搜索

[10744] 2016-11-22_利用SQLite数据库文件实现任意代码执行

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-11-22_利用SQLite数据库文件实现任意代码执行 利 用 S Q L i t e 数 据 库 文 件 实 现 任 意 代 码 执 行 A l p h a _ h 4 c k   F r e e B u f   2 0 1 6 - 1 1 - 2 2 前 言 前 言 近 期 ， 我 们 对 贝 尔 金 近 期 ， 我 们 对 贝 尔 金 W e M o 智 能 家 居 设 备 的 安 全 性 进 行 了 分 析 。 在 研 究 过 程 中 ， 我 们 开 发 出 了 一 种 新 型 的 智 能 家 居 设 备 的 安 全 性 进 行 了 分 析 。 在 研 究 过 程 中 ， 我 们 开 发 出 了 一 种 新 型 的 S Q L 注 入 技 术 ， 注 入 技 术 ， 这 项 技 术 针 对 的 是 这 项 技 术 针 对 的 是 S Q L i t e 数 据 库 。 实 验 表 明 ， 我 们 可 以 利 用 这 项 数 据 库 。 实 验 表 明 ， 我 们 可 以 利 用 这 项 S Q L i t e 注 入 技 术 在 注 入 技 术 在 S Q L i t e 数 据 库 中 实 现 任 意 代 码 执 行 。 数 据 库 中 实 现 任 意 代 码 执 行 。 这 篇 文 章 将 会 告 诉 大 家 如 何 去 创 建 一 个 这 篇 文 章 将 会 告 诉 大 家 如 何 去 创 建 一 个 S Q L i t e 数 据 库 ， 并 且 利 用 纯 粹 的 数 据 库 ， 并 且 利 用 纯 粹 的 S Q L 查 询 语 句 来 执 行 一 个 查 询 语 句 来 执 行 一 个 a s h S h e l l 脚 本 。 脚 本 。 我 们 认 为 ， 对 于 渗 透 测 试 人 员 和 漏 洞 研 究 社 区 而 言 ， 这 项 技 术 的 适 用 性 是 非 常 广 泛 的 。 我 们 希 望 这 篇 文 章 能 够 给 各 位 带 来 有 价 值 的 信 息 ， 并 且 各 位 能 够 通 过 这 篇 文 章 中 的 内 容 自 己 动 手 复 现 这 个 漏 洞 。 背 景 知 识 背 景 知 识 利 用 S Q L i t e 注 入 漏 洞 来 执 行 任 意 代 码 的 一 个 最 简 单 的 方 法 就 是 利 用 l o a d _ e x t e n s i o n ( ) 函 数 来 执 行 共 享 库 中 的 某 个 函 数 。 但 是 l i b s q l i t e 3 . s o 这 个 库 默 认 是 禁 止 这 个 功 能 的 ， 因 为 这 很 明 显 就 是 一 个 安 全 漏 洞 。 实 际 上 ， 在 某 些 S Q L i t e   i n j e c t i o n   c h e a t   s h e e t s （ S Q L i t e 注 入 安 全 备 忘 单 ） 中 ， 也 有 人 会 使 用 一 个 A T T A C H   D A T A B A S E 语 句 来 在 目 标 W e b 服 务 器 的 根 目 录 下 创 建 S Q L i t e 文 件 。 此 时 ， 攻 击 者 就 可 以 使 用 恶 意 P H P 代 码 来 对 该 文 件 进 行 处 理 ， 当 攻 击 者 向 服 务 器 请 求 该 文 件 时 ， P H P 解 释 器 就 会 执 行 其 中 的 恶 意 代 码 。 相 关 代 码 如 下 所 示 ： A T T A C H   D A T A B A S E 语 句 首 先 会 检 查 指 定 位 置 是 否 存 在 相 应 的 文 件 。 如 果 存 在 ， 那 么 它 便 会 尝 试 将 该 文 件 视 作 一 个 S Q L i t e 数 据 库 来 打 开 。 如 果 不 存 在 ， 它 将 会 在 目 标 地 址 创 建 这 个 文 件 ， 并 为 这 个 S Q L i t e 数 据 库 文 件 赋 予 读 取 和 写 入 权 限 。 