搜索

[10823] 2016-12-13_安全科普：SQLiLabs指南（Part3）

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-12-13_安全科普：SQLiLabs指南（Part3） 安 全 科 普 ： S Q L i   L a b s   指 南 （ P a r t   3 ） h o u j i n g y i   F r e e B u f   2 0 1 6 - 1 2 - 1 3 F r e e b u f 上 有 两 篇 上 有 两 篇 S Q L i   L a b s 的 教 程 安 全 科 普 ： 的 教 程 安 全 科 普 ： S Q L i   L a b s   指 南 指 南   P a r t   1 和 安 全 科 普 ： 和 安 全 科 普 ： S Q L i   L a b s   指 南 指 南   P a r t   2 。 这 两 篇 教 程 只 讲 到 。 这 两 篇 教 程 只 讲 到 了 第 八 课 。 了 第 八 课 。 我 最 近 也 在 学 习 我 最 近 也 在 学 习 S Q L i   L a b s ， 接 合 ， 接 合 y o u t u b e 上 作 者 的 视 频 教 程 和 网 上 的 一 些 资 料 ， 自 己 做 了 后 面 的 一 些 课 程 ， 想 发 出 来 和 大 上 作 者 的 视 频 教 程 和 网 上 的 一 些 资 料 ， 自 己 做 了 后 面 的 一 些 课 程 ， 想 发 出 来 和 大 家 一 起 学 习 交 流 。 家 一 起 学 习 交 流 。 作 者 应 该 是 在 出 了 视 频 教 程 之 后 又 对 课 程 进 行 了 一 些 修 改 但 是 没 有 再 传 新 的 视 频 ， 所 以 现 在 从 g i t h u b 上 下 载 到 的 最 新 版 的 课 程 和 视 频 教 程 有 一 些 不 一 样 的 地 方 。 希 望 大 家 一 定 看 完 前 面 的 教 程 再 看 这 一 篇 教 程 ， 后 面 的 课 程 都 是 在 前 面 的 课 程 基 础 之 上 变 化 而 来 ， 前 面 提 到 过 的 后 面 就 不 再 讲 了 。 本 人 也 是 刚 刚 接 触 S Q L 注 入 ， 才 疏 学 浅 ， 文 中 若 有 错 误 疏 漏 之 处 ， 恳 请 不 吝 赐 教 。 点 击 阅 读 原 文 查 看 我 自 己 写 的 前 八 课 的 教 程 ： （ 参 考 了 y o u t u b e 的 视 频 和 别 人 写 的 解 答 ） s q l i - l a b s 学 习 教 程 ( 一 ) s q l i - l a b s 学 习 教 程 ( 二 ) s q l i - l a b s 学 习 教 程 ( 三 ) 搭 建 环 境 ： x p   s p 3 虚 拟 机 + x a m p p 使 用 工 具 ： f i r e f o x 浏 览 器 + h a c k b a r 插 件 + t a m p e r   d a t a 插 件 + C o o k i e   E d i t o r 插 件 第 九 课 ： 第 九 课 ： G E T   –   B l i n d   –   T i m e   b a s e d   –   S i n g l e   Q u o t e s ( 基 于 时 间 基 于 时 间 - 单 引 号 单 引 号 - 盲 注 盲 注 ) 这 一 课 我 们 发 现 ， 加 不 加 单 引 号 页 面 返 回 的 信 息 都 是 一 样 的 。
看 一 下 代 码 。 果 然 ， 不 论 输 入 是 什 么 ， 返 回 的 结 果 都 是 一 样 的 。 这 里 就 要 使 用 基 于 时 间 的 盲 注 方 法 了 。 在 m y s q l 中 i f ( c o n d i t i o n , A , B ) 表 示 当 c o n d i t i o n 为 t r u e 时 ， 返 回 ； 当 c o n d i t i o n 为 f a l s e 时 ， 返 回 B 。 因 此 我 们 可 以 构 造 下 面 的 查 询 。 如 果 数 据 库 名 的 第 一 个 字 母 a s c i i 值 大 于 1 2 0 ， 则 立 即 返 回 结 果 ； 否 则 1 0 秒 之 后 才 返 回 结 果 。
