搜索

[16378] 2021-01-29_构造基于时间的盲注漏洞（Time-BasedSQLi）

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-01-29_构造基于时间的盲注漏洞（Time-BasedSQLi） 构 造 基 于 时 间 的 盲 注 漏 洞 （ T i m e - B a s e d   S Q L i ） c l o u d s   F r e e B u f   2 0 2 1 - 0 1 - 2 9 某 天 ， 当 我 参 与 某 某 天 ， 当 我 参 与 某 个 漏 洞 众 测 项 目 中 ， 偶 尔 发 现 之 前 一 个 从 未 见 过 的 子 域 名 网 站 ， 因 此 我 决 定 深 入 测 试 一 下 。 该 网 站 主 界 面 是 一 个 漏 洞 众 测 项 目 中 ， 偶 尔 发 现 之 前 一 个 从 未 见 过 的 子 域 名 网 站 ， 因 此 我 决 定 深 入 测 试 一 下 。 该 网 站 主 界 面 是 一 个 登 录 页 面 ， 开 放 了 用 户 注 册 功 能 ， 所 以 我 就 注 册 了 一 个 账 户 ， 最 后 试 出 了 一 个 时 间 盲 注 来 。 个 登 录 页 面 ， 开 放 了 用 户 注 册 功 能 ， 所 以 我 就 注 册 了 一 个 账 户 ， 最 后 试 出 了 一 个 时 间 盲 注 来 。 在 查 看 该 网 站 过 程 中 ， 我 发 现 其 中 还 有 一 个 搜 索 功 能 ， 我 尝 试 进 行 了 X S S ， 但 是 无 效 。 当 时 ， 我 根 本 没 想 着 去 测 试 S Q L 注 入 漏 洞 ， 因 为 我 觉 得 开 发 人 员 应 该 部 署 了 完 善 的 过 滤 措 施 ， 不 可 能 存 在 注 入 漏 洞 。 但 是 ， 其 中 的 点 击 按 钮 引 起 了 我 的 注 意 ， 即 当 你 点 击 其 中 的 引 用 标 题 （ 如 引 用 I D 、 类 型 等 ） 后 ， 会 出 现 一 些 调 用 异 常 。 漏 洞 发 现 漏 洞 发 现 比 如 ， 点 击 之 后 ， 用 户 当 前 的 U R L 链 接 会 被 跳 转 到 ? o r d e r = t y p e & o r d e r i n g = A S C & s e a r c h = 路 径 下 ， 这 里 的 A S C 参 数 看 着 好 眼 熟 ， 其 后 台 数 据 库 的 查 询 语 句 可 能 会 是 这 样 的 ： S E L E C T   *   F R O M   r e f e r r a l s   O R D E R   B Y   t y p e   A S C ” ， 我 立 马 用 单 引 号 ’ 测 试 了 一 下 S Q L 注 入 问 题 ， 即 把 其 中 的 o r d e r = t y p e 变 成 o r d e r = t y p e ’ ， 之 后 让 我 惊 讶 的 是 ， 服 务 端 响 应 回 来 了 5 0 0 的 报 错 ， 看 来 离 S Q L 注 入 漏 洞 接 近 了 ！ 然 后 ， 我 想 到 了 基 于 u n i o n 的 s q l 注 入 一 次 性 转 储 ( d u m p   i n   o n e   s h o t   f o r   u n i o n   b a s e d   S Q L   I n j e c t i o n ) ， 但 在 我 尝 试 了 好 一 会 儿 也 实 现 不 了 联 合 式 查 询 u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 … 1 8 — + - ， 只 能 实 现 o r d e r   b y   1 8 的 查 询 ， 这 虽 然 能 证 明 S Q L 注 入 漏 洞 的 存 在 ， 但 威 胁 性 还 远 远 不 够 。 得 想 办 法 从 后 台 数 据 库 中 获 取 点 东 西 出 来 。 反 复 尝 试 不 同 P a y l o a d 之 后 ， 我 发 现 在 O R D E R   B Y   语 句 后 的 U N I O N   S E L E C T 查 询 是 不 可 行 的 ， 因 为 其 后 台 数 据 库 的 查 询 语 句 估 计 是 这 样 的 - S E L E C T   *   F R O M   r e f e r r a l s   O R D E R   B Y   t y p e   A S C ” ， 所 以 u n i o n   b a s e d   S Q L   类 型 的 注 入 是 不 行 的 。 那 就 试 试 报 错 型 或 基 于 时 间 的 盲 注 吧 。 先 是 报 错 型 ， 服 务 端 总 是 返 回 一 个 带 5 0 0 状 态 的 空 白 页 面 ， 没 有 额 外 信 息 ， 因 此 排 除 。 最 后 只 剩 下 基 于 时 间 的 盲 注 T i m e - B a s e d   S q l 注 入 了 。