在 上 面 这 个 例 子 中 ， 语 句 在 / v a r / w w w / 目 录 下 创 建 了 一 个 名 为 l o l . p h p 的 文 件 ， 我 们 可 以 使 用 “ l o l ” 作 为 数 据 库 名 称 来 访 问 这 个 文 件 接 下 A T T A C H   D A T A B A S E   ‘ / v a r / w w w / l o l . p h p ’   A S   l o l ; C R E A T E   T A B L E   l o l . p w n   ( d a t a z   t e x t ) ; I N S E R T   I N T O   l o l . p w n   ( d a t a z )   V A L U E S ( ‘ < ? s y s t e m ( $ _ G E T [ ‘ c m d ’ ] ) ;   ? > ’ ) ; - -
来 ， 我 们 在 “ l o l ” 数 据 库 中 创 建 了 一 个 名 为 “ p w n ” 的 表 ， 并 向 该 表 插 入 了 一 个 字 符 串 。 当 W e b 服 务 器 请 求 该 文 件 时 ， 该 数 据 库 的 后 缀 名 “ . p h p ” 将 会 触 发 W e b 服 务 器 的 P H P 解 释 器 。 解 释 器 会 寻 找 文 件 中 的 “ < ? ” ， 并 尝 试 执 行 该 符 号 之 后 的 所 有 语 句 ， 直 到 解 释 器 扫 描 到 “ ? > ” 为 止 。 在 这 种 情 况 下 ， 无 论   “ c m d ” 这 个 G E T 请 求 变 量 中 包 含 的 是 怎 样 的 代 码 ， 这 些 代 码 最 终 都 会 以 系 统 命 令 的 形 式 得 到 执 行 。 这 样 一 来 ， 我 们 就 可 以 使 用 这 个 方 法 来 利 用 S Q L 注 入 漏 洞 实 现 任 意 命 令 执 行 了 。 但 是 大 多 数 使 用 S Q L i t e 数 据 库 的 服 务 器 中 并 不 会 安 装 P H P 解 释 器 ， 例 如 很 多 嵌 入 式 系 统 就 是 这 样 。 这 样 一 来 ， 我 们 的 技 术 就 不 管 用 了 。 将 将 S Q L i t e 当 作 一 个 当 作 一 个 a s h 脚 本 脚 本 很 多 基 于 L i n u x 的 嵌 入 式 系 统 都 会 使 用 B u s y B o x 工 具 套 件 来 实 现 绝 大 部 分 基 础 的 L i n u x 命 令 。 默 认 情 况 下 ， B u s y B o x 会 使 用 a s h   s h e l l 来 实 现 / b i n / s h 。 所 以 我 们 打 算 看 看 是 否 可 以 创 建 一 个 S Q L i t e 数 据 库 文 件 ， 并 将 其 当 作 一 个 a s h   s h e l l 脚 本 来 执 行 ， 而 且 我 们 希 望 只 使 用 S Q L 语 句 就 能 够 执 行 它 。 因 为 a s h 的 命 令 解 析 器 比 P H P 的 代 码 解 释 器 要 复 杂 的 多 ， 所 以 我 们 就 要 想 一 些 其 他 的 办 法 了 。 不 过 幸 运 的 是 ， a s h 比 b a s h 要 简 单 得 多 ， 看 来 我 们 选 择 a s h 是 正 确 的 。 首 先 我 们 要 了 解 的 是 ， a s h 的 解 析 器 对 于 换 行 符 （ “ n ” ） 和 圆 括 号 （ “ （ ” 和 “ ） ” ） 是 非 常 敏 感 的 。 这 是 因 为 当 用 户 在 命 令 行 中 按 下 回 车 之 后 ， 便 会 插 入 一 个 新 行 ， 而 括 号 中 包 含 的 指 令 是 s u b s h e l l 所 需 要 执 行 的 指 令 。 所 以 ， 如 果 我 们 能 够 找 到 某 种 方 法 可 以 在 S Q L i t e 数 据 库 文 件 中 插 入 这 些 字 符 的 话 ， 我 们 就 可 以 用 它 们 来 控 制 a s h 在 处 理 这 个 文 件 时 所 采 用 的 方 式 了 。 