搜索

[2143] 2020-09-09_Ecshop4.0SQL（代码审计从Nday到0day）

文档创建者：s7ckTeam
浏览次数：65
最后更新：2025-01-16
2020-09-09_Ecshop4.0SQL（代码审计从Nday到0day） E c s h o p   4 . 0   S Q L （ 代 码 审 计 从 N d a y 到 0 d a y   ） 原 创   e c h o _ d   E D I 安 全   2 0 2 0 - 0 9 - 0 9 收 录 于 话 题   # 安 全 武 器 库   , 8 个 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 背 景 p a y l o a d   R e f e r e r   处   S Q L 注 入 导 致 R C E ( 先 对 公 开 的 进 行 分 析 学 习 ) 0 2 为 什 么 要 在 H T T P 头   S Q L 注 入 r e q u i r e ( d i r n a m e ( _ _ F I L E _ _ ) . ' / i n c l u d e s / i n i t . p h p ' ) ;   / / 核 心 文 件 跟 一 下 a d d s l a s h e s _ d e e p 做 了 什 么
用 户 传 参 被 转 义 ， g b k 的 话 可 以 宽 字 节 绕 过 ， 或 者 考 虑 二 次 注 入 ， 或 者 找 数 字 型 注 入 ， 无 需 闭 合 。 在 H T T P 头 内 的 参 数 不 会 被 转 义 。 ( 优 先 考 虑 ) 0 3 e c s h o p 3 . 6   p a y l o a d   分 析 u s e r . p h p ? a c t = l o g i n       R e f e r e r   为 入 口 处 。 4 5 e a 2 0 7 d 7 a 2 b 6 8 c 4 9 5 8 2 d 2 d 2 2 a d f 9 5 3 a a d s   是 什 么 ? a : 2 : { s : 3 : “ n u m ” ; s : 1 0 7 : “ * / S E L E C T 1 , 0 x 2 d 3 1 2 7 2 0 5 5 4 e 4 9 4 f 4 e 2 f 2 a , 2 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 7 3 6 4 2 7 5 d 3 b 7 0 6 8 7 0 6 9 6 e 6 6 6 f 0 9 2 8 2 9 3 b 2 f 2 f 7 d 7 8 7 8 7 8 , 1 0 - -   - ” ; s : 2 : “ i d ” ; s : 1 1 : “ - 1 ‘ U N I O N / * ” ; }   / / 为 什 么 要 序 列 化 ? 0 x 0 1
H T T P _ R E F E R E R   可 控 a s s i g n 加 载   ; d i s p l a y 展 示 模 板 文 件   / / 可 控 参 数 被 带 入 a s s i g n 函 数   H T T P _ R E F E R E R   伪 造 $ b a c k _ a c t   可 控 0 x 0 2 0 x 0 3 0 x 0 4
$ s m a r t y =   n e w   c l s _ t e m p l a t e ; a s s i g n 0 x 0 5 0 x 0 6
a s s i g n b a c k _ a c t     u s e r _ p a s s p o r t . d w t 模 板 赋 值 d i s p l a y D i s p l a y 4 5 e a 2 0 7 d 7 a 2 b 6 8 c 4 9 5 8 2 d 2 d 2 2 a d f 9 5 3 a a d s 是 什 么 ？ 0 x 0 7 0 x 0 8 0 x 0 9
_ e c h a s h ? 对 结 果 通 过 e c h a s h   进 行 分 割 处 理 D i s p l a y 4 5 e a 2 0 7 d 7 a 2 b 6 8 c 4 9 5 8 2 d 2 d 2 2 a d f 9 5 3 a a d s 是 什 么 ？ _ e c h a s h   的 值 与   p a y l o a d 中   4 5 e a 2 0 7 d 7 a 2 b 6 8 c 4 9 5 8 2 d 2 d 2 2 a d f 9 5 3 a a d s   对 比     多 了 a d s D i s p l a y I n s e r t _ m o d   分 割 ? ( 通 过 | 进 行 了 分 割 处 理 传 参 ) 0 x 1 0 0 x 1 1
D i s p l a y I n s e r t _ m o d   a : 2 : { s : 3 : “ n u m ” ; s : 1 0 7 : “ * / S E L E C T   1 , 0 x 2 d 3 1 2 7 2 0 5 5 4 e 4 9 4 f 4 e 2 f 2 a , 2 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 7 3 6 4 2 7 5 d 3 b 7 0 6 8 7 0 6 9 6 e 6 6 6 f 0 9 2 8 2 9 3 b 2 f 2 f 7 d 7 8 7 8 7 8 , 1 0 - - - ” ; s : 2 : “ i d ” ; s : 1 1 : “ - 1 ‘   U N I O N / * ” ; }   / / 为 什 么 要 序 列 化 ? S Q L 通 过 _ e c h a s h   进 行 分 割 ， 传 参 进 入 i n s e r t _ m o d 0 x 1 2 0 x 1 3
S Q L 通 过 _ e c h a s h 进 行 分 割 , 传 参 进 入 i n s e r t _ m o d , 打 印 $ k 会 发 现 分 割 后 , 剩 下 的 a d s | 序 列 化 后 的 数 据 , 进 入 i n s e r t _ m o d ( k e y 值 为 5 , 满 足 $ k e y % 2 = = 1 ） S Q L I n s e r t _ m o d   处 理 a d s | a : 2 : { s : 3 : " n u m " ; s : 1 0 7 : " * / S E L E C T 1 , 0 x 2 d 3 1 2 7 2 0 5 5 4 e 4 9 4 f 4 e 2 f 2 a , 2 , 4 , 5 , 6 , 7 , 8 , 0 x 7 b 2 4 6 1 7 3 6 4 2 7 5 d 3 b 7 0 6 8 7 0 6 9 6 e 6 6 6 f 0 9 2 8 2 9 3 b 2 f 2 f 7 d 7 8 7 8 7 8 , 1 0 - -   - " ; s : 2 : " i d " ; s : 1 1 : " - 1 '   U N I O N / * " ; } 0 x 1 4 0 x 1 5
S Q L I n s e r t _ m o d 处 理 , 通 过 分 割 后 ， $ f u n 与 多 出 的 a d s   进 行 拼 接 ， $ p a r a 是 我 们 可 控 的 序 列 化 数 据 , 最 后 被 带 入 i n s e r t _ a d s 造 成 S Q L   注 入 。 S Q L   拼 接 导 致 的 S Q L   注 入 0 x 1 6 0 x 1 7
H T T P   头 传 参 ( 防 止 被 转 义 ) 可 控 参 数 代 入 a s s i g n 渲 染 模 板 d i s p l a y   进 行 _ e c h a s h 进 行 分 割 , 带 入 i n s e r t _ m o d 一 个 可 以 利 用 的 i n s e r _ x x x 函 数   造 成 S Q L 0 4 E c s h o p   4 . 0   S Q L     葫 芦 画 瓢 新 的 H T T P 头 寻 找 0 x 1 8 0 x 0 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理