搜索

[28951] 2021-05-20_带有SQL注入的不太盲目的RCE

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-05-20_带有SQL注入的不太盲目的RCE 带 有 S Q L 注 入 的 不 太 盲 目 的 R C E O t s 安 全   2 0 2 1 - 0 5 - 2 0 点 击 标 题 下 「 蓝 色 微 信 名 」 可 快 速 关 注 再 一 次 ， 我 又 回 到 了 另 一 个 有 趣 的 发 现 故 事 。 这 次 我 将 解 释 一 个 S Q L 注 入 实 例 ， 但 这 有 点 不 同 。 此 处 的 应 用 程 序 基 于 A S P . N e t ， 使 用 M S S Q L ， 支 持 堆 叠 查 询 ， D B 用 户 也 是 如 此 。 一 切 看 起 来 都 很 不 错 ， 执 行 起 来 很 完 美   。 我 面 临 的 唯 一 问 题 是 ， 在 第 一 个 查 询 之 后 ， 我 无 法 获 取 查 询 的 堆 栈 输 出 。 最 重 要 的 是 ， 该 应 用 程 序 位 于 防 火 墙 后 面 ， 该 防 火 墙 不 允 许 任 何 外 部 访 问 。 因 此 ， 可 以 执 行 O S 命 令 ， 但 是 看 不 到 它 的 输 出 。 这 成 为 一 种 盲 目 的 R C E 。 但 是 ， 正 如 标 题 所 述 ， 这 不 是 一 个 盲 目 的 R C E 。 s y s a d m i n   x p _ c m d s h e l l 我 已 经 建 立 了 一 个 相 同 的 测 试 环 境 ， 以 演 示 我 们 手 头 的 确 切 问 题 。 让 我 们 看 看 如 何 提 取 x p _ c m d s h e l l   此 处 的 输 出   。 执 行 基 于 执 行 基 于 U N I O N 的 的 S Q L 注 入 注 入 首 先 ， 让 我 们 分 析 易 受 攻 击 的 请 求 ， 并 尝 试 执 行 基 于 U N I O N 的 S Q L 注 入 。 查 看 下 面 的 屏 幕 快 照 ， 该   t x t U s e r N a m e   参 数 容 易 受 到 S Q L 注 入 的 攻 击 。
自 然 ， 我 们 将 尝 试 关 闭 带 有 注 释 的 查 询 。 但 是 ， 当 这 样 做 时 ， 我 们 会 遇 到 另 一 个 错 误 ： 该 错 误 表 明   b a s i c s a l a r y   列 名 无 效 。 通 过 仔 细 观 察 错 误 消 息 中 公 开 的 查 询 部 分 ， 仅 用 单 引 号 作 为 有 效 内 容 ， 我 们 发 现 查 询 已   P a y s l i p s   联 接 了 表 。 也 许 此   b a s i c s a l a r y   列 是 该 表 的 一 部 分 。 在 这 种 情 况 下 ， P a y s l i p s   在 注 释 掉 查 询 的 其 余 部 分 之 前 ， 我 们 还 需 要 在 有 效 负 载 中 加 入 表 。 让 我 们 尝 试 一 下 ：
查 询 执 行 ， 我 们 有 一 些 数 据 ！ 我 们 将 继 续 进 行 典 型 的   O R D E R   B Y   然 后 是   U N I O N   语 句 的 工 作 ， 以 获 得 基 于 U N I O N 的 有 效 S Q L 注 入 ： 检 查 数 据 库 用 户 权 限 检 查 数 据 库 用 户 权 限 下 一 步 是 检 查 数 据 库 用 户 是 否 为 D B 用 户 s y s a d m i n   ， 因 为 该 用 户   只 能   s y s a d m i n   启 用   x p _ c m d s h e l l   并 执 行 O S 级 别 的 命 令 ， 这 是 我 们 最 终 的 目 标 。 在 这 里 ， 我 想 介 绍 一 个 很 棒 的 S Q L 注 入 备 忘 单 。 它 来 自 p e n t e s t m o n k e y 。 查 看 该 备 忘 单 ， 我 们 发 现 可 以 使 用   S E L E C T   i s _ s r v r o l e m e m b e r ( ' s y s a d m i n ' )   查 询 来 确 定 当 前 的 数 据 库 用 户 是 否 s y s a d m i n   存 在 。 让 我 们 尝 试 一 下 ：
既 然 1   在 响 应 中 得 到 a   ， 我 们 就 可 以 确 认 当 前 的 数 据 库 用 户 确 实 是 a   s y s a d m i n   。 检 查 对 堆 叠 查 询 的 支 持 检 查 对 堆 叠 查 询 的 支 持 堆 叠 查 询 意 味 着 我 们 可 以 通 过 使 用 分 号 字 符 将 它 们 分 开 来 在 单 个 语 句 中 运 行 多 个 查 询 ， 就 像 我 们 在 命 令 行 中 所 做 的 一 样 。 因 此 ， 如 果 我 们 有 这 样 的 查 询 ： 在 支 持 堆 叠 查 询 的 情 况 下 ， 我 们 可 以 运 行 以 下 查 询 ： 没 有 堆 查 询 ， 我 们 只 限 于   S E L E C T   报 表 而 无 法 运 行 任 何   I N S E R T   ，   U P D A T E   ，   D E L E T E   或 类 似   E X E C   的 查 询 。 但 是 ， 使 用 堆 叠 式 查 询 ， 我 们 可 以 执 行 所 需 的 任 何 类 型 的 查 询 。 这 就 是 为 什 么 偷 看 ， 没 有 堆 查 询 ， 并 不 并 不 标 志 着 C V S S 向 量 任 何 完 整 性 的 影 响 。 无 论 如 何 ， 请 继 续 检 查 是 否 支 持 堆 叠 查 询 。 