我 们 当 然 可 以 这 样 手 工 猜 解 数 据 库 名 ， 表 名 ， 列 名 … … 也 可 以 自 己 编 写 脚 本 来 完 成 。 通 过 s q l i - l a b s 学 习 s q l 注 入 — — 基 础 挑 战 之 l e s s 1 - 1 0 这 篇 博 客 中 给 出 了 第 八 课 的 p y t h o n 脚 本 ， 我 稍 稍 修 改 了 一 下 来 完 成 第 九 课 。 详 情 点 击 阅 读 原 文 。 效 果 是 这 样 的 。 代 码 水 平 不 高 ， 让 大 家 见 笑 了 。 因 为 是 安 装 的 虚 拟 机 ， 基 本 不 存 在 延 时 的 问 题 ， 所 以 查 询 语 句 中 写 的 是 s l e e p ( 0 . 1 ) 。 如 果 写 成 s l e e p ( x ) 那 么 判 断 条 件 最 好 比 x 小 一 点 ， 比 如 我 这 里 是 s l e e p ( 0 . 1 ) 但 是 只 要 时 间 差 0 . 0 8 秒 以 上 就 认 为 s l e e p ( 0 . 1 ) 执 行 了 。 因 为 运 行 环 境 什 么 的 都 不 一 样 ， 可 能 s q l 语 句 里 面 写 的 s l e e p ( 0 . 1 ) 结 果 时 间 差 算 出 来 是 零 点 零 九 几 秒 。 第 十 课 ： 第 十 课 ： G E T   –   B l i n d   –   T i m e   b a s e d   –   d o u b l e   q u o t e s ( 基 于 时 间 基 于 时 间 - 双 引 号 双 引 号 - 盲 注 盲 注 ) 这 里 把 单 引 号 改 成 双 引 号 就 可 以 ， 脚 本 同 样 改 改 就 行 。
第 十 一 课 ： 第 十 一 课 ： P O S T   –   E r r o r   B a s e d   –   S i n g l e   q u o t e s   –   S t r i n g ( 基 于 错 误 基 于 错 误 - 单 引 号 单 引 号 - 字 符 串 字 符 串 ) 输 一 个 单 引 号 ， 错 误 信 息 如 图 所 示 。 那 么 我 们 可 以 得 出 S Q L 语 句 应 该 是 s e l e c t   *   f r o m   w h e r e   u s e r n a m e = ”   a n d   p a s s w o r d = ”   L I M I T   0 , 1 。 注 入 1 ′   o r   1 = 1   # 试 试 。
果 然 以 用 户 名 D u m b ， 密 码 D u m b 成 功 登 录 了 。 接 下 来 猜 字 段 。 注 入 1 ′   o r d e r   b y   3 # 试 试 。 注 入 1 ′   o r d e r   b y   2 # 。 这 次 没 有 报 错 ， 说 明 有 两 列 ， 也 就 是 说 S Q L 语 句 是 s e l e c t   c o l 1 , c o l 2   f r o m   w h e r e   u s e r n a m e = ”   a n d   p a s s w o r d = ”   L I M I T   0 , 1 。
查 询 数 据 库 名 和 版 本 ， 注 入 1 ′   u n i o n   s e l e c t   d a t a b a s e ( ) , v e r s i o n ( )   # 试 试 。 爆 表 名 ， 注 入 1 ′   u n i o n   s e l e c t   1 , t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = ’ s e c u r i t y ’   l i m i t   0 , 1 # 试 试 。
拿 到 了 第 一 个 表 名 。 后 面 就 和 前 几 课 一 样 了 ， 再 次 希 望 大 家 从 第 一 课 开 始 做 起 ， 可 以 参 考 我 在 文 章 开 头 给 出 的 链 接 、 f r e e b u f 上 以 前 的 教 程 和 y o u t u b e 上 的 视 频 资 料 等 等 。 第 十 二 课 ： 第 十 二 课 ： P O S T   –   E r r o r   B a s e d   –   D o u b l e   q u o t e s   –   S t r i n g   –   w i t h   t w i s t ( 基 于 错 误 基 于 错 误 - 双 引 号 双 引 号 - 字 符 串 字 符 串 - 括 号 括 号 ) 输 一 个 单 引 号 ， 没 有 任 何 返 回 结 果 。 输 入 一 个 双 引 号 ， 错 误 信 息 如 图 所 示 。
