搜索

[11083] 2017-03-02_挖洞经验如何在一条UPDATE查询中实现SQL注入

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-03-02_挖洞经验如何在一条UPDATE查询中实现SQL注入 挖 洞 经 验   |   如 何 在 一 条 U P D A T E 查 询 中 实 现 S Q L 注 入 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 3 - 0 2 前 段 时 间 ， 我 在 对 前 段 时 间 ， 我 在 对 S y n a c k 漏 洞 平 台 上 的 一 个 待 测 试 目 标 进 行 测 试 的 过 程 中 发 现 了 一 个 非 常 有 意 思 的 漏 洞 平 台 上 的 一 个 待 测 试 目 标 进 行 测 试 的 过 程 中 发 现 了 一 个 非 常 有 意 思 的 S Q L 注 入 漏 洞 ， 所 以 我 注 入 漏 洞 ， 所 以 我 打 算 在 这 篇 文 章 中 好 好 给 大 家 介 绍 一 下 这 个 有 趣 的 漏 洞 。 打 算 在 这 篇 文 章 中 好 好 给 大 家 介 绍 一 下 这 个 有 趣 的 漏 洞 。 这 个 漏 洞 在 我 提 交 了 这 个 漏 洞 在 我 提 交 了 1 9 个 小 时 之 后 便 得 到 了 确 认 ， 并 且 漏 洞 奖 金 也 打 到 了 我 的 账 号 里 。 个 小 时 之 后 便 得 到 了 确 认 ， 并 且 漏 洞 奖 金 也 打 到 了 我 的 账 号 里 。 直 奔 主 题 直 奔 主 题 跟 往 常 一 样 ， 在 喝 完 我 最 爱 的 果 汁 饮 料 之 后 ， 我 会 习 惯 性 地 登 录 我 的 S y n a c k 账 号 ， 然 后 选 择 一 个 应 用 来 进 行 渗 透 测 试 ， 此 时 我 的 “ 黑 客 之 夜 ” 便 正 式 开 始 了 。 我 与 很 多 其 他 的 安 全 研 究 人 员 的 习 惯 一 样 ， 我 会 在 待 测 试 目 标 中 随 机 选 择 测 试 点 来 加 载 我 的 X S S   P a y l o a d （ 我 通 常 会 使 用 ’ ” > < i m g   s r c = x   o n e r r o r = a l e r t ( 2 )   x = 来 作 为 P a y l o a d ， 注 ： 开 头 是 一 个 单 引 号 ） 。 在 测 试 的 过 程 中 ， 我 的 这 个 P a y l o a d 让 其 中 一 个 测 试 点 返 回 了 一 个 “ 5 0 0   e r r o r ” ， 错 误 信 息 提 示 为 “ 系 统 遇 到 了 一 个 S Q L 错 误 ” ， 看 到 了 这 条 错 误 信 息 之 后 ， 我 瞬 间 就 兴 奋 起 来 了 ， 因 为 凭 我 之 前 的 经 验 来 看 ， 这 里 很 有 可 能 存 在 一 个 S Q L 注 入 漏 洞 。 根 据 系 统 返 回 的 错 误 信 息 来 看 ， 错 误 内 容 就 是 我 的 “ 用 户 全 名 （ F u l l   N a m e ） ” ， 所 以 我 赶 紧 切 回 刚 才 的 测 试 界 面 ， 然 后 用 t e s t ‘ t e s t 再 次 进 行 了 一 次 测 试 。 而 此 时 系 统 返 回 的 是 与 刚 才 一 模 一 样 的 错 误 内 容 ， 这 也 就 意 味 着 引 起 系 统 发 生 错 误 的 “ 罪 魁 祸 首 ” 就 是 P a y l o a d 中 的 那 个 单 引 号 。 了 解 到 这 一 关 键 信 息 之 后 ， 我 意 识 到 这 个 应 用 中 所 使 用 的 S Q L 查 询 语 句 并 没 有 对 单 引 号 进 行 转 义 ， 所 以 我 打 算 输 入 两 个 单 引 号 来 看
