搜索

[13475] 2018-11-29_SQL注入常规Fuzz全记录

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-11-29_SQL注入常规Fuzz全记录 S Q L 注 入 常 规 F u z z 全 记 录 C o n a n   F r e e B u f   2 0 1 8 - 1 1 - 2 9 前 言 前 言 本 篇 文 章 是 在 做 本 篇 文 章 是 在 做 c t f   b u g k u 的 一 道 的 一 道 s q l   盲 注 的 题 （ 题 目 地 址 盲 注 的 题 （ 题 目 地 址 : 注 入 题 目 ） 中 运 用 了 注 入 题 目 ） 中 运 用 了 f u z z 的 思 路 ， 完 整 记 录 整 个 的 思 路 ， 完 整 记 录 整 个 f u z z 的 的 过 程 ， 给 师 傅 们 当 点 心 ， 方 便 大 家 加 深 对 过 程 ， 给 师 傅 们 当 点 心 ， 方 便 大 家 加 深 对 w e b   s q l 注 入 注 入   f u z z 的 理 解 。 的 理 解 。 进 入 主 题 进 入 主 题 1 . 访 问 题 目 ， 是 个 典 型 的 登 录 框
2 . 尝 试 输 入 a d m i n / 1 2 3 4 5 6 , 提 示 密 码 错 误 ， 因 此 可 以 确 定 存 在 用 户 a d m i n ， 这 里 可 能 会 有 师 傅 要 爆 破 了 ， 但 这 里 题 目 要 求 s q l 注 入 ， 我 们 就 按 照 预 期 解 来 吧 。 3 . 我 自 己 写 了 个 简 单 的 f u z z   b u r p 插 件 ， 先 将 登 陆 请 求 包 发 送 到 插 件 扫 描 ， 可 以 看 到 是 存 在 盲 注 的 ， p a y l o a d 的 形 式 为 : 4 . f u z z ( 1 ) 从 p a y l o a d 的 形 式 可 以 猜 测 题 目 应 该 是 过 滤 了 注 释 符 ( - - + 和 # ) ( 2 ) f u z z 一 遍 特 殊 字 符 ， 看 看 过 滤 了 什 么 当 存 在 过 滤 的 字 符 时 ， 响 应 包 是 这 样 的
因 此 可 以 作 为 f u z z 的 判 断 ( 当 然 有 些 w a f 是 静 默 w a f , 就 是 照 样 接 收 你 的 数 据 但 自 己 做 了 处 理 ， 返 回 正 常 页 面 ， 这 种 f u z z 的 判 断 有 时 候 就 需 要 设 计 下 你 的 p a y l o a d ， 这 种 在 以 后 的 文 章 继 续 讨 论 ) f u z z 特 殊 字 符 ， 结 果 如 下 ， 可 以 看 到 长 度 为 3 7 0 的 是 被 w a 了 的 ， 过 滤 了 相 当 多 的 字 符 ， 特 别 是 内 联 注 释   注 释 符   空 格 % 0 a   % 0 b   % 0 d   % a 0 这 些 比 较 常 用 的 绕 过 关 键 组 件 ， 尤 其 注 意 过 滤 了 逗 号 ( 3 ) f u z z 一 遍 关 键 字 ， 过 滤 了 a n d   o r   o r d e r   u n i o n   f o r   等 等 , 因 此 取 数 据 常 用 的 m i d (   x x   f r o m   x x   f o r   x x ) 就 不 能 用 了 ， 之 前 逗 号 也 被 过 滤 了 也 就 不 能 用 m i d ( x x , 1 , 1 ) 。
( 4 ) f u z z 函 数 名 和 操 作 符 ( 由 于 插 件 的 扫 描 结 果 没 有 过 滤 s l e e p , 直 觉 上 是 没 有 对 函 数 做 过 滤 )
不 出 意 外 ， 确 实 是 只 有 包 含 关 键 字 o r   a n d 等 的 函 数 被 w a 了 ， 其 他 基 本 没 有 ， 其 实 这 里 我 们 也 可 以 联 想 到 跑 表 经 常 要 用 的 i n f o r m a t i o n s c h e m a 表 是 存 在 o r 关 键 字 的 ， 因 此 后 面 构 造 语 句 的 时 候 也 就 不 能 直 接 用 i n f o r m a t i o n s c h e m a ( 5 ) 尝 试 用 时 间 盲 注 跑 数 据 由 于 不 能 用 逗 号 需 要 变 为 但 空 格 也 被 过 滤 了 ， 需 要 用 括 号 代 替 空 格 （ / ! /   空 格   t a b   % a 0   % 0 d % 0 a 均 被 过 滤 了 ） 最 后 本 地 测 试 的 时 候 发 现 c a s e   w h e n 之 间 不 能 用 括 号 ， 做 一 下 字 符 f u z z ， 从 % 0 0 到 % f f i f ( 1 = 1 , s l e e p ( 5 ) , 0 ) C A S E   W H E N   ( 1 = 1 )   T H E N   ( s l e e p ( 5 ) )   E L S E   ( 2 )   E N D ( C A S E   W H E N ( 1 = 1 ) T H E N ( s l e e p ( 1 ) ) E L S E ( 1 ) E N D ) ;