我 们 将 在 w a i t f o r   d e l a y   查 询 之 后 堆 叠   查 询 ， 并 查 看 它 是 否 执 行 ： 5 秒 的 延 迟 在 此 处 确 认 支 持 堆 叠 查 询 。 现 在 让 我 们 看 看 我 们 是 否 也 能 够 获 得 堆 叠 查 询 的 输 出 。 为 此 ， 我 们 将 堆 叠   S E L E C T   1 , 2 , 3 , 4   而 不 是 S E L E C T   *   F R O M   u s e r   W H E R E   u s e r i d   = “   < 注 入 点 > ” S E L E C T   *   F R O M   u s e r   W H E R E   u s e r i d   = “   - 1 ”   A N D   1   =   2 ;   W A I T F O R   D E L A Y ' 0 ： 0 ： 5 ' ;   - “
使 用   U N I O N   ： 请 注 意 ， 我 们 没 有 获 得 任 何 输 出   S E L E C T   1 , 2 , 3 , 4   ， 这 意 味 着 在 初 始 查 询 之 后 将 要 堆 叠 的 查 询 将 不 会 获 得 任 何 输 出 。 执 行 执 行 x p _ c m d s h e l l 现 在 ， 启 用   x p _ c m d s h e l l   并 确 认 我 们 是 否 至 少 能 够 执 行 O S 命 令 。 为 此 ， 请 参 考 备 忘 单 。 需 要 执 行 以 下 S Q L 命 令 ： 让 我 们 这 样 做 ： 惊 人 的 ！ 我 们 已 经 启 用 了   x p _ c m d s h e l l   。 现 在 让 我 们 测 试 一 下 ： E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 ; R E C O N F I G U R E ;
延 迟 3 秒 （ 默 认 为 4   p i n g ） 表 明 我 们 确 实 有 命 令 执 行 ！ 目 前 ， 我 们 可 以 做 的 是 尝 试 重 新 连 接 到 V P S 服 务 器 并 获 得 有 效 的 S h e l l 。 如 果 应 用 程 序 位 于 配 置 为 阻 止 传 出 连 接 的 防 火 墙 后 面 ， 但 仍 允 许 D N S 查 询 ， 则 可 以 使 用 此 处 介 绍 的 出 色 的 D N S 渗 透 方 法 。 但 是 在 我 们 的 案 例 中 ， 防 火 墙 不 允 许 任 何 外 部 交 互 。 到 目 前 为 止 ， 我 们 一 直 陷 入 盲 目 的 R C E 。 将 盲 将 盲 R C E 升 级 为 不 太 盲 的 升 级 为 不 太 盲 的 R C E 我 们 可 以 做 的 是 运 行 命 令 并 将 其 输 出 重 定 向 到 文 件 ， 该 文 件 位 于 w e b r o o t 内 部 ， 我 们 可 以 从 网 站 本 身 访 问 该 文 件 。 例 如 ， 如 果 我 们 的 网 站 托 管 在 中   C : i n e t p u b w w w r o o t   ， 我 们 将 使 用   x p _ c m d s h e l l   来 执 行 类 似 的 命 令   w h o a m i   >   C : i n e t p u b w w w r o o t o p t . t x t   ， 然 后 浏 览 h t t p : s i t e . c o m o p t . t x t   以 获 取 w h o a m i   命 令 的 输 出   。 出 色 地 … 听 起 来 不 错 ， 不 起 作 用 。 在 这 种 情 况 下 ， 我 们 不 知 道 网 站 的 物 理 路 径 。 因 此 ， 我 们 必 须 以 其 他 方 式 读 取 文 件 。 回 顾 我 们 良 好 的 旧 备 忘 单 ， 我 们 确 实 找 到 了 一 种 方 法 ！ 我 们 可 以 执 行 以 下 查 询 来 读 取 文 件 ： 让 我 们 使 用 这 种 方 法 。 首 先 ， 让 我 们 执 行 命 令 并 将 其 输 出 存 储 在 一 个 临 时 文 件 中 ： C R E A T E   T A B L E   m y d a t a   ( l i n e   v a r c h a r ( 8 0 0 0 ) ) ; B U L K   I N S E R T   m y d a t a   F R O M   ' c : w i n d o w s w i n . i n i ' ; S E L E C T   l i n e   F R O M   m y d a t a ;
现 在 ， 我 们 将 创 建 一 个 表 并 将 临 时 文 件 的 内 容 存 储 在 该 表 中 ： 在 表 中 有 了 内 容 之 后 ， 我 们 就 可 以 使 用 U N I O N 查 询 来 读 取 它 了 ：
和 繁 荣 ！ 现 在 ， 我 们 可 以 读 取 要 执 行 的 命 令 的 输 出 了 ！ 关 于 作 者 关 于 作 者 具 有 2 年 经 验 的 O S C E 和 O S C P 认 证 专 家 。 保 护 数 字 世 界 是 我 最 喜 欢 的 事 情 ，   其 次 是 编 程 。 具 有 W e b 应 用 程 序 安 全 性 ， 网 络 V A P T 和 源 代 码 审 查 方 面 的 经 验 。 可   也 P H P 和 P y t h o n 的 /   b a s h 的 脚 本 工 作 。 最 初 发 布 在 h t t p s : / / n o t s o s h a n t . g i t h u b . i o 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理