看 会 发 生 什 么 事 。 所 以 我 这 一 次 输 入 的 是 t e s t ” t e s t ， 使 我 感 到 震 惊 的 是 ， 这 一 次 系 统 并 没 有 提 示 任 何 的 错 误 信 息 ， 但 是 我 的 用 户 全 名 变 成 了 t e s t ’ t e s t ！ 由 于 这 个 存 在 注 入 点 的 文 本 域 是 用 来 编 辑 用 户 全 名 （ F u l l N a m e ） 的 ， 所 以 我 猜 这 个 存 在 漏 洞 的 查 询 语 句 为 U P D A T E 查 询 。 于 是 我 将 我 的 全 名 改 为 了 ’ + @ @ V E R S I O N   + ’ ， 然 后 重 新 加 载 页 面 之 后 ， 我 的 用 户 全 名 就 变 成 了 5 . 6 ， 而 不 出 意 外 的 话 ， 这 个 5 . 6 代 表 的 就 是 后 台 M y S Q L 数 据 库 的 版 本 号 了 。 需 要 注 意 的 是 ， 页 面 发 送 的 是 J S O N 请 求 ， 所 以 这 里 的 “ + ” 代 表 的 并 不 是 空 格 符 （ % 2 0 ） 。 随 后 ， 我 便 将 我 目 前 为 止 发 现 的 所 有 东 西 报 告 给 了 S y n a c k 的 管 理 团 队 ， 但 是 他 们 给 我 的 回 复 是 让 我 去 尝 试 进 一 步 利 用 这 个 漏 洞 并 从 数 据 库 中 提 取 出 数 据 。 并 非 一 帆 风 顺 并 非 一 帆 风 顺 但 是 仅 仅 通 过 这 个 S Q L 注 入 漏 洞 就 想 提 取 出 我 们 想 要 的 数 据 ， 似 乎 并 非 易 事 。 因 为 每 当 我 尝 试 提 取 出 一 个 字 符 串 数 据 时 ， 系 统 返 回 的 值 都 是 0 ， 因 为 M y S Q L 中 并 不 会 使 用 “ + ” 来 连 接 两 个 字 符 串 （ M y S Q L 会 尝 试 将 加 号 两 端 的 字 段 值 尝 试 转 换 为 数 字 类 型 ， 如 果 转 换 失 败 则 认 为 字 段 值 为 0 ） 。 如 果 这 个 测 试 对 象 使 用 的 是 S Q L   S e r v e r 的 话 ， 那 我 就 不 用 在 这 里 废 话 了 ， 因 为 我 可 以 直 接 用 “ + ” 来 连 接 两 个 字 符 串 。 比 如 说 ， 我 可 以 直 接 用 ’ x ' + @ @ V E R S I O N   +   ‘   x   ‘ 来 把 我 的 名 字 改 为 x 5 x （ 这 里 的 5 是 数 据 库 管 理 系 统 的 版 本 号 ） 。 但 问 题 就 在 于 这 是 一 个 M y S Q L 数 据 库 ， 而 在 M y S Q L 中 “ + ” 是 用 来 对 数 字 求 和 的 ， 所 以 ’ x ' + v e r s i o n ( ) + ’ x ' 返 回 的 是 5 . 6 ， 因 为 字 符 串 转 换 为 整 形 数 值 之 后 值 是 0 ， 所 以 这 就 相 当 于 是 0 + 5 . 6 + 0 ， 即 返 回 值 为 5 . 6 。
这 也 就 意 味 着 ， 类 似 ’ x ' + u s e r ( ) + ’ x ' 这 样 的 P a y l o a d 其 返 回 的 值 同 样 是 0 ， 因 为 用 户 的 名 字 肯 定 也 是 一 个 字 符 串 ， 而 正 如 我 之 前 所 解 释 的 那 样 ， 加 号 “ + ” 只 能 用 来 对 数 字 进 行 求 和 。 这 样 一 来 ， 如 果 我 们 想 要 从 这 个 数 据 库 中 提 取 出 字 符 串 的 值 ， 那 么 唯 一 有 可 能 的 方 法 就 是 将 其 转 换 成 数 字 再 进 行 提 取 了 ， 于 是 我 决 定 使 用 A S C I I ( ) 函 数 先 将 字 符 串 转 换 为 其 对 应 的 A S C I I 码 数 值 ， 然 后 将 这 些 值 提 取 出 来 之 后 再 把 它 们 转 换 为 明 文 信 息 。 