搜索

[27167] 2021-02-22_追洞小组实战CVE-2020-7471漏洞

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-19
2021-02-22_追洞小组实战CVE-2020-7471漏洞 追 洞 小 组   |   实 战 C V E - 2 0 2 0 - 7 4 7 1 漏 洞 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 2 - 2 2 收 录 于 话 题 # 漏 洞 复 现   , 2 3 # 追 洞 小 组   , 7 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   W E B 攻 防 知 识 星 球 攻 防 知 识 星 球 本 文 作 者 ： 守 拙 守 拙 （ M s 0 8 0 6 7 实 验 室 追 洞 小 组 成 员 ）                                                                                           漏 洞 复 现 分 析 漏 洞 复 现 分 析     认 准 追 洞 小 组 认 准 追 洞 小 组                   一 、 漏 洞 名 称 ： 一 、 漏 洞 名 称 ： 通 过 通 过 S t r i n g A g g （ 分 隔 符 ） 的 潜 在 （ 分 隔 符 ） 的 潜 在 S Q L 注 入 漏 洞 注 入 漏 洞 二 、 漏 洞 编 号 ： 二 、 漏 洞 编 号 ： C V E - 2 0 2 0 - 7 4 7 1 三 、 漏 洞 描 述 ： 三 、 漏 洞 描 述 ： D j a n g o   1 . 1 1 . 2 8 之 前 的 1 . 1 1 . x 、 2 . 2 . 1 0 之 前 的 2 . 2 . x 和 3 . 0 . 3 之 前 的 3 . 0 . x 版 本 允 许 S Q L 注 入 ， 如 果 不 受 信 任 的 数 据 用 作 S t r i n g A g g 分 隔 符 （ 例 如 ， 在 存 在 多 行 数 据 下 载 的 D j a n g o 应 用 程 序 中 ， 使 用 用 户 指 定 的 列 分 隔 符 进 行 下 载 的 场 景 ） 。 通 过 向 c o n t r i b . p o s t g r e s . a g g r e g a t e s . S t r i n g A g g 实 例 传 递 一 个 精 心 构 造 的 分 隔 符 ， 可 能 会 破 坏 转 义 并 注 入 恶 意 S Q L 。 四 、 影 响 版 本 ： 四 、 影 响 版 本 ： D j a n g o   1 . 1 1 . x   <   1 . 1 1 . 2 8 D j a n g o   2 . 2 . x   <   2 . 2 . 1 0 D j a n g o   3 . 0 . x   <   3 . 0 . 3 五 、 漏 洞 分 析 五 、 漏 洞 分 析 聚 合 函 数 S t r i n g A g g 的 d e l i m i t e r 参 数 未 经 任 何 转 义 就 嵌 入 到 s q l 语 句 中 ， 导 致 s q l 注 入 六 、 实 验 环 境 及 准 备 ： 六 、 实 验 环 境 及 准 备 ： 1 . 数 据 库 ： p o s t g r e s q l ， 版 本 无 所 谓 ， 本 文 中 使 用 k a l i 虚 拟 机 中 自 带 的 数 据 库 ， 允 许 外 部 连 接 修 改 如 下 文 件 ， 监 听 所 有 端 口 / e t c / p o s t g r e s q l / 1 2 / m a i n / p o s t g r e s q l . c o n f
  修 改 如 下 文 件 ， 允 许 外 部 连 接 重 启 服 务 后 ， 连 接 数 据 库 并 创 建 测 试 数 据 库 2 . P O C :   h t t p s : / / g i t h u b . c o m / S a f e r m a n / C V E - 2 0 2 0 - 7 4 7 1 ， 运 行 环 境 d j a n g o 3 . 0 . 2 安 装 d j a n g o 3 . 0 . 2             p i p   i n s t a l l d j a n g o = = 3 . 0 . 2 使 用 p y c h a r m 调 试 P O C 代 码 ， 参 考 P O C 中 的 r e a d m e 文 档 / e t c / p o s t g r e s q l / 1 2 / m a i n / p g _ h b a . c o n f 登 陆 ： p s q l   - U   p o s t g r e s   - h   [ k a l i 主 机 的 I P ] 创 建 测 试 数 据 库 ： C R E A T E   D A T A B A S E   t e s t ， 后 面 p o c 中 会 用 到 其 他 p o s t g r e s q l 语 法 可 以 参 考 菜 鸟 教 程
初 始 化 数 据 库 后 可 以 用 p g a d m i n 连 接 看 下 ， t e s t 数 据 库 中 应 该 有 如 下 表
V u l _ a p p _ i n f o 表 中 应 该 如 下 字 段 和 数 据
七 、 复 现 步 骤 ： 七 、 复 现 步 骤 ： P O C 测 试 脚 本 中 有 两 个 函 数 q u e r y ( ) 和 q u e r y _ w i t h _ e v i l ( ) ， 前 者 用 于 模 糊 测 试 ， 后 者 用 于 注 入 点 证 明 1 . 模 糊 测 试 模 糊 测 试 通 过 运 行 q u e r y ( ) 函 数 的 异 常 捕 获 可 以 知 道 有 两 个 特 殊 字 符 让 程 序 产 生 了 报 错 （ % 和 ’ ） 将 程 序 中 异 常 捕 获 注 释 掉 ， p a y l o a d 使 用 % 和 ’ 单 独 测 试
通 过 报 错 可 以 看 出 分 号 没 有 转 义 导 致 s q l 语 句 报 错 ， 并 直 接 在 报 错 信 息 返 回 了 拼 接 后 的 s q l 语 句 。 将 断 点 打 在 执 行 s q l 语 句 并 产 生 报 错 的 代 码 块 去 看 完 整 的 s q l
