搜索

[18636] 2021-07-30_一次SQL注入代审简记

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-30_一次SQL注入代审简记 一 次 S Q L 注 入 代 审 简 记 原 创   来 复 枪 安 全   h e r e 4 0 4   2 0 2 1 - 0 7 - 3 0 收 录 于 话 题   # 代 码 审 计   , 6 个 0 x 0 0   事 件 背 景 事 件 背 景 搞 渗 透 测 试 的 系 统 ， 挺 难 受 的 ， 多 处 上 传 白 名 单 ， X S S 做 了 过 滤 。 最 终 点 点 点 ， 找 到 了 一 个 隐 藏 比 较 深 的 上 传 ， 应 该 是 老 旧 功 能 了 ， 明 显 跟 其 他 上 传 点 不 可 能 用 同 一 个 逻 辑 。 直 接 上 传 ， 梭 哈 ， 拿 到 了 s h e l l 。 之 前 的 测 试 也 比 较 充 分 ， 没 有 其 他 功 能 缺 陷 。 s h e l l 后 发 现 根 目 录 下 存 在 源 码 压 缩 包 。 勇 敢 牛 牛 ， 不 怕 困 难 ， 安 服 仔 冲 起 来 代 码 审 计 一 波 。 0 x 0 1   审 计 过 程 审 计 过 程 解 压 代 码 包 后 用 j d g u i 打 开 c l a s s 路 径 ， 如 下 显 然 系 统 使 用 了 m y b a t i s ， 直 奔 查 询 $ 符 号 。 直 接 在 n o t e p a d + + 打 开 搜 索 功 能 ， 在 * . x m l 搜 索 $ 。 第 一 处 使 用 $ 符 号 （ 1 处 ）
发 生 在 o r d e r   b y 处 位 置 （ 2 处 ） 多 个 x m l 文 件 中 ， 只 有 上 述 两 个 地 方 使 用 了 $ 拼 接 字 符 串 。 针 对 1 处 使 用 i d 进 行 回 溯 ， 直 接 找 到 c o n t r o l l e r 中 的 入 口 。 然 后 去 寻 找 前 端 的 出 发 点 ， 一 开 始 直 接 在 b u r p 的 h i s t o r y 寻 找 相 应 接 口 ， 发 现 未 能 触 发 。 然 后 直 接 在 整 个 源 码 搜 索 ， 在 前 端 找 到 了 接 口 调 用 j s 代 码 ， p o s t 方 式 提 交 ， 使 用 单 个 参 数 c o m T y p e 。 至 此 ， 构 造 好 b p 中 的 r e p e a t 请 求 包 ， 开 始 构 造 注 入 的 p a y l o a d 进 行 复 测 。 0 x 0 2   复 现 过 程 复 现 过 程 一 开 始 ， 单 引 号 可 以 直 接 注 入 ， 使 用 了 多 个 p a y l o a d 如 1 ' ， 发 现 系 统 未 有 异 常 抛 出 ， 正 常 返 回 空 结 果 。 1 ' o r ' 1 ' = ' 1 ， 系 统 仍 为 空 结 果 ， 上 述 类 似 。 1 ' o r ' 1 ' = ' 2   上 述 类 似 。 '   a n d   i f ( 1 = 0 , 1 ,   s l e e p ( 1 0 ) )   延 时 未 能 执 行 。
同 时 或 许 是 提 交 数 据 包 次 数 过 多 ， 环 境 中 的 学 习 型 设 备 开 始 拦 截 ' 等 注 入 ， 至 此 无 法 准 确 判 断 是 否 存 在 注 入 漏 洞 。 再 次 观 察 1 处 代 码 ， 发 现 使 用 ' $ { c o m T y p e } ' , 单 引 号 包 裹 有 点 蒙 ， 进 一 步 了 解 ， 发 现 确 实 是 拼 接 用 法 ， 但 不 明 白 为 何 延 时 无 法 执 行 。 此 时 因 为 设 备 拦 截 作 用 ， 较 难 以 直 接 重 发 数 据 包 利 用 ， 尝 试 绕 过 未 果 。 继 续 走 读 代 码 ， 发 现 存 在 l o g 功 能 ， 直 接 在 l o g 查 找 发 现 p a y l o a d 已 经 注 入 到 数 据 库 ， 并 且 在 库 中 执 行 ， 虽 未 深 度 利 用 ， 但 可 以 确 认 该 功 能 查 询 认 存 在 注 入 漏 洞 。 只 能 怪 自 己 太 菜 。 0 x 0 3   注 入 分 析 注 入 分 析 后 续 一 直 好 奇 延 迟 注 入 为 何 没 有 执 行 。 继 续 分 析 ， 发 现 所 查 询 数 据 表 为 空 。 此 种 情 况 ， 直 接 注 入 p a y l o a d 方 式 ， 无 论   o r / a n d   s l e e p ( 3 ) , 后 续 s l e e p 均 未 能 执 行 。 最 终 在 无 设 备 拦 截 情 况 下 ， 所 查 询 表 为 空 ， 仅 可 利 用 该 形 式 触 发 延 时 注 入 S E L E C T   *   F R O M   a a g g g g   W H E R E   i d   i s   n u l l   a n d   s c h o o l _ i d   = ' 1 '   u n i o n   s e l e c t   n u l l , n u l l , n u l l , n u l l , n u l l , n u l l , n u l l , n u l l , n u l l , s l e e p ( 3 ) 如 下 为 相 关 语 句 测 试 执 行 性 能 分 析
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理