搜索

[15572] 2020-07-05_Mybatis框架下SQL注入审计分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-05_Mybatis框架下SQL注入审计分析 M y b a t i s 框 架 下 S Q L 注 入 审 计 分 析 o f e i   F r e e B u f   2 0 2 0 - 0 7 - 0 5 前 言 前 言 S Q L 注 入 漏 洞 作 为 注 入 漏 洞 作 为 W E B 安 全 的 最 常 见 的 漏 洞 之 一 ， 在 安 全 的 最 常 见 的 漏 洞 之 一 ， 在 j a v a 中 随 着 预 编 译 与 各 种 中 随 着 预 编 译 与 各 种 O R M 框 架 的 使 用 ， 注 入 问 题 也 框 架 的 使 用 ， 注 入 问 题 也 越 来 越 少 。 新 手 代 码 审 计 者 往 往 对 越 来 越 少 。 新 手 代 码 审 计 者 往 往 对 J a v a   W e b 应 用 的 多 个 框 架 组 合 而 心 生 畏 惧 ， 不 知 如 何 下 手 ， 希 望 通 过 应 用 的 多 个 框 架 组 合 而 心 生 畏 惧 ， 不 知 如 何 下 手 ， 希 望 通 过 M y b a t i s 框 架 使 用 不 当 导 致 的 框 架 使 用 不 当 导 致 的 S Q L 注 入 问 题 为 例 ， 能 够 抛 砖 引 玉 给 新 手 一 些 思 路 。 注 入 问 题 为 例 ， 能 够 抛 砖 引 玉 给 新 手 一 些 思 路 。 一 、 一 、 M y b a t i s 的 的 S Q L 注 入 注 入 M y b a t i s 的 S Q L 语 句 可 以 基 于 注 解 的 方 式 写 在 类 方 法 上 面 ， 更 多 的 是 以 x m l 的 方 式 写 到 x m l 文 件 。 M y b a t i s 中 S Q L 语 句 需 要 我 们 自 己 手 动 编 写 或 者 用 g e n e r a t o r 自 动 生 成 。 编 写 x m l 文 件 时 ， M y B a t i s 支 持 两 种 参 数 符 号 ， 一 种 是 # ， 另 一 种 是 $ 。 比 如 ： 使 用 预 编 译 ， 使 用 预 编 译 ， $ 使 用 拼 接 使 用 拼 接 S Q L 。 。 M y b a t i s 框 架 下 易 产 生 S Q L 注 入 漏 洞 的 情 况 主 要 分 为 以 下 三 种 ： 1 、 模 糊 查 询 、 模 糊 查 询 在 这 种 情 况 下 使 用 # 程 序 会 报 错 ， 新 手 程 序 员 就 把 # 号 改 成 了 $ , 这 样 如 果 j a v a 代 码 层 面 没 有 对 用 户 输 入 的 内 容 做 处 理 势 必 会 产 生 S Q L 注 入 漏 洞 。 正 确 写 法 ： 2 、 、 i n   之 后 的 多 个 参 数 之 后 的 多 个 参 数 i n 之 后 多 个 i d 查 询 时 使 用 #   同 样 会 报 错 ， 正 确 用 法 为 使 用 f o r e a c h ， 而 不 是 将 # 替 换 为 $ 3 、 、 o r d e r   b y   之 后 之 后 这 种 场 景 应 当 在 J a v a 层 面 做 映 射 ， 设 置 一 个 字 段 / 表 名 数 组 ， 仅 允 许 用 户 传 入 索 引 值 。 这 样 保 证 传 入 的 字 段 或 者 表 名 都 < s e l e c t   i d = " q u e r y A l l "     r e s u l t M a p = " r e s u l t M a p " >     S E L E C T   *   F R O M   N E W S   W H E R E   I D   =   # { i d } < / s e l e c t > S e l e c t   *   f r o m   n e w s   w h e r e   t i t l e   l i k e   ‘ % # { t i t l e } % ’ s e l e c t   *   f r o m   n e w s   w h e r e   t i l e   l i k e   c o n c a t ( ‘ % ’ , # { t i t l e } ,   ‘ % ’ ) S e l e c t   *   f r o m   n e w s   w h e r e   i d   i n   ( # { i d s } ) i d   i n < f o r e a c h   c o l l e c t i o n = " i d s "   i t e m = " i t e m "   o p e n = " ( " s e p a r a t o s r = " , "   c l o s e = " ) " > # { i d s }   < / f o r e a c h >
