搜索

[1102] 2020-06-25_渗透经验分享之SQL注入思路拓展

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2020-06-25_渗透经验分享之SQL注入思路拓展 渗 透 经 验 分 享 之 S Q L 注 入 思 路 拓 展 Y 4 e r   C h a B u g   2 0 2 0 - 0 6 - 2 5 写 在 文 前 从 实 习 到 现 在 ， 因 为 从 事 打 点 工 作 的 原 因 ， 实 战 经 验 积 累 了 很 多 ， 就 想 写 一 些 自 己 在 实 战 中 碰 到 的 问 题 ， 以 及 自 己 的 解 决 方 法 ， 因 为 保 密 的 原 因 大 多 数 不 提 供 复 现 环 境 和 截 图 ， 权 当 对 渗 透 思 路 的 一 个 拓 展 吧 。 可 能 会 多 写 几 篇 ， 也 可 能 因 为 实 战 经 验 不 足 就 此 荒 废 这 个 系 列 。 总 之 看 心 情 和 时 间 安 排 吧 。 注 入 的 几 个 问 题 S Q L 注 入 所 涉 及 到 的 东 西 无 非 就 以 下 几 方 面 1 .   哪 里 会 经 常 出 现 注 入 2 .   b y p a s s   w a f 3 .   如 何 快 速 定 位 重 要 数 据 表 4 .   大 数 据 表 托 数 据 5 .   注 入 读 写 文 件 6 .   执 行 命 令 哪 里 经 常 出 现 注 入 要 想 利 用 注 入 ， 首 先 你 得 挖 到 一 个 注 入 点 ， 在 大 多 数 的 业 务 场 景 中 ， 搜 索 框 是 一 个 容 易 出 现 注 入 的 地 方 ， 他 们 的 S Q L 语 句 形 如 可 能 你 觉 得 这 里 用 预 编 译 处 理 的 话 岂 不 是 简 简 单 单 防 止 s q l 注 入 ？ 但 是 有 些 开 发 没 有 安 全 意 识 ， 他 嫌 弃 这 个 s q l 语 句 又 臭 又 长 ， 硬 要 进 行 拼 接 s q l 语 句 ， 造 成 注 入 。 还 有 就 是 o r d e r   b y 的 注 入 点 ， S Q L 预 编 译 会 解 决 s q l 注 入 问 题 ， 但 是 有 些 地 方 是 不 能 参 数 化 的 。 比 如 o r d e r   b y 后 就 不 能 参 数 化 ， 挖 注 入 的 时 候 看 准 o r d e r b y 、 s o r t 参 数 ， 一 挖 一 个 准 。 为 什 么 o r d e r b y 不 能 参 数 化 查 询 ？ 移 步 这 里 再 重 点 关 注 下 日 期 类 型 的 参 数 ， 形 如 日 期 类 型 如 果 在 接 受 参 数 的 时 候 没 有 进 行 强 制 类 型 转 换 很 容 易 出 现 注 入 问 题 ， 也 是 直 接 拼 接 的 原 因 。 1 .   S E L E C T   p . * ,   p a c . a l l _ c i t i e s   F R O M   { p } _ p a g e   A S   p   l e f t   j o i n   { p } _ p a g e _ a l l _ c i t i e s   p a c     o n   p 1 .   S E L E C T   *   F R O M   ` w p _ p o s t s `   w h e r e   p o s t _ c o n t e n t   l i k e   ' % % '   a n d   p o s t _ d a t e   B E T W E E N   ' 2 0 2 0 / 0 1 / 0 1 '
1 .   搜 索 2 .   o r d e r b y 、 l i m i t 3 .   日 期 类 型 其 实 这 些 大 家 都 知 道 ， 测 的 时 候 细 心 一 些 就 可 以 了 。 我 习 惯 每 个 参 数 都 测 一 测 ，   参 数 有 注 入 的 情 况 也 不 是 没 有 。 b y p a s s   w a f 这 点 没 什 么 好 说 的 ， 4 0 4 师 傅 的   M Y S Q L S Q L B Y P A S S _ W I K I   讲 的 姿 势 很 多 了 。 其 实 绕 w a f 最 重 要 的 是 你 需 要 清 楚 他 拦 截 的 是 你 p a y l o a d 的 哪 一 部 分 。 我 的 思 路 是 一 段 一 段 测 ， 比 如 ： 拦 了 s e l e c t 还 是 拦 了 u s e r ( ) ？ 还 是 拦 了   这 个 正 则 ？ 改 成   试 试 改 成 s e l e c t   u s a r ( ) 试 试 那 就 说 明 他 拦 截 的 是   ， 打 乱 正 则 就 行 了 。 还 有 就 是 内 联 注 释 并 不 是 万 能 的 ， 更 多 的 时 候 需 要 配 合 数 据 库 的 特 性 以 及 中 间 件 的 解 析 特 性 来 绕 过 。 