 你 可 以 通 过   t c p d u m p   抓 包 来 得 到 ， 也 可 以 通 过 修 改 网 站 源 代 码 的 方 式 ， 在 查 询 前 打 印   S Q L   语 句 ， 两 种 方 法 都 可 以 ， 看 个 人 喜 好 了 看 到 上 面 的   S Q L   语 句 之 后 ， 我 直 接 把 对 应 的   P a y l o a d   也 贴 出 来 。 这 里 我 为 了 省 流 量 我 只 贴 重 点 部 分 解 释 一 下 后 面 的 ， 这 个 是   M y s q l   的 注 释 ， 后 面 的   x   是 为 了 让 读 者 看 清 楚 两 个 横 线 后 面 是 有 个 空 格 的 。 对 比 两 个   P a y l o a d ,   发 现 唯 一 的 差 别 就 是   4 3 4 3 = 4 3 4 3   和   4 3 4 3 = 4 3 4 2   了 , 当 然 这 里 的 这 个 数 字 嘛 ， 随 便 写 的 ， 以 前 大 家 都 喜 欢 用 1 ＝ 1 ,   1 = 2   这 种 来 测 试 ， 那 么 有 些   W A F   自 然 也 是 把 这 个 加 入 到 其 特 征 里 面 喽 ， 所 以 建 议 不 要 用 这 种 。 两 者 其 实 功 能 上 都 是 一 样 的 。 然 后 要 详 细 说 一 下 为 什 么 要 这 样 请 求 了 。 第 一 个   4 3 4 3 = 4 3 4 3   表 达 式 返 回 的 肯 定 是 为 真 的 ， 那 么 是 会 有 数 据 的 ， 而 4 3 4 3 = 4 3 4 2   这 显 然 是 不 相 等 的 ， 所 以 第 二 个   S Q L   语 句 肯 定 是 没 有 数 据 的 。 那 么 我 们 就 可 以 对 比 两 次 请 求 的 结 果 来 判 断 是 不 是 存 在 注 入 了 。 思 考 一 下 ， 这 与 前 面 说 的 两 种 请 求 方 式 有 什 么 不 同 思 考 一 下 ， 这 与 前 面 说 的 两 种 请 求 方 式 有 什 么 不 同 W A F 。 没 错 ， 我 们 两 次 请 求 的   P a y l o a d   也 只 有 数 字 这 里 不 同 ， 如 果 说 目 标 有   W A F   的 话 （ 比 方 说 这 个   W A F   拦 的 是   w h e r e   这 个 关 键 字 ） ， 那 么 我 们 两 次 请 求 的 结 果 都 会 是 被 拦 截 的 页 面 。 于 是 我 们 要 请 求 的 两 个 链 接 就 是 ： 那 意 思 是 说 ， 我 们 现 在 就 可 以 编 写   P o C   了 ？ 打 住 。 如 果 这 个 时 候 急 着 写   P o C ， 还 是 考 虑 的 不 够 深 入 。 把 视 线 再 移 到   G E T   参 数 上 面 ， 我 们 看 到 除 了   s e r c h _ s q l   和   i m g p r o d u c t   两 个 参 数 之 外 ， 还 有   l a n g   和   c l a s s 2   这 两 个 参 数 。 试 着 删 除 掉 这 两 个 参 数 看 看 结 果 发 现 这 两 个 参 数 其 实 是 必 不 可 少 的 ， 同 时 ， 也 会 影 响 页 面 访 问 结 果 。 - -   x
  网 站 语 言 环 境 ， 我 们 测 试 安 装 的 时 候 语 言 环 境 是   c n ， 但 是 你 不 能 说 所 有 的 网 站 的 语 言 都 支 持   c n 。   这 个 参 数 是 二 级 栏 目 二 级 栏 目 ,   取 值 也 是 相 应 的 二 级 栏 目 的   i d 。 我 们 测 试 的 时 候 ， 栏 目 的   i d   用 的 是   5 ， 对 应 的 测 试 数 据 是   “ 业 界 资 讯 ” ， 那 么 问 题 来 了 ， 所 有 的   M e t I n f o   二 次 开 发 的 站 都 会 有   i d   等 于   5   的 这 个 栏 目 吗 ？ 显 然 不 是 。 如 果 我 们 选 择 的 这 个 栏 目 下 ， 本 来 就 没 有 数 据 呢 ， 即 使 存 在 注 入 也 会 被 判 断 成 没 注 入 吧 ？ 好 在 这 个 漏 洞 中 返 回 的 新 闻 列 表 是 所 有 分 类 的 新 闻 当 然 ， 如 果 这 个 站 真 的 一 条 新 闻 都 没 有 的 话 ， 就 不 能 通 过   B o o l e a n - B a s e d   B l i n d   这 种 类 型 来 注 入 了 。 