比 如 说 ： ‘ +   l e n g t h ( u s e r ( ) )   #   – >   获 取 待 转 换 字 符 串 的 长 度 ‘ +   A S C I I ( s u b s t r ( u s e r ( ) , 1 ) )   #   – > 获 取 待 转 换 字 符 串 的 第 一 个 字 符 ‘ +   A S C I I ( s u b s t r ( u s e r ( ) , 2 ) )   #   – > 获 取 待 转 换 字 符 串 的 第 二 个 字 符 ‘ +   A S C I I ( s u b s t r ( u s e r ( ) , 3 ) )   #   – > 获 取 待 转 换 字 符 串 的 第 三 个 字 符 等 等 等 等 ， 以 此 类 推 … 但 是 问 题 又 来 了 ， 因 为 我 要 不 停 地 使 用 s u b s t r ( ) 函 数 来 截 取 字 符 串 中 的 每 一 个 字 符 ， 然 后 将 它 们 转 换 为 相 应 的 A S C I I 值 ， 然 后 再 将 它 们 转 换 回 字 符 串 的 明 文 形 式 ， 这 一 切 如 果 全 部 通 过 手 动 操 作 来 实 现 的 话 ， 就 完 全 不 符 合 我 们 黑 客 的 “ 人 生 观 ” 了 。 因 此 ， 我 打 算 写 一 个 简 单 的 P y t h o n 脚 本 来 自 动 提 取 并 转 换 这 些 字 符 串 。 脚 本 代 码 点 击 阅 读 原 文 可 见 。 那 么 在 这 个 脚 本 的 帮 助 下 ， 我 只 需 要 修 改 代 码 中 “ c o l u m n ” 、 “ t a b l e ” 以 及 “ o r d e r b y ” 变 量 的 值 ， 我 就 可 以 轻 而 易 举 地 从 这 个 数 据 库 中 提 取 出 任 何 我 想 要 的 数 据 了 。 下 面 这 张 截 图 显 示 的 是 用 户 当 前 可 以 访 问 到 的 数 据 库 信 息 ： 再 对 代 码 进 行 一 些 简 单 的 修 改 ， 我 就 可 以 使 用 A S C I I ( s u b s t r ( c o n c a t ( e m a i l _ a d d r e s s , 0 x 3 a , p a s s w o r d ) , i ) ) ) 来 提 取 出 用 户 的 邮 箱 地 址 以 及 登 录 密 码 了 。 修 改 后 的 代 码 如 下 ：
脚 本 的 运 行 结 果 如 下 所 示 ： 漏 洞 时 间 轴 漏 洞 时 间 轴
-   1 4 / 2 / 2 0 1 7   1 0 : 2 5   P M   – >   首 次 提 交 漏 洞 报 告 -   1 4 / 2 / 2 0 1 7   1 1 : 0 2   P M   – >   S y n a c k   O P s 团 队 让 我 尝 试 进 一 步 利 用 漏 洞 并 提 取 数 据 -   1 4 / 2 / 2 0 1 7   3 : 0 0   P M   – >   提 交 P y t h o n 脚 本 和 漏 洞 P o C -   1 5 / 2 / 2 0 1 7   1 0 : 2 2   A M   – >   提 交 了 更 多 漏 洞 参 数 信 息 -   1 5 / 2 / 2 0 1 7   3 : 2 8   P M   – >   得 到 了 丰 厚 的 漏 洞 奖 金 -   1 5 / 2 / 2 0 1 7   1 0 : 1 8   P M   – >   漏 洞 被 修 复 *   参 考 来 源 ： z o m b i e h e l p 5 4 ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理