搜索

[7944] 2014-04-10_Web应用手工渗透测试——用SQLMap进行SQL盲注测试

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-17
2014-04-10_Web应用手工渗透测试——用SQLMap进行SQL盲注测试 W e b 应 用 手 工 渗 透 测 试 — — 用 S Q L M a p 进 行 S Q L 盲 注 测 试 F r e e B u f   2 0 1 4 - 0 4 - 1 0 作 者   T a s k i l l e r 简 介 简 介 本 文 主 要 关 注 S Q L 注 入 ， 假 设 读 者 已 经 了 解 一 般 的 S Q L 注 入 技 术 ， 在 我 之 前 的 文 章 中 有 过 介 绍 ， 即 通 过 输 入 不 同 的 参 数 ， 等 待 服 务 器 的 反 应 ， 之 后 通 过 不 同 的 前 缀 和 后 缀 （ s u f f i x   a n d   p r e f i x   ） 注 入 到 数 据 库 。 本 文 将 更 进 一 步 ， 讨 论 S Q L 盲 注 ， 如 果 读 者 没 有 任 何 相 关 知 识 储 备 ， 建 议 先 去 w i k i p e d i a 学 习 一 下 。 在 继 续 之 前 需 要 提 醒 一 下 ， 如 果 读 者 也 想 要 按 本 文 的 步 骤 进 行 ， 需 要 在 N O W A S P   M u t i l l i d a e 环 境 搭 建 好 之 后 先 注 册 一 个 N O W A S P   M u t i l l i d a e 帐 号 。 S Q L 注 入 前 言 注 入 前 言 本 文 演 示 从 w e b 界 面 注 入 S Q L 命 令 的 方 法 ， 但 不 会 直 接 连 接 到 数 据 库 ， 而 是 想 办 法 使 后 端 数 据 库 处 理 程 序 将 我 们 的 查 询 语 句 当 作 S Q L 命 令 去 执 行 。 本 文 先 描 述 一 些 注 入 基 础 知 识 ， 之 后 讲 解 盲 注 的 相 关 内 容 。 S h o w   T i m e 这 里 我 以 用 户 名 “ j o n n y b r a v o ” 和 密 码 “ m o m m a ” 登 录 ， 之 后 进 入 用 户 查 看 页 面 ， 位 于 O W A S P   2 0 1 3   >   A 1   S Q L   I n j e c t i o n   >   E x t r a c t d a t a   >   U s e r   I n f o 。 要 查 看 用 户 信 息 ， 需 要 输 入 用 户 I D 与 密 码 登 录 ， 之 后 就 可 以 看 到 当 前 用 户 的 信 息 了 。 如 我 之 前 的 文 章 所 提 到 的 那 样 ， 这 个 页 面 包 含 S Q L 注 入 漏 洞 ， 所 以 我 会 尝 试 各 种 注 入 方 法 来 操 纵 数 据 库 ， 需 要 使 用 我 之 前 文 章 提 到 的 后 缀 （ s u f f i x ） 与 前 缀 （ p r e f i x ） 的 混 合 。 这 里 我 使 用 的 注 入 语 句 如 下 ： U s e r n a m e :   j o n n y b r a v o ’   o r   1 = 1 ;   – 该 注 入 语 句 要 做 的 就 是 从 数 据 库 查 询 用 户 j o n n y b r a v o ， 获 取 数 据 后 立 刻 终 止 查 询 （ 利 用 单 引 号 ） ， 之 后 紧 接 着 一 条 O R 语 句 ， 由 于 这 是 一 条 “ i f 状 态 ” 查 询 语 句 ， 而 且 这 里 给 出   “ o r   1 ＝ 1 ” ， 表 示 该 查 询 永 远 为 真 。 1 = 1 表 示 获 取 数 据 库 中 的 所 有 记 录 ， 之 后 的 ; – 表 示 结 束 查 询 ， 告 诉 数 据 库 当 前 语 句 后 面 没 有 其 它 查 询 语 句 了 。 图 1   正 常 方 式 查 看 用 户 信 息 将 p a y l o a d 注 入 后 ， 服 务 器 泄 露 了 数 据 库 中 的 所 有 用 户 信 息 。 如 图 2 所 示 ：
图 2   注 入 p a y l o a d 导 致 数 据 库 中 所 有 数 据 泄 露 至 此 ， 本 文 向 读 者 演 示 了 一 种 基 本 S Q L 注 入 ， 下 面 笔 者 用 B a c k T r a c k 和 S a m u r a i   等 渗 透 测 试 发 行 版 中 自 带 的 S Q L m a p 工 具 向 读 者 演 示 。 要 使 用 S Q L m a p ， 只 需 要 打 开 终 端 ， 输 入 S Q L m a p 并 回 车 ， 如 下 图 所 示 ： 如 果 读 者 首 次 使 用 S Q L m a p ， 不 需 要 什 么 预 先 操 作 。 如 果 已 经 使 用 过 该 工 具 ， 需 要 使 用 — p u r g e - o u t p u t 选 项 将 之 前 的 输 出 文 件 删 除 ， 如 下 图 所 示 ： 图 3   将 S Q L m a p   o u t p u t 目 录 中 的 原 输 出 文 件 删 除 本 文 会 演 示 一 些 比 较 独 特 的 操 作 。 通 常 人 们 使 用 S Q L m a p 时 会 直 接 指 定 U R L ， 笔 者 也 是 用 该 工 具 分 析 请 求 ， 但 会 先 用 B u r p 查 看 请 求 并 将 其 保 存 到 一 个 文 本 文 件 中 ， 之 后 再 用 S Q L m a p 工 具 调 用 该 文 本 文 件 进 行 扫 描 。 以 上 就 是 一 些 准 备 工 作 ， 下 面 首 先 就 是 先 获 取 一 个 请 求 ， 如 下 所 示 ： G E T   / c h i n t a n / i n d e x . p h p ? p a g e = u s e r - i n f o . p h p & u s e r n a m e = j o n n y b r a v o & p a s s w o r d = m o m m a & u s e r - i n f o - p h p - s u b m i t - b u t t o n = V i e w + A c c o u n t + D e t a i l s   H T T P / 1 . 1 H o s t :   l o c a l h o s t U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   5 . 1 ;   r v : 2 7 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 2 7 . 0
