搜索

[20385] 2020-11-16_在MSSQL注入中学到的新姿势

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2020-11-16_在MSSQL注入中学到的新姿势 在 M S S Q L 注 入 中 学 到 的 新 姿 势 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 1 - 1 6 以 下 文 章 来 源 于 T 9 S e c   ， 作 者 B r o k e n _ 5 0 x 0 1   前 言 前 言 在 一 次 M S S Q L 注 入 过 程 中 ， 目 标 W E B 应 用 过 滤 了 且 不 能 使 用 语 句 。 通 过 查 询 S Q L   S e r v e r 官 方 手 册 ， 然 后 自 己 利 用 其 它 函 数 的 组 合 ， 实 现 了 一 个 新 的 字 符 串 截 取 方 法 。 0 x 0 2   注 入 注 入 由 于 该 注 入 点 已 经 修 复 ， 所 以 无 法 复 现 ， 就 简 单 复 述 一 下 前 期 的 测 试 过 程 。 目 标 W E B 程 序 过 滤 了 一 些 常 见 的 S Q L 注 入 关 键 字 例 如 ： S E L E C T 、 A N D 、 C H A R ( ) 等 ， 但 是 目 标 W E B 应 用 程 序 为 了 防 止 X S S 攻 击 将 与 替 换 为 空 ， 所 以 利 用 可 以 绕 过 关 键 字 检 测 T 9 S e c   . T 9 S e c   T e a m   是 一 个 乐 于 分 享 、 交 流 至 上 的 安 全 团 队 ， 团 队 将 不 定 期 更 新 漏 洞 挖 掘 中 的 奇 技 淫 巧 以 及 队 员 丰 富 的 实 战 经 验 技 术 ， 绝 对 干 货 满 满 ， 期 待 您 的 关 注 ！ s u b s t r i n g ( ) A N D 、 O R < > S E L < E C T
绕 过 了 第 一 点 继 续 进 行 测 试 的 时 候 ， 发 现 不 管 的 值 是 什 么 ， 它 的 结 果 都 是 本 身 ， 被 这 个 坑 了 挺 久 的 。 后 来 发 现 W E B 应 用 还 进 行 了 二 次 替 换 ， 将 等 字 符 替 换 为 空 发 现 这 点 后 心 想 ， 这 个 注 入 稳 了 ， 利 用 双 写 绕 过 W E B 应 用 的 检 测 ， 但 是 真 正 测 试 的 时 候 并 不 是 我 想 象 得 那 么 简 单 ， W E B 报 错 了 ， 换 了 很 多 种 组 合 还 是 报 错 。 仔 细 想 一 想 可 能 是 W E B 应 用 还 做 了 别 处 理 ， 应 该 换 一 种 方 法 了 0 x 0 3   新 方 法 新 方 法 通 过 查 阅 S Q L   S E R V E R 官 方 使 用 手 册 （ h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s q l / t - s q l / f u n c t i o n s / c h a r i n d e x - t r a n s a c t - s q l ? v i e w = s q l - s e r v e r - v e r 1 5 ） 发 现 了 一 个 有 用 的 函 数 C H A R I N D E X ( ) a s < c i i ( x ) x x a s c i i 、 s u b s t r a s a s c i i c i i ( s u b a s c i i s t r i n g ( u s e r , 1 , 1 ) )
比 如 从 开 头 查 找 ， 显 而 易 见 第 一 个 在 第 二 个 位 置 所 以 返 回 的 结 果 是 S E L E C T   C H A R I N D E X ( ' o ' ,   ' r o o t ' ,   3 ) ; ` 从 ` r o o t ` 第 ` 3 ` 个 字 符 开 始 查 找 ， 那 么 第 一 次 出 现 ` o ` 的 位 置 就 是 ` 3 ` ， 所 以 这 次 的 返 回 值 是 ` 3 S E L E C T   C H A R I N D E X ( ' o ' ,   ' r o o t ' ,   4 ) ; ` 从 ` r o o t ` 第 ` 4 ` 个 字 符 开 始 查 找 ， 从 第 ` 4 ` 个 字 符 串 后 面 已 经 没 有 ` o ` 了 所 以 返 回 结 果 为 ` 0 S E L E C T   C H A R I N D E X ( ' o ' ,   ' r o o t ' ) ; r o o t o 2
C H A R I N D E X 的 查 找 是 从 左 至 右 的 ， 通 过 s t a r t _ l o c a t i o n 递 进 ， 同 时 利 用 L E F T ( ) 函 数 递 进 截 取 字 符 串 ， 实 现 C H A R I N D E X 每 次 只 查 找 一 个 字 符 ， 案 例 如 下 ： S E L E C T   C H A R I N D E X ( ' a ' ,   L E F T ( ' r o o t ' ,   2 )   , 2 ) ; 分 析 一 下 语 句 1 .   通 过 截 取 左 边 两 个 字 符 也 就 是 从 第 二 个 字 符 开 始 查 找 也 就 是 去 查 找 3 .   最 终 分 析 下 来 就 是 在 与 就 行 对 比 这 里 L E F T ( ' r o o t ' , 2 ) r o 2 .   s t a r t _ l o c a t i o n = 2 r o o a o a ! = o
所 以 返 回 这 里 所 以 返 回 在 字 符 串 中 的 位 置 在 进 行 优 化 一 下 如 果 字 符 不 匹 配 那 么 返 回 结 果 必 然 小 于 a ! = o 0 o = o o S E L E C T   C H A R I N D E X ( ' a ' ,   L E F T ( ' r o o t ' ,   2 )   , 2 )   -   2 ; 0
如 果 字 符 匹 配 那 么 返 回 结 果 必 然 等 于 ， 这 就 算 利 用 C H A R I N D E X 和 L E F T 函 数 实 现 了 S U B S T R I N G 的 功 能 I n t r u d e r 跑 数 据 跑 数 据 实 现 我 上 面 所 说 的 字 符 串 截 取 的 功 能 变 量 应 该 有 4 个 ， 而 且 要 保 证 C H A R I N D E X 和 L E F T 以 及 减 去 的 值 一 致 I n t r u d e r 模 块 可 以 这 样 设 置 0
第 一 个 p a y l o a d 第 二 个 p a y l o a d 第 3 - 4 个 p a y l o a d ， 意 思 就 是 复 制 2 的 p a y l o a d
最 终 我 的 注 入 也 可 以 出 数 据 了
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理