得 到 程 序 运 行 的 实 际 s q l 语 句 2 . 注 入 点 证 明 注 入 点 证 明 通 过 注 入 s q l 语 句 使 查 询 结 果 区 别 与 程 序 原 本 的 查 询 结 果 来 证 明 注 入 点 的 可 用 程 序 原 本 执 行 的 s q l 语 句 ， 最 后 是 l i m i t   2 1 注 入 后 的   s q l   语 句 ， 最 后 是   l i m i t   1 ， 只 返 回 一 行 数 据 运 行 结 果 验 证 S E L E C T   " v u l _ a p p _ i n f o " . " g e n d e r " ,   S T R I N G _ A G G ( " v u l _ a p p _ i n f o " . " n a m e " ,   ' ' ' )   A S   " m y d e f i n e d n a m e "   F R O M   " v u l _ a p p _ i n f o "   G R O U P   B Y   " v u l _ a p p _ i n f o " . " g e n d e r "   L I M I T   2 1 S E L E C T   " v u l _ a p p _ i n f o " . " g e n d e r " ,   S T R I N G _ A G G ( " v u l _ a p p _ i n f o " . " n a m e " ,   ' -   ' )   A S   " m y d e f i n e d n a m e "   F R O M   " v u l _ a p p _ i n f o "   G R O U P   B Y   " v u l _ a p p _ i n f o " . " g e n d e r "   L I M I T   2 1 S E L E C T   " v u l _ a p p _ i n f o " . " g e n d e r " ,   S T R I N G _ A G G ( " v u l _ a p p _ i n f o " . " n a m e " ,   ' -   ' )   A S   " m y d e f i n e d n a m e "   F R O M   " v u l _ a p p _ i n f o "   G R O U P   B Y   " v u l _ a p p _ i n f o " . " g e n d e r "   L I M I T   1   O F S E T   1   - -
八 、 其 他 思 考 ： 八 、 其 他 思 考 ： 1 .   漏 洞 利 用 场 景 漏 洞 利 用 场 景   D j a n g o   应 用 返 回 聚 合 数 据 的 场 景 用 于 聚 合 的 字 符 用 户 可 控 数 据 库 得 是   p o s t g r e s q l   数 据 库 好 像 不 容 易 存 在 这 种 场 景 . . . 2 .   漏 洞 挖 掘 思 路 漏 洞 挖 掘 思 路 针 对 可 能 存 在 问 题 的 函 数 ， 构 建 测 试 环 境 针 对 该 函 数 进 行 模 糊 测 试 ， 看 是 否 有   s q l   语 句 报 错 信 息 如 果 模 糊 测 试 成 功 让   s q l   语 句 报 错 ， 进 行 注 入 点 利 用 验 证 3 .   漏 洞 修 复 漏 洞 修 复 在 d j a n g o 的 g i t 仓 库 的 提 交 记 录 中 可 以 看 到 d j a n g o 官 方 的 修 复 方 案 h t t p s : / / g i t h u b . c o m / d j a n g o / d j a n g o / c o m m i t / e b 3 1 d 8 4 5 3 2 3 6 1 8 d 6 8 8 a d 4 2 9 4 7 9 c 6 d d a 9 7 3 0 5 6 1 3 6 新 版 本 中 将 d e l i m i t e r   参 数 用 V a l u e 函 数 处 理 了 一 下 ， 再 传 递 到 s q l 中
升 级 d j a n g o 版 本 （ 3 . 1 . 6 ） 再 d e b u g 一 下 分 割 符 的 地 方 用 了 % s ， 没 有 直 接 拼 接 进 去 ， 根 据 V a l u e 函 数 的 注 释 说 法 是 将 参 数 放 到 s q l 的 参 数 列 表 中 ， 最 终 以 下 面 的 方 式 执 行 ， 则 不 存 在 s q l 注 入 风 险 s q l = " S E L E C T   *   F R O M   u s e r _ c o n t a c t s   W H E R E   u s e r n a m e   =   % s " u s e r = ' z h u g e d a l i ' c u r s o r . e x e c u t e ( s q l , [ u s e r ] )
4 . 同 类 型 函 数 同 类 型 函 数 在 p o s t g r e s q l 数 据 库 中 和 S t r i n g A g g 函 数 一 样 可 以 传 递 分 隔 符 参 数 的 函 数 还 有 但 是 d j a n g o 中 没 有 找 到 这 个 函 数 的 A P I （ 没 有 提 供 或 者 是 我 太 菜 了 没 找 到 . . ） 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！     目 前 目 前 3 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 c u r s o r . e x e c u t e ( s q l , [ u s e r ] ) a r r a y _ t o _ s t r i n g ( a r r a y _ a g g ( n a m e ) , ' - ' )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理