那 自 然 就 不 在 本 节 的 讨 论 范 围 之 内 了 。 O K ,   终 于 可 以 整 理 验 证 的 思 路 了 。 1 .   访 问   / n e w s /   获 取 到 真 实 的 栏 目   i d   和   l a n g 2 .   带 上 返 回 值 为   T r u e   的   P a y l o a d   即 ： 3 .   带 上 返 回 值 一 定 为   F a l s e   的   P a y l o a d   即 ： 4 .   比 较   2 ,   3   中 的 新 闻 列 表 处 的 数 据 是 否 有 变 化 ， 如 果   2   有 数 据 而   3   无 数 据 ， 就 证 明 存 在 注 入 。 上 面 说 的 这 些 ， 都 是 一 些 小 细 节 ， 除 了   S Q L   注 入   P a y l o a d   构 造 的 技 巧 之 外 ， 还 应 该 要 结 合 具 体 的   C M S   的 一 些 特 点 。 这 样 P o C   用 来 批 量 扫 描 的 时 候 才 不 会 出 太 多 问 题 。 既 然 说 到 应 该 结 合 整 个   C M S   具 体 的 一 些 特 点 的 话 ， 我 们 观 察 在 访 问   / n e w s / i n d e x . p h p   的 时 候 ， 在 正 文 部 分 其 实 是 有 一 部 分 数 据 的 ， 那 么 这 两 者 之 前 肯 定 是 存 在 调 用 的 ， 我 们 访 问 下 面 地 址 看 看 ： 访 问 上 面 两 个 链 接 之 后 发 现 ， 第 一 个 请 求 的 响 应 页 面 中 有 数 据 ， 而 第 二 个 请 求 的 响 应 页 面 中 没 有 数 据 怎 么 样 ？ 这 不 就 达 到 我 们 一 开 始 想 说 的 了 效 果 了 吗 ？ 这 时 完 全 可 以 不 考 虑   c l a s s 2   的 值 是 什 么 了 呀 。 突 然 觉 得 之 前 折 腾 了 那 突 然 觉 得 之 前 折 腾 了 那 么 久 全 是 白 费 力 气 ， 这 感 觉 真 酸 爽 。 么 久 全 是 白 费 力 气 ， 这 感 觉 真 酸 爽 。 所 以 说 洞 主 给 的 方 案 不 一 定 是 唯 一 的 ， P o C   编 写 的 时 候 做 一 下 必 要 的 分 析 还 是 能 减 少 很 多 无 用 功 的 。 无 框 架 无 框 架   P o C   编 写 编 写 我 直 接 上   p y t h o n   脚 本 吧 ， 我 也 没 统 一 处 理 输 入 输 出 什 么 的 ， 因 为 这 些 都 不 是 重 点 。 代 码 : l a n g c l a s s 2 s e r c h _ s q l = 1 2 3 q w e   w h e r e   4 3 4 3 = 4 3 4 3   - -   x & i m g p r o d u c t = x x x x s e r c h _ s q l = 1 2 3 q w e   w h e r e   4 3 4 3 = 4 3 4 2   - -   x & i m g p r o d u c t = x x x x 2 _ 3 _ 1 . p y
上 面 的 脚 本 在 注 释 中 已 经 把 判 断 的 逻 辑 写 的 很 清 楚 了 ， 也 没 什 么 要 说 的 地 方 。 值 得 一 提 的 是 ： 我 们 在 判 断 的 时 候 ， 选 取 的 判 断 字 符 串 一 定 要 能 区 分 这 两 个 页 面 ， 并 且 要 有 一 定 的 通 用 性 。 除 了 以 上 这 些 ， 还 应 该 尽 可 能 的 复 杂 一 些 ， 这 样 在 全 网 扫 的 时 候 误 报 率 相 对 就 低 了 下 来 。 当 然 还 可 以 通 过 返 回 包 的 大 小 来 判 断 ， 但 是 如 果 仅 仅 靠 这 个 来 判 断 的 话 ， 误 报 率 是 比 较 高 的 。 我 们 运 行 一 下 看 看 效 果 吧 ： 之 前 的 几 篇 已 经 写 了 如 何 利 用 框 架 写 P o C ， 这 篇 就 不 再 赘 述 了 （ 点 击 下 面 的 阅 读 原 文 阅 读 原 文 还 是 能 看 到 的 ） ， 下 面 基 本 上 验 证 就 已 经 讲 完 了 ， 有 兴 趣 的 可 以 继 续 看 下 面 的 爆 数 据 部 分 。 2 _ 3 _ 1 . p y