可 以 看 到 结 果 是 确 实 不 行 ， 并 不 能 产 生 延 时 ( 有 的 直 接 被 w a , 有 的 没 被 w a 但 s q l 语 句 无 法 生 效 ) ， 因 此 基 本 可 以 确 认 不 能 用 时 间 盲 注 跑 数 据 ， 于 是 我 们 只 能 考 虑 布 尔 盲 注 ( 6 ) 尝 试 布 尔 盲 注 由 于 无 法 使 用 i f 或 者 c a s e / w h e n , 只 能 使 用 题 目 自 带 的 b o o l 盲 注 做 逻 辑 判 断 ( = )   比 如 我 们 一 开 始 就 注 意 到 存 在 a d m i n 用 户 ， 改 造 插 件 的 p a y l o a d :   ' + s l e e p ( 5 ) + '   ( 注 意 把 + 换 为 % 2 b ) 这 里 是 m y s q l 的 一 个 特 性 ， 可 能 有 不 明 白 的 师 傅 ， 可 以 做 下 实 验 前 者 为 1 后 者 为 0 ， 先 对 右 边 的 等 式 做 运 算 ， 发 生 强 制 转 换 ， 结 果 为 数 字 ， 然 后 再 和 左 边 的 a d m i n 字 符 做 比 较 ， 又 发 生 了 强 制 转 换 ， 因 此 出 现 1 和 0 的 区 别 。 这 样 子 我 们 就 解 决 了 布 尔 盲 注 的 判 断 了 ( 7 ) 解 决 下 跑 数 据 的 问 题 这 里 不 能 用 m i d ( x x x , 1 , 1 ) 也 不 能 用 m i d ( x x x   f r o m   1   f o r   1 ) , 但 查 手 册 发 现 可 以 使 用 m i d ( x x x   f r o m   1 ) , 表 示 从 第 一 位 开 始 取 剩 下 的 所 有 字 符 , 取 a s c i i 函 数 的 时 候 会 发 生 截 断 ， 因 此 利 用 a s c i i ( m i d ( x x x   f r o m   1 ) ) 可 以 取 第 一 位 的 a s c i i 码 ， a s c i i ( m i d ( x x x f r o m   2 ) ) 可 以 取 第 二 位 的 a s c i i ， 依 次 类 推 a d m i n ' + 1 + '   ( f a l s e , 注 意 把 + 换 为 % 2 b ) a d m i n ' + 0 + '   ( t r u e , 注 意 把 + 换 为 % 2 b ) s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = ' a d m i n ' + 1 + ' '   a n d   p a s s w d = ' 1 2 3 4 5 6 ' ; ( 为 f a l s e )   = = > 提 示 用 户 名 错 误 s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = ' a d m i n ' + 0 + ' '   a n d   p a s s w d = ' 1 2 3 4 5 6 ' ; ( 为 t r u e )   = = > 提 示 密 码 错 误 s e l e c t   ' a d m i n ' = ' a d m i n ' + 0   u n i o n   s e l e c t   ' a d m i n ' = ' a d m i n ' + 1 ;
( 8 ) b u r p 跑 数 据 a . 判 断 p a s s w d 字 段 的 长 度 :   跑 出 长 度 为 3 2 ( 这 里 可 以 猜 字 段 ， 根 据 p o s t 请 求 包 中 的 p a s s w d 猜 测 数 据 库 的 字 段 应 该 也 是 p a s s w d ， 这 样 就 可 以 不 用 去 跑 i n f o r m a t i o n _ s c h e m a ， 直 接 在 登 陆 查 询 语 句 中 获 取 p a s s w d ) b . 跑 第 一 位 这 里 的 p a y l o a d 我 用 的 不 是 上 面 的 ， 从 最 后 面 开 始 倒 着 取 数 据 然 后 再 r e v e r s e 一 下 ， 那 时 候 做 题 没 转 过 弯 ， 其 实 都 一 样 的 , 用 下 面 的 p a y l o a d 的 好 处 是 假 如 a s c i i 不 支 持 截 断 的 情 况 下 是 不 会 报 错 的 ( 用 于 其 他 数 据 库 的 时 候 ) 用 这 一 个 也 可 以 的 a d m i n ' - ( l e n g t h ( p a s s w d ) = 4 8 ) - ' = a d m i n ' - ( a s c i i ( m i d ( R E V E R S E ( M I D ( ( p a s s w d ) f r o m ( - 1 ) ) ) f r o m ( - 1 ) ) ) = 4 8 ) - ' = a d m i n ' - ( a s c i i ( m i d ( p a s s w d ) f r o m ( 1 ) ) = 4 8 ) - '
重 复 上 述 操 作 修 改 偏 移 ， 即 可 获 取 3 2 位 密 码 0 0 5 b 8 1 f d 9 6 0 f 6 1 5 0 5 2 3 7 d b b 7 a 3 2 0 2 9 1 0 解 码 得 到 a d m i n 1 2 3 ， 登 陆 即 可 获 取 f l a g , 到 这 里 解 题 过 程 结 束 。 总 结 总 结 1 . 上 述 用 到 的 f u z z 字 典 均 可 在 s q l m a p 的 字 典 以 及 m y s q l 官 方 手 册 中 收 集 2 . 这 里 仅 仅 是 常 规 的 f u z z ， 但 大 多 数 f u z z 其 实 都 是 相 通 的 ， 主 要 是 f u z z 的 判 断 ， f u z z 的 位 置 , f u z z   p a y l o a d 的 构 造 技 巧 等 等 3 . 欢 迎 各 位 大 师 傅 一 起 交 流 讨 论 ！ * 本 文 作 者 ： 本 文 作 者 ： C o n a n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理