搜索

[18951] 2020-12-01_记一次手工SQLServer注入bypass安全狗

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2020-12-01_记一次手工SQLServer注入bypass安全狗 记 一 次 手 工 S Q L S e r v e r 注 入   b y p a s s 安 全 狗 郑 好   I D L a b   2 0 2 0 - 1 2 - 0 1 “   生 活 中 不 是 缺 少 美 ， 而 是 缺 少 发 现 美 的 眼 睛 ”                                                                                       - - 罗 丹 罗 丹                                                                                               前 言 —         最 近 除 了 工 作 中 日 常 搬 砖 以 外 ， 偶 尔 也 会 挖 挖 s r c 练 练 手 ， 在 挖 站 的 过 程 中 也 算 是 巩 固 学 习 了 ， 但 是 偶 尔 会 遇 到 烦 人 的 w a f ， 那 么 应 该 如 何 绕 过 呢 ？ 废 话 不 多 说 ， 咱 们 正 式 开 席 。 正 文 — 目 标 站 点 是 h t t p s : / / w w w . x x o o . c o m / 首 先 进 行 常 规 信 息 收 集 ： 真 实 I P 、 端 口 、 中 间 件 、 c m s 等 等 ， 通 过 C h r o m e 自 带 插 件 的 得 到 信 息 如 下 ， 这 里 收 集 的 信 息 的 方 式 很 多
种 ， 但 是 都 不 是 本 文 重 点 ， 故 忽 略 。 通 过 f o f a 插 件 获 取 到 的 端 口 信 息 如 下 ： 通 过 插 件 获 取 到 的 u r l 地 址 可 以 得 知 h t t p : / / m . x x o o . c o m 为 站 点 的 子 域 名 ， 拿 小 本 本 先 记 下 来 。 首 先 访 问 主 站 大 致 浏 览 了 得 知 全 部 为 伪 静 态 页 面 ， 修 改 了 u r l 参 数 后 也 是 直 接 4 0 4 服 务 器 错 误 。
随 后 转 战 子 域 名 看 下 ， 看 的 我 一 脸 懵 逼 也 全 是 伪 静 态 ， 最 后 终 于 在 快 放 弃 的 时 候 找 到 了 一 处 数 据 交 互 的 I D ， 后 随 手 一 个 单 引 号 页 面 报 错 ， 妥 妥 的 s q l 注 入 ~ ~ ， 有 的 时 候 子 域 名 就 是 这 么 的 “ 优 秀 ” 。 既 然 如 此 ， 那 就 直 接 s q l m a p 一 把 梭 吧 。 结 果 并 不 是 一 帆 风 顺 ， 恶 狗 挡 路 ， 简 直 淦 了 。 。 。 。 。 I P 直 接 被 b a n 了 … …
但 是 作 为 一 个 合 格 的 安 服 仔 这 就 难 道 我 了 吗 ？ ？ 换 个 代 理 继 续 干 ， 于 是 就 用 我 扣 脚 的 技 术 来 尝 试 手 工 绕 过 下 吧 ， 通 过 报 错 的 信 息 可 以 确 定 当 前 注 入 是 整 型 注 入 。 a n d   1 = 1 、 a n d   1 = 2 直 接 被 拦 截 ， 真 是 一 点 面 子 不 给 在 这 里 既 让 已 经 确 是 整 型 的 注 入 了 ， 那 么 我 们 可 以 使 用 i d = 1 e 0 （ 页 面 正 常 ） 、 i d = 1 e 5 （ 页 面 错 误 ） 来 进 行 判 断 ， 同 样 也 是 适 用 于 m y s q l 数 据 库 的 。 包 括 a n d   . 1 = . 1 、 、 a n d   . 1 = . 2 都 是 可 以 绕 过 安 全 狗 来 进 行 判 断 是 否 存 在 注 入 点 的 。 以 下 是 我 本 地 搭 建 的 靶 场 测 试 结 果 正 常 的 页 面 。
错 误 的 页 面 。 通 过 测 试 确 实 是 可 以 判 断 注 入 点 ， 并 且 也 是 能 成 功 绕 过 安 全 狗 的 。 正 常 的 结 果 页 面 返 回 。 错 误 的 页 面 返 回 。 后 面 常 规 的 语 句 走 一 波 ， 判 断 数 据 库 版 本 号 , 不 出 意 外 正 常 语 句 肯 定 被 拦 。 尝 试 将 空 格 替 换 为 + 进 行 绕 过 ， 也 是 被 拦 截 ， 空 格 替 换 为 % 2 0 进 行 测 试 也 还 是 被 拦 截 。 这 里 我 通 过 手 工 f u z z 测 试 ， 得 知 将 s e l e c t 删 除 就 可 以 进 行 绕 过 了 ， 语 句 构 造 如 下 ” a n d + 1 = ( @ @ v e r s i o n ) - - a ”