那 么 我 们 可 以 得 出 S Q L 语 句 应 该 是 s e l e c t   *   f r o m   w h e r e   u s e r n a m e = ( “ ” )   a n d   p a s s w o r d = ( “ ” )   L I M I T   0 , 1 。 注 入 1 ″ )   o r   1 = 1   # 试 试 。 果 然 以 用 户 名 D u m b ， 密 码 D u m b 成 功 登 录 了 。 接 下 来 猜 字 段 什 么 的 和 前 面 一 样 ， 就 不 再 重 复 了 。 第 十 三 课 ： 第 十 三 课 ： P O S T   –   D o u b l e   I n j e c t i o n   –   S i n g l e   q u o t e s   –   S t r i n g   –   w i t h   t w i s t ( 双 注 入 双 注 入 - 单 引 号 单 引 号 - 字 符 串 字 符 串 - 括 号 括 号 ) 输 一 个 单 引 号 ， 错 误 信 息 如 图 所 示 。
那 么 我 们 可 以 得 出 S Q L 语 句 应 该 是 s e l e c t   *   f r o m   w h e r e   u s e r n a m e = ( ” )   a n d   p a s s w o r d = ( ” )   L I M I T   0 , 1 。 注 入 1 ′ )   o r   1 = 1   # 试 试 。 为 什 么 没 有 结 果 呢 ， 因 为 这 里 和 第 五 课 一 样 ， 登 录 成 功 以 后 不 返 回 用 户 名 和 密 码 。 那 么 我 们 这 里 用 的 办 法 和 第 五 课 一 样 了 ， 注 入 1 ′ ) a n d   ( s e l e c t   c o u n t ( * ) , c o n c a t ( 0 x 3 a , 0 x 3 a , ( s e l e c t   d a t a b a s e ( ) ) , 0 x 3 a , 0 x 3 a , f l o o r ( r a n d ( ) * 2 ) )   a s   a   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   g r o u p   b y   a )   # 试 试 。
返 回 的 错 误 信 息 是 O p e r a n d   s h o u l d   c o n t a i n   1   c o l u m n ( s ) ， 也 就 是 说 只 能 返 回 一 列 。 注 入 1 ′ )   a n d   ( s e l e c t   1   f r o m ( s e l e c t   c o u n t ( * ) , c o n c a t ( 0 x 3 a , 0 x 3 a , ( s e l e c t   d a t a b a s e ( ) ) , 0 x 3 a , 0 x 3 a , f l o o r ( r a n d ( ) * 2 ) )   a s   a   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   g r o u p   b y   a ) )   # 试 试 。 返 回 的 错 误 信 息 是 E v e r y   d e r i v e d   t a b l e   m u s t   h a v e   i t s   o w n   a l i a s ， 也 就 是 说 每 个 派 生 出 来 的 表 都 必 须 有 一 个 自 己 的 别 名 。 注 入 1 ′ )   a n d   ( s e l e c t   1   f r o m ( s e l e c t   c o u n t ( * ) , c o n c a t ( 0 x 3 a , 0 x 3 a , ( s e l e c t   d a t a b a s e ( ) ) , 0 x 3 a , 0 x 3 a , f l o o r ( r a n d ( ) * 2 ) )   a s   a   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   g r o u p   b y   a ) b )   # 试 试 。 可 能 要 多 试 几 次 ， 因 为 r a n d 不 设 置 种 子 的 话 产 生 的 序 列 是 随 机 的 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理