图 片 1 : 向 一 个 S Q L i t e 数 据 库 文 件 插 入 并 保 存 换 行 符 我 们 使 用 “ 插 入 换 行 符 ” 这 个 技 巧 的 主 要 依 据 为 ： S Q L i t e 数 据 库 会 将 用 于 构 造 数 据 库 模 式 的 S Q L 语 句 保 存 下 来 ， 正 如 图 片 1 顶 部 的 C R E A T E 语 句 所 表 示 的 那 样 ， S Q L i t e 数 据 库 会 将 我 们 的 换 行 符 保 存 在 数 据 库 模 式 的 定 义 之 中 。 图 片 1 下 半 部 分 的 代 码 显 示 的 是 我 们 将 数 据 库 文 件 以 a s h   s h e l l 脚 本 来 运 行 时 的 情 况 。 a s h 报 告 的 第 一 个 错 误 是 它 无 法 找 到 “ S Q L i t e ” 命 令 ， 因 为 它 在 解 析 代 码 时 ， 将 文 件 中 的 第 一 个 词 当 作 了 命 令 ， 然 后 将 C R E A T E 语 句 中 的 内 容 （ 换 行 符 之 前 的 代 码 ） 当 作 了 命 令 的 执 行 参 数 。
这 样 一 来 ， 我 们 只 需 要 插 入 新 的 一 行 ， 就 可 以 让 a s h 忽 略 整 个 文 件 的 内 容 了 。 现 在 我 们 要 解 决 的 就 是 如 何 修 复 a s h 的 第 二 个 报 错 ， 即 “ u n t e r m i n a t e d   q u o t e d   s t r i n g ” （ 未 结 束 引 用 字 符 串 ） 。 图 片 2 : 执 行 “ e c h o ” 命 令 很 简 单 ， 解 决 第 二 个 报 错 的 方 法 就 是 另 外 插 入 新 的 一 行 。 大 家 可 以 从 图 片 2 中 看 到 ， 我 们 在 新 的 一 行 中 向 C R E A T E 语 句 中 添 加 了 “ w i t h o u t r o w i d ” 。 我 们 在 定 义 完 数 据 表 中 的 列 之 后 ， 又 插 入 了 一 个 换 行 符 。 这 样 一 来 ， 我 们 就 用 换 行 符 包 裹 住 了 列 定 义 语 句 了 。 当 文 件 被 当 作 脚 本 来 解 析 时 ， 列 定 义 语 句 就 会 被 视 作 一 个 单 独 的 文 本 行 。 图 片 2 底 部 的 代 码 表 面 ， 当 文 件 作 为 脚 本 来 执 行 时 ， “ e c h o n o n e   p r i m a r y   k e y ” 这 条 语 句 将 会 被 解 析 为 一 个 e c h o 命 令 ， “ n o n e p r i m a r y   k e y ” 会 被 输 出 到 屏 幕 上 。 这 样 一 来 ， 我 们 就 可 以 实 现 任 意 命 令 执 行 了 ， 因 为 我 们 可 以 将 列 名 修 改 为 任 何 想 要 执 行 的 命 令 。 当 然 了 ， 这 还 不 是 真 正 意 义 上 的 “ 任 意 命 令 执 行 ” ， 因 为 我 们 无 法 在 命 令 中 设 置 任 意 参 数 。 为 了 得 到 一 个 有 效 的 列 定 义 ， 列 名 之 后 的 第 一 个 词 必 须 符 合 数 据 库 的 类 型 定 义 。 图 片 3 : 使 用 S Q L i t e 数 据 库 文 件 实 现 任 意 命 令 执 行 为 了 实 现 任 意 命 令 执 行 ， 我 们 先 回 顾 一 下 之 前 运 行 P H P 恶 意 代 码 所 用 的 方 法 ， 即 把 需 要 执 行 的 命 令 作 为 表 的 值 来 插 入 。 大 家 可 以 在 图 片 3 中 看 到 ， 我 们 也 使 用 了 同 样 的 方 法 ， 只 不 过 字 符 串 的 第 一 个 字 符 和 最 后 一 个 字 符 必 须 为 换 行 符 。
总 结 总 结 阅 读 完 这 篇 文 章 之 后 ， 大 家 应 该 已 经 知 道 了 如 何 去 创 建 一 个 可 以 被 当 作 a s h   s h e l l 脚 本 的 S Q L i t e 数 据 库 文 件 了 。 最 后 ， 祝 大 家 h a c k i n g 愉 快 ！ *   参 考 来 源 ： i n v i n c e a l a b s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理