搜索

[18039] 2021-08-13_【渗透实战系列】24-针对CMS的SQL注入漏洞的代码审计思路和方法

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-18
2021-08-13_【渗透实战系列】24-针对CMS的SQL注入漏洞的代码审计思路和方法 【 渗 透 实 战 系 列 】 2 4 | - 针 对 C M S 的 S Q L 注 入 漏 洞 的 代 码 审 计 思 路 和 方 法 H a c k i n g 黑 白 红   2 0 2 1 - 0 8 - 1 3 本 文 主 要 学 习 ： 代 码 审 计 思 路 寻 找 关 键 函 数 手 动 测 试 以 下 文 章 来 源 于 合 天 网 安 实 验 室   ， 作 者 会 上 树 的 猪 0 x 0 0   S Q L 注 入 漏 洞 ： 注 入 漏 洞 ： 简 单 介 绍 一 下 S Q L 语 句 ： 通 俗 来 理 解 就 是 开 发 者 盲 目 相 信 用 户 ， 没 有 严 格 检 查 用 户 输 入 ， 导 致 用 户 可 以 输 入 恶 意 参 数 进 入 程 序 逻 辑 ， 最 终 拼 接 恶 意 参 数 改 变 原 本 的 S Q L 语 句 逻 辑 ， 造 成 S Q L 注 入 漏 洞 。 0 x 0 1   关 于 关 于 C M S 本 次 审 计 的 C M S 是 基 于 W e b 应 用 的 B / S 架 构 的 团 购 网 站 建 设 解 决 方 案 的 建 站 系 统 ， 它 可 以 让 用 户 高 效 、 快 速 、 低 成 本 的 构 建 个 性 化 、 专 业 化 、 强 大 功 能 的 团 购 网 站 ， 采 用 P H P 和 M Y S Q L 数 据 库 开 发 技 术 ， 版 本 C V 1 . 6 。 商 业 案 例 如 下 ： 合 天 网 安 实 验 室 合 天 网 安 实 验 室   . 为 广 大 信 息 安 全 爱 好 者 提 供 有 价 值 的 文 章 推 送 服 务 ！
审 计 结 果 实 战 测 试 ： 0 x 0 2   漏 洞 分 析 ： 漏 洞 分 析 ： 首 先 在 本 地 搭 建 一 个 网 站 ， 方 便 之 后 测 试 ， 一 键 安 装 也 没 啥 说 的 ， 跳 过 。 重 点 讲 讲 这 个 团 购 C M S 的 S Q L 操 作 。 这 个 团 购 C M S 将 S Q L 操 作 全 部 写 到 了 i n c l u d e / l i b r a r y / D B . c l a s s . p h p 文 件 ：
然 后 分 析 这 个 文 件 ， 发 现 这 里 面 的 函 数 有 些 使 用 了 ： m y s q l _ r e a l _ e s c a p e _ s t r i n g 函 数 对 参 数 进 行 过 滤 ， 整 数 参 数 就 强 制 转 换 i n t 类 型 关 于 m y s q l _ r e a l _ e s c a p e _ s t r i n g 函 数 的 注 入 可 以 尝 试 宽 字 节 注 入 ， 当 数 据 库 编 码 采 用 G B K 的 时 候 可 以 尝 试 b y p a s s 函 数 检 查 ， 但 是 此 处 不 适 用 。 之 后 审 计 发 现 其 中 存 在 几 个 未 对 参 数 进 行 过 滤 直 接 执 行 S Q L 语 句 的 函 数 ： G e t D b R o w B y I d 、 G e t Q u e r y R e s u l t 、 G e t F i e l d 。
此 处 采 用 敏 感 函 数 回 溯 的 方 法 进 行 审 计 ， 先 全 局 搜 索 这 些 函 数 ， 然 后 想 办 法 对 达 到 触 发 条 件 。 1 、   全 局 搜 索 G e t F i e l d 函 数 ， 发 现 没 有 被 引 用 的 地 方 。 2 、 全 局 搜 索 G e t Q u e r y R e s u l t 函 数 ， 搜 索 结 果 比 较 多 ， 如 下 ：
先 尝 试 审 计 第 一 处 ： / a j a x / m a n a g e . p h p ， 如 下 ， 如 果 存 在 ， 可 以 通 过 $ i d 变 量 进 行 注 入 。 追 踪 如 何 触 发 函 数 ： 第 4 9 0 行 ， 当 变 量 a c t i o n 满 足 条 件 即 可 ： 而 继 续 回 溯 ， $ a c t i o n 的 来 源 $ _ G E T :