在 用 相 关 的 时 间 盲 注 P a y l o a d 尝 试 了 M y S Q L ,   M S S Q L ,   和 P o s t g r e S Q L 之 后 都 无 果 ， 尽 管 我 在 我 本 地 虚 拟 机 上 测 试 是 有 效 的 ， 但 是 在 该 网 站 中 却 连 以 下 最 基 本 的 P a y l o a d 都 无 效 ： s l e e p ( 1 0 ) — b e n c h m a r k ( 1 0 0 0 0 0 0 0 0 0 , m d 5 ( 1 ) ) — p g _ s l e e p ( 1 0 ) — ;   W A I T F O R   D E L A Y   ‘ 0 0 : 0 0 : 1 0 ’ ; — 构 造 构 造 P a y l o a d 我 想 ， 难 道 是 后 面 有 W A F ， 之 后 我 又 尝 试 了 一 遍 W A F 绕 过 技 巧 ， 无 望 。 难 道 是 其 数 据 库 禁 用 了 类 似 s l e e p ( ) 或 b e n c h m a r k ( )   的 方 法 函 数 ？ 能 否 用 其 它 方 式 来 测 试 T i m e - B a s e d   S q l 注 入 ？ 然 后 我 尝 试 了 b o o l e a n   b a s e d   b l i n d 的 P a y l o a d - i f ( 1 = 1 , 1 , ( s e l e c t   1   u n i o n   s e l e c t   2 ) ) ， 因 为 若 出 现 S Q L 错 误 ， 其 网 站 服 务 端 就 会 返 回 5 0 0 报 错 页 面 ； 这 里 ， 我 猜 想 ， 如 果 这 里 的 1 = 1 则 其 服 务 端 应 该 会 返 回 2 0 0 状 态 ； 如 果 用 i f ( 1 > 2 , 1 , ( s e l e c t   1   u n i o n s e l e c t   2 ) ) ， 则 其 服 务 端 应 该 会 返 回 5 0 0 ， 这 完 全 是 基 于 查 询 语 句 “ S E L E C T   *   F R O M   r e f e r r a l s   O R D E R   B Y   ( s e l e c t   1 u n i o n   s e l e c t   2 )   A S C ” 的 猜 想 。 但 结 果 是 = , <   和   > 貌 似 都 被 拦 截 了 。 我 都 快 要 放 弃 了 ， 此 时 我 又 想 到 了 能 否 从 P a y l o a d 中 入 手 获 取 一 下 数 据 库 版 本 呢 ？ 我 好 像 记 得 ， 在 类 似 S Q L / ! 5 0 0 0 0 C o m m e n t s / 这 样 的 范 式 中 ， 若 S Q L 版 本 至 少 为 5 . 0 0 . 0 0 时 ， S Q L 就 会 执 行 其 中 的 P a y l o a d 。 也 就 是 说 ， 如 果 后 台 数 据 库 版 本 至 少 为 5 . 0 . 0 ， 那 么 按 照 这 种 方 式 构 造 / ! 5 0 0 0 0 s o m e I n v a l i d S Q L S y n t a x / 范 式 ， 则 其 应 该 返 回 5 0 0 的 报 错 ； 如 果 其 后 台 数 据 库 版 本 小 于 5 . 0 . 0 ， 则 会 返 回 一 个 正 常 页 面 。 就 用 B u r p   I n t r u d e r 来 枚 举 一 下 吧 ， 我 构 造 了 以 下 版 本 精 确 到 小 数 字 的 数 字 P a y l o a d ： / ! 5 0 7 3 1 s o m e I n v a l i d S Q L S y n t a x /   r e t u r n s   a n   e r r o r   5 0 0 / ! 5 0 7 3 2 s o m e I n v a l i d S Q L S y n t a x /   r e t u r n s   a   s u c c e s s   2 0 0 从 上 述 测 试 结 果 可 知 ， 其 后 台 数 据 库 版 本 应 该 是 5 . 7 . 3 1 ， 且 是 一 个 M y S Q L 数 据 库 。 那 么 接 下 来 ， 我 就 可 以 围 绕 M y S Q L   5 . 7 . 3 1 来 构 造 s l e e p ( )   和   b e n c h m a r k ( )   P a y l o a d 尝 试 一 下 了 。 之 后 ， 我 反 复 尝 试 ， 最 终 构 造 了 P a y l o a d - ( s e l e c t * f r o m ( s e l e c t ( s l e e p ( 1 0 ) ) ) a ) ， 并 成 功 让 服 务 端 执 行 了 s l e e p ( 1 0 ) ： 在 修 改 P a y l o a d 为 - ( s e l e c t * f r o m ( s e l e c t ( s l e e p ( 3 0 ) ) ) a ) 后 ， 服 务 端 也 成 功 执 行 了 s l e e p ( 3 0 ) ：
最 终 ， 我 尽 可 能 完 整 详 细 地 写 了 一 篇 漏 洞 报 告 ， 进 行 了 提 交 。 半 个 月 后 ， 收 获 了 $ 3 5 0 0 的 漏 洞 奖 励 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理