判 断 当 前 数 据 库 名 ， 同 样 的 当 构 造 ” a n d + 1 = ( s e l e c t   d b _ n a m e ( ) ) - - a ” 时 被 拦 的 死 死 的 构 造 ” a n d + 1 = ( d b _ n a m e ( ) ) - - a ” 就 可 以 成 功 绕 过 。 通 过 构 造 语 句 遍 历 ” d b _ n a m e ( 1 ) ” 里 面 的 数 值 可 以 将 所 有 数 据 库 名 爆 出 ， 这 里 我 们 拿 到 我 们 需 要 的 数 据 库 就 行 了 ， 如 下 m a s t e r 数 据 等 等 … … 就 不 一 一 列 举 了 。 下 面 就 是 判 断 ” i x i n w e i x w ” 数 据 库 中 的 表 名 。 常 规 的 判 断 表 名 的 语 句 如 下 ： 查 询 m s s q l i l a b s 数 据 库 中 的 第 一 个 表 名 a n d   1 = ( s e l e c t   t o p   1   n a m e   f r o m   m s s q l i l a b s . . s y s o b j e c t s   w h e r e   x t y p e = ' U ' ) - -   a 查 询 m s s q l i l a b s 数 据 库 中 所 有 的 表 名 a n d   1 = ( ( s e l e c t   n a m e , % 2 7 | | % 2 7   f r o m   m s s q l i l a b s . . s y s o b j e c t s   w h e r e   x t y p e = ' U '   f o r   x m l   p a t h ( ' ' ) ) ) - -   a
正 常 语 句 被 拦 截 ： 后 面 通 过 手 工 f u z z 知 道 这 里 拦 截 的 是 空 格 ， 并 且 参 考 前 辈 的 文 章 得 知 % 1 E 在 m s s q l 中 为 空 白 符 号 ， 可 以 用 来 代 替 空 格 ， 那 么 这 里 将 语 句 中 的 空 格 全 部 替 换 为 % 1 E 结 果 成 功 绕 过 。 爆 出 ” i x i n w e i x w ” 数 据 库 第 一 个 表 。 爆 出 ” i x i n w e i x w ” 数 据 库 中 所 有 表 。 常 规 判 断 字 段 的 语 句 如 下 ： a n d   1 = ( s e l e c t   n a m e , ' | | '   f r o m   m s s q l i l a b s . . s y s c o l u m n s   w h e r e   i d = ( s e l e c t   t o p   1   i d   f r o m   m s s q l i l a b s . . s y s o b j e c t s   w h e r e   x t y p e = ' U '   ) f o r   x m l   p a t h ( ' ' ) ) - -   a 查 询 m s s q l i l a b s 数 据 库 中 第 一 个 表 中 所 有 字 段 。
这 里 通 过 上 面 的 返 回 结 果 ， 我 们 知 道 了 ” i x i n w e i x w ” 数 据 库 中 第 一 个 表 名 为 ” a d m i n l o g i n ” 可 能 刚 好 就 是 我 们 需 要 的 表 名 ， 所 以 构 造 语 句 就 用 我 上 面 的 语 句 即 可 ， 但 是 不 出 意 外 被 拦 截 。 继 续 替 换 % 2 0 为 % 1 E 成 功 绕 过 。 然 后 就 是 直 接 读 取 u s e r n a m e , p a s s w o r d 的 值 了 ， 尽 然 还 是 明 文 存 储 的 ， 也 是 牛 批 了 。 。 随 后 s q l m a p 简 单 写 一 个 t a m p e r 一 把 梭 。 总 结 ： 通 过 以 上 的 测 试 ， 得 知 在 m y s s q l 中 除 了 % 1 E 可 以 替 换 空 格 之 外 % 1 a 、 % 1 b 、 % 1 c 、 % 1 d 等 等 均 可 以 替 换 空 格 绕 过 w a f 进 行 注 入 。
本 地 测 试 结 果 如 下 ： 页 面 正 常 页 面 错 误 最 后 顺 带 w h o i s 了 下 主 站 和 子 站 ， 发 现 权 重 和 流 量 都 高 的 吓 人 ， 真 让 d d 瑟 瑟 发 抖 。 。 。 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理