在 白 名 单 里 面 。 需 要 注 意 的 是 在 m y b a t i s - g e n e r a t o r 自 动 生 成 的 S Q L 语 句 中 ， o r d e r   b y 使 用 的 也 是 $ ， 而 l i k e 和 i n 没 有 问 题 。 二 、 实 战 思 路 二 、 实 战 思 路 我 们 使 用 一 个 开 源 的 c m s 来 分 析 ， j a v a   s q l 注 入 问 题 适 合 使 用 反 推 ， 先 搜 索 x m l 查 找 可 能 存 在 注 入 的 漏 洞 点 → 反 推 到 D A O → 再 到 实 现 类 → 再 通 过 调 用 链 找 到 前 台 U R L ， 找 到 利 用 点 ， 话 不 多 说 走 起 1 、 、 i d e a 导 入 项 目 导 入 项 目 I d e a 首 页   点 击 G e t   f r o m   V e r s i o n   C o n t r o l ， 输 入 h t t p s : / / g i t e e . c o m / m i n g S o f t / M C M S . g i t 下 载 完 成 ， 等 待 m a v e n 把 项 目 下 载 完 成 2 、 搜 索 、 搜 索 $ 关 键 字 关 键 字 C t r l + s h i f t + F   调 出 F i n d   i n   P a t h ， 筛 选 后 缀 x m l ， 搜 索 $ 关 键 字
根 据 文 件 名 带 D a o 的 x m l 为 我 们 需 要 的 ， 以 I C o n t e n t D a o . x m l 为 例 ， 双 击 打 开 ， c t r l   + F   搜 索 $ , 查 找 到 1 6 个 前 三 个 为 数 据 库 选 择 ， 跳 过 ， 继 续 往 下 看 到 疑 似 o r d e r   b y   暂 时 搁 置
继 续 往 下 看 发 现 多 个 普 通 拼 接 ， 此 点 更 容 易 利 用 ， 我 们 以 此 为 例 深 入 ， 只 查 找 i d s 从 前 端 哪 里 传 入 3 、 搜 索 映 射 对 象 、 搜 索 映 射 对 象 M y b a t i s   的 s e l e c t   i d 对 应 要 映 射 的 对 象 名 ， 我 们 以 g e t S e a r c h C o u n t 为 关 键 字 搜 索 映 射 的 对 象
搜 到 了 I C o n t e n t D a o . j a v a , I C o n t e n t D a o i m p l . j a v a 和 M c m s A c t i o n . j a v a ， 分 别 对 应 映 射 的 对 象 ， 对 象 的 实 现 类 和 前 端 c o n t r o l e r ， 直 接 跳 转 到 c o n t r o l e r 类 发 现 只 有 c a t e g o r y I d s 与 目 标 参 数 i d s 相 似 ， 需 进 一 步 确 认 ， 返 回 到 I C o n t e n t D a o . j a v a 按 照 标 准 流 继 续 反 推
找 到 i d s 为 g e t S e a r c h C o u n t 的 最 后 一 个 参 数 ， a l t + f 7 查 看 调 用 链 调 转 到 C o n t e n t B i z I m p l ， 确 认 前 台 参 数 为 c a t e g o r y I d s 返 回 到 M c m s A c t i o n ， 参 数 由 B a s i c U t i l . g e t S t r i n g 接 收 ， 跟 进 B a s i c U t i l . g e t S t r i n g
继 续 跳 到 S p r i n g U t i l . g e t R e q u e s t ( ) ， 前 端 未 做 处 理 ， s q l 注 入 实 锤 4 、 漏 洞 确 认 、 漏 洞 确 认 项 目 运 行 起 来 ， 构 造 s q l 语 句 h t t p : / / l o c a l h o s t : 8 0 8 0 / m s - m c m s / m c m s / s e a r c h . d o ? c a t e g o r y I d = 1 % 2 7 ) % 2 0 % 2 0 o r + u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( S E L E C T + % 4 0 % 4 0 v e r s i o n ) , 0 x 7 e ) , 1 ) % 2 3   得 到 m y s q l 的 版 本 5 . 7 . 2 7 ， 验 证 注 入 存 在 。 三 、 总 结 三 、 总 结 以 上 就 是 m y b a t i s 的 s q l 注 入 审 计 的 基 本 方 法 ， 我 们 没 有 分 析 的 几 个 点 也 有 问 题 ， 新 手 可 以 尝 试 分 析 一 下 不 同 的 注 入 点 来
实 操 一 遍 ， 相 信 会 有 更 多 的 收 获 。 当 我 们 再 遇 到 类 似 问 题 时 可 以 考 虑 ： 1 、 M y b a t i s 框 架 下 审 计 S Q L 注 入 ， 重 点 关 注 在 三 个 方 面 l i k e ， i n 和 o r d e r   b y 2 、 x m l 方 式 编 写 s q l 时 ， 可 以 先 筛 选 x m l 文 件 搜 索 $ , 逐 个 分 析 ， 要 特 别 注 意 m y b a t i s - g e n e r a t o r 的 o r d e r   b y 注 入 3 、 M y b a t i s 注 解 编 写 s q l 时 方 法 类 似 4 、 j a v a 层 面 应 该 做 好 参 数 检 查 ， 假 定 用 户 输 入 均 为 恶 意 输 入 ， 防 范 潜 在 的 攻 击 * 本 文 作 者 ： 本 文 作 者 ： o f e i ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理