一 个 很 牛 逼 的 例 子 就 是 这 篇 文 章 如 何 快 速 定 位 重 要 数 据 表 渗 透 中 总 是 有 一 些 大 型 的 数 据 库 ， 一 个 数 据 库 中 有 几 百 个 表 ， 一 个 一 个 看 脑 壳 疼 。 这 个 时 候 s q l m a p 有 一 个 参 数 叫 做   l a n g = c n 1 .   s e l e c t   u s e r ( )   - -   拦 截 / s e l e c t . * ? u s e r / s e l a c t 1 .   s e l a c t   u s e r ( )   - -   不 拦 截 1 .   s e l e c t   u s a r ( )   - -   不 拦 截 / s e l e c t . * ? u s e r / - - s e a r c h
， 可 以 用 来 搜 索 列 、 表 或 数 据 库 名 称 。 1 .   - - s e a r c h   - D ： 搜 索 某 个 数 据 库 2 .   - - s e a r c h   - T ： 搜 索 某 个 表 名 3 .   - - s e a r c h   - C ： 搜 索 某 个 字 段 名 通 过 搜 索 形 如 u s e r n a m e 、 p a s s w o r d 的 字 段 即 可 快 速 定 位 重 要 数 据 表 。 大 数 据 表 托 数 据 一 般 上 是 直 接 托 文 件 ， 比 如 m y s q l 可 以 用 自 带 的 m y s q l d u m p ， 如 果 是 站 库 分 离 可 以 自 己 传 一 个 m y s q l d u m p 上 去 指 定   参 数 就 行 了 。 m y s q l d u m p 是 没 有 依 赖 的 ， 单 e x e 就 能 运 行 ， 直 接 拖 s q l 文 件 比 一 点 一 点 拖 快 得 多 。 m s s q l 的 话 直 接 拖 m d f ， 或 者 o s q l 命 令 。 注 入 读 写 文 件 以 下 全 部 基 于 你 有 路 径 的 前 提 下 。 当 你 通 过 注 入 没 有 下 一 步 思 路 的 时 候 ， 就 要 考 虑 读 写 文 件 了 。 读 写 文 件 很 多 情 况 下 都 需 要 用 到 堆 叠 语 句 ， M y S Q L 中 如 果 用 的 是 m y s q l i   p d o 处 理 的 话 ， 有 的 可 以 堆 叠 ， m s s q l + a s p x 是 原 生 堆 叠 ， O r a c l e 要 看 代 码 层 面 是 怎 么 写 的 ， 具 体 根 据 实 际 判 断 吧 ， 环 境 不 一 样 问 题 不 一 样 。 M y S Q L 读 文 件 值 得 一 提 的 就 是   和   ， 不 受   的 限 制 ， 但 是 需 要 堆 叠 ， 或 者 你 也 可 以 找 找 p h p m y a d m i n ， p h p m y a d m i n 的 话 还 受 到   限 制 。 通 过 注 入 拓 展 任 意 文 件 读 取 ， 也 算 一 种 思 路 吧 。 如 果 你 是 m y s q l 低 权 限 账 户 可 以 试 着 读 一 下   ， 万 一 读 到 r o o t 密 码 呢 ？ 至 于   的 权 限 问 题 一 直 是 一 个 谜 ， 我 理 解 的 他 的 权 限 应 该 是 和 M y S Q L 的 权 限 一 样 的 ， 因 为 碰 到 了 一 次 读 不 到 a p a c h e 用 户 w w w 目 录 下 的 源 码 ， M y S Q L 用 户 和 a p a c h e 权 限 不 一 样 。 但 是 其 实 我 自 己 都 不 是 很 确 定 ， 希 望 有 师 傅 看 到 了 指 点 一 下 。 M y S Q L 写 文 件 的 话   - h l o a d   d a t a   i n f i l e l o a d   d a t a l o c a l i n f i l e s e c u r e - f i l e - p r i v o p e n _ b a s e d i r u s e r . M Y D l o a d   d a t a l o c a l i n f i l e i n t o o u t f i l e