盲 注 猜 数 据 盲 注 猜 数 据 暂 时 不 想 写 怎 么 爆 数 据 了 , 后 面 会 更 ,   我 给 个 思 路 ， 读 者 可 以 先 自 己 实 现 一 下 思 路 思 路 我 们 不 要 着 急 ， 一 层 一 层 思 考 啊 1 .   管 理 员 的 用 户 名 和 密 码 肯 定 是 在   [ a - z A - Z 0 - 9 ]   这 个 集 合 里 面 的 ( 如 果 不 区 分 大 小 写 就 是   [ a - Z 0 - 9 ] ) 。 比 如   2 .   如 果 让 你 人 工 去 猜 这 个 密 码 字 符 串 ， 你 会 怎 么 猜 ？ 这 里 我 们 就 可 以 用   i f   语 句 来 判 断 了 ， 如 果 我 们 猜 对 了 ， 就 返 回   T r u e , 猜 错 了 ， 就 返 回   F a l s e ， 那 么 一 旦 出 现 了 有 数 据 的 页 面 ， 说 明 你 猜 对 了 。 3 .   一 次 猜 整 个 字 符 串 的 那 概 率 相 当 之 小 ， 所 以 我 们 可 以 拆 分 字 符 串 呀 ， 从 第 一 个 字 符 开 始 猜 ， 猜 到 最 后 一 个 。 那 假 设 你 在 猜 第   1   个 字 符 ， 它 可 取 的 值 有   3 6   个 ， 怎 么 猜 ？ 从   a   一 个 一 个 猜 到   z   ， 从   0   猜 到   9 ， 肯 定 有 一 个 满 足 条 件 的 。 4 .   天 呐 ， 这 样 一 个 一 个 猜 好 累 啊 。 有 什 么 办 法 能 提 高 比 较 效 率 呢 ？ 这 里 我 们 可 以 使 用 二 分 法 ( 也 叫 折 半 查 找 ) 举 个 例 子 子 来 说 啊 ， 比 如 我 们 要 猜   1   中 给 的 这 个 例 子 的 第   1   个 字 符 ( e ) ， 我 先 看 它 是 不 是 在   n   后 面 ( a - z   的 中 间 字 母 ) ？ 不 在 ， 好 ， 然 后 再 看 是 不 是 在   g   后 面 ( a - n   的 中 间 字 母 ) ？ 不 在 ， 那 我 将   a - g   再 从 中 间 分 一 下 ， 就 是 字 母   d   了 ， 在 不 在   d   后 面 呢 ？ 在 。 O K , 现 在 这 个 字 符 所 在 的 区 间 是   d - g ( d e f g ) , 中 间 字 母 是   e   ， 那 么 这 个 字 符 在 不 在   e   后 面 呢 ？ 不 在 。 于 是 现 在 区 间 又 成 了   d e ,   那 么 再 比 较 一 次 ,   这 样 就 把 猜 出 来 是   e   了 。 这 样 对 一 个 字 母 ， 平 均 比 较 次 数 是   5   次 ， 这 样 一 来 就 会 节 约 了 大 量 的 时 间 。 你 也 许 会 说 ， 呵 呵 呵 ， 如 果 我 猜 的 字 母 是   a   ， 我 用 传 统 的 比 较 法 一 次 就 蒙 对 了 呢 。 少 年 ， 那 你 有 考 虑 过 这 个 字 符 有 可 能 是   z   吗 ？ 总 结 总 结 总 结 一 下 这 节 学 到 的 东 西 1 .   布 尔 类 型 的   S Q L   盲 注 , 一 般 通 过 比 较 返 回 页 面 的 数 据 变 化 来 判 断 2 .   S Q L   注 入 检 测 是 证 明 指 令 被 执 行 了 3 .   编 写   P o C   如 果 能 结 合   C M S   的 具 体 特 点 ， 会 通 用 ， 提 高 性 能 4 .   适 当 的 应 用 一 些 算 法 ， 可 以 在 幅 度 提 高 检 测 效 率 ， 节 约 时 间 5 .   不 要 用 默 认 的 表 前 缀 在 一 定 程 度 上 可 以 提 高 被 黑 的 门 槛 i n n 0 t e a m 只 是 一 个 正 在 成 长 的 小 的 安 全 团 队 微 信 号 ： i n n 0 t e a m e 1 0 a d c 3 9 4 9 b a 5 9 a b b e 5 6 e 0 5 7 f 2 0 f 8 8 3 e
长 按 便 可 关 注 我 们 点 击 阅 读 原 文 阅 读 原 文 可 以 上 文 中 提 到 的 基 于 框 架 的 P o C 编 写 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理