同 时 也 发 现 i d 变 量 被 强 制 类 型 转 换 了 ， 哦 豁 ， 这 下 安 逸 了 ， 这 个 点 基 本 利 用 不 了 了 。 同 时 测 试 过 程 中 此 处 还 有 一 处 调 用 了 未 过 滤 S Q L 函 数 ： 不 过 都 用 到 了 I D 参 数 进 行 注 入 ， 所 以 不 能 利 用 ， 放 弃 。 之 后 选 择 其 他 可 能 存 在 的 地 方 继 续 审 计 ： / m a n a g e / u s e r / i n d e x . p h p 但 是 这 两 处 同 样 存 在 i n t v a l 参 数 过 滤 。
再 继 续 搜 索 ， 发 现 / m a n a g e / v o t e / f e e d b a c k . p h p 此 处 $ q u e s t i o n [ ‘ i d ’ ] 参 数 来 源 于 前 一 个 查 询 结 果 ， 可 以 考 虑 二 次 注 入 ， 不 过 此 处 因 为 i d 参 数 为 提 交 问 卷 时 系 统 自 动 生 成 ， 所 以 无 法 利 用 了 。 最 后 两 处 调 用 这 个 函 数 的 地 方 在 D B . c l a s s . p h p 中 ： 其 中 一 个 属 于 L i m i t Q u e r y 函 数 调 用 ， 因 为 存 在 过 滤 ， 所 以 利 用 比 较 困 难 ： 另 外 一 处 便 是 G e t D b R o w B y I d 调 用 ， 此 处 不 存 在 过 滤 ， 可 能 存 在 注 入 ， 这 个 审 计 便 放 到 下 一 部 分 ：
3 、 全 局 搜 索 G e t D b R o w B y I d 函 数 ： 根 据 之 前 的 审 计 ， 函 数 本 身 没 有 对 参 数 过 滤 ， 其 中 调 用 的 G e t Q u e r y R e s u l t 函 数 也 没 有 过 滤 ， 可 能 存 在 S Q L 注 入 。 可 以 发 现 G e t D b R o w B y I d 函 数 在 i n c l u d e / l i b r a r y / T a b l e . c l a s s . p h p 文 件 存 在 调 用 ： _ F e t c h 函 数 和 F e t c h F o r c e 函 数
其 中 _ F e t c h 函 数 在 同 类 中 的 F e t c h 方 法 被 调 用 ： 因 此 需 要 全 局 搜 索 F e t c h 函 数 和 F e t c h F o r c e 函 数 ： 首 先 来 搜 索 F e t c h F o r c e 函 数 ， 结 果 如 下 ， 还 挺 多 的 首 先 要 说 的 就 是 搜 索 的 结 果 不 一 定 全 部 存 在 注 入 ， 需 要 再 次 寻 找 其 中 疏 于 过 滤 的 点 进 行 验 证 ， 下 面 举 几 个 栗 子 ： 文 件 ： / a j a x / c h a r g e c a r d . p h p
不 需 要 登 录 便 可 以 直 接 访 问 这 个 文 件 ， 当 $ a c t i o n 为 q u e r y 时 可 以 调 用 函 数 ， 且 $ s e c r e t 不 存 在 过 滤 ， 开 启 d e b u g 调 试 跟 踪 参 数 的 流 程 ： 先 输 入 s e c r e t = 1 2 3 ’ 可 以 看 到 对 s e c r e t 参 数 没 有 进 行 任 何 过 滤 便 传 入 F e t c h F o r c e 函 数 ： 将 存 在 恶 意 字 符 的 参 数 拼 接 S Q L 语 句 ， 造 成 S Q L 注 入 ， 因 为 此 处 存 在 对 空 格 等 字 符 的 正 则 匹 配 ， 所 以 可 以 使 用 / * * / 代 替 空 格 。 因 为 此 处 不 存 在 回 显 ， 要 使 用 盲 注 ， 使 用 时 间 盲 注 验 证 ， 一 个 用 时 2 秒 ， 一 个 用 时 5 秒
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理