、   还 有 就 是 日 志 写 文 件   ， 绝 对 路 径 写 s h e l l ， 插 件 写 u d f ， 写 m o f 。 m s s q l 的 话 读 写 文 件 的 操 作 更 多 样 化 一 些 。 列 目 录   、     写 文 件   、   、   配 合 写 s h e l l 或 者 出 网 的 话 直 接 写 一 个 v b s 下 载 器 ， 随 意 发 挥 。 读 文 件 的 话 站 库 分 离 的 话 看 下 数 据 库 服 务 器 有 没 有 w e b 服 务 ， 如 果 直 接 访 问 I P 是 i i s 默 认 页 面 可 以 直 接 往 i i s 的 默 认 目 录 写 a s p x 。 没 有 w e b 服 务 的 话 可 以 写 一 个 d n s 的 马 进 去 ， x p _ c m d s h e l l 执 行 ， 或 者 调 用 w s c r i p t . s h e l l 执 行 。 i n t o d u m p f i l e g e n e r a l   l o g x p _ d i r t r e e x p _ s u b d i r s x p _ c m d s h e l l ' e c h o   1   >   c : / 1 . t x t ' s p _ o a c r e a t e s p _ o a m e t h o d 1 .   d e c l a r e   @ s p _ p a s s w o r d x i e o   i n t ,   @ f   i n t ,   @ t   i n t ,   @ r e t   i n t ; 2 .   e x e c   s p _ o a c r e a t e   ' s c r i p t i n g . f i l e s y s t e m o b j e c t ' ,   @ s p _ p a s s w o r d x i e o   o u t ; 3 .   e x e c   s p _ o a m e t h o d   @ s p _ p a s s w o r d x i e o ,   ' c r e a t e t e x t f i l e ' ,   @ f   o u t ,   ' c : / w w w / 1 . a s p x ' ,   1 ; 4 .   e x e c   @ r e t   =   s p _ o a m e t h o d   @ f ,   ' w r i t e l i n e ' ,   N U L L , ' t h i s   i s   s h e l l ' ; 1 .   U S E   t e s t ; 2 .   D R O P   T A B L E   c m d ; 3 .   C R E A T E   T A B L E   c m d   (   a   t e x t   ) ; 4 .   B U L K   I N S E R T   c m d   F R O M   ' d : / c o n f i g . a s p x '   W I T H   ( F I E L D T E R M I N A T O R   =   ' n ' , R O W T E R M I N A T O R   =   ' n n ' 5 .   S E L E C T         *   F R O M     c m d
p o s t g r e s q l 的   ，   读 写 文 件 ， 要 是 有 别 人 的 马 直 接 读 文 件 岂 不 是 美 滋 滋 。 执 行 命 令 M y S Q L   u d f   m o f 不 说 了   m s s q l   x p _ c m d s h e l l 、 自 己 创 建 c l r 、 调 用 w s c r i p t . s h e l l 、 调 用 S h e l l . A p p l i c a t i o n 、 写 启 动 项 、 写 d l l 劫 持 。 之 前 碰 到 过 一 个 站 库 分 离 ， 有 x p _ c m d s h e l l ， 但 是 只 出 d n s 的 。 通 过 c e r t u t i l 转 e x e 为 b a s e 6 4 ， 通 过 e c h o 写 入 文 件 ， 调 用 目 标 的 c e r t u t i l 转 回 e x e 执 行 上 线 。 其 他 利 用 场 景 任 意 文 件 上 传 ， 没 有 路 径 ， 找 找 注 入 在 数 据 库 中 肯 定 存 储 了 文 件 的 路 径 ， 配 合 s q l m a p 的 - - s q l - s h e l l 和 - - s e a r c h 参 数 就 能 找 到 s h e l l 地 址 。 总 结 通 过 注 入 可 以 拓 展 很 多 思 路 ， 因 为 数 据 库 基 本 上 都 实 现 了 读 写 文 件 的 操 作 ， 执 行 命 令 也 可 以 通 过 拓 展 或 者 系 统 自 带 的 存 储 过 程 来 实 现 。 限 制 我 们 的 更 多 的 是 权 限 的 问 题 ， 一 个 绝 对 意 义 的 低 权 限 注 入 点 神 仙 也 没 办 法 。 思 路 给 到 ， 具 体 情 况 具 体 分 析 。 欢 迎 师 傅 们 分 享 更 多 由 注 入 拓 展 的 姿 势 。 c o p y f r o m c o p y   t o
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理