A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p : / / l o c a l h o s t / c h i n t a n / i n d e x . p h p ? p a g e = u s e r - i n f o . p h p C o o k i e :   s h o w h i n t s = 0 ;   u s e r n a m e = j o n n y b r a v o ;   u i d = 1 9 ;   P H P S E S S I D = f 0 1 s o n m u b 2 j 9 a u s h u l l 1 b v h 8 b 5 C o n n e c t i o n :   k e e p - a l i v e 将 该 请 求 保 存 到 一 个 文 本 文 件 中 ， 之 后 发 送 到 K A L I   l i n u x 中 ， 用 如 下 命 令 将 该 请 求 头 部 传 给 S Q L m a p ： S Q L m a p   – r   ~ / r o o t / D e s k t o p / h e a d e r . t x t S e l f - C r i t i c a l   E v a l u a t i o n 命 令 中 - r 选 项 表 示 要 读 取 一 个 包 含 请 求 的 文 件 ， ~ / r o o t / D e s k t o p / h e a d e r . t x t 表 示 文 件 的 位 置 。 如 果 读 者 用 V M w a r e ， 例 如 在 W i n d o w s 上 用 虚 拟 机 跑 K A L I ， 执 行 命 令 时 可 能 产 生 如 下 图 所 示 的 错 误 提 示 ： 这 里 必 须 在 请 求 头 中 指 定 一 个 I P 地 址 ， 使 K A L I   l i n u x 能 与 X P 正 常 通 信 ， 修 改 如 下 图 所 示 ： 之 后 命 令 就 能 正 常 执 行 了 ， 显 示 结 果 如 下 图 所 示 ：
基 本 上 该 工 具 做 的 就 是 分 析 请 求 并 确 定 请 求 中 的 第 一 个 参 数 ， 之 后 对 该 参 数 进 行 各 种 测 试 ， 以 确 定 服 务 器 上 运 行 的 数 据 库 类 型 。 对 每 个 请 求 ， S Q L m a p 都 会 对 请 求 中 的 第 一 个 参 数 进 行 各 种 测 试 。 G E T   / c h i n t a n / i n d e x . p h p ? p a g e = u s e r - i n f o . p h p & u s e r n a m e = j o n n y b r a v o & p a s s w o r d = m o m m a & u s e r - i n f o - p h p - s u b m i t - b u t t o n = V i e w + A c c o u n t + D e t a i l s   H T T P / 1 . 1 S Q L m a p 可 以 检 测 多 种 数 据 库 ， 如 M y S Q L 、 O r a c l e   S Q L 、 P o s t g r e S Q L 、 M i c r o s o f t   S Q L   S e r v e r 等 。 下 图 是 笔 者 系 统 中 S Q L m a p 正 在 对 指 定 的 请 求 进 行 检 测 时 显 示 的 数 据 库 列 表 ： 首 先 它 会 确 定 给 定 的 参 数 是 否 可 注 入 。 根 据 本 文 演 示 的 情 况 ， 我 们 已 经 设 置 O W A S P   m u t i l l i d a e 的 安 全 性 为 0 ， 因 此 这 里 是 可 注 入 的 ， 同 时 S Q L m a p 也 检 测 到 后 台 数 据 库 D B M S 可 能 为 M Y S Q L 。 如 上 图 所 示 ， 工 具 识 别 后 台 数 据 库 可 能 为 M Y S Q L ， 因 此 提 示 用 户 是 否 跳 过 其 它 类 型 数 据 库 的 检 测 。 “ 由 于 本 文 在 演 示 之 前 已 经 知 道 被 检 测 数 据 库 是 M Y S Q L ， 因 此 这 里 选 择 跳 过 对 其 它 类 型 数 据 库 的 检 测 。 ” 之 后 询 问 用 户 是 否 引 入 （ i n c l u d e ） 测 试 M Y S Q L 相 关 的 所 有 p a y l o a d ， 这 里 选 择 “ y e s ” 选 项 ： 测 试 过 一 些 p a y l o a d s 之 后 ， 工 具 已 经 识 别 出 G E T 参 数 上 一 个 由 错 误 引 起 的 注 入 问 题 和 一 个 B o o l e a n 类 型 引 起 的 盲 注 问 题 。
测 试 过 一 些 p a y l o a d s 之 后 ， 工 具 已 经 识 别 出 G E T 参 数 上 一 个 由 错 误 引 起 的 注 入 问 题 和 一 个 B o o l e a n 类 型 引 起 的 盲 注 问 题 。 至 此 ， 工 具 已 经 识 别 出 应 该 深 入 挖 掘 的 可 能 的 注 入 点 ： 接 下 来 ， 我 把 参 数 u s e r n a m e 传 递 给 S Q L m a p 工 具 ， 以 对 其 进 行 深 入 挖 掘 。 通 过 上 文 描 述 的 所 有 注 入 点 和 p a y l o a d s ， 我 们 将 对 u s e r n a m e 参 数 使 用 基 于 B o o l e a n 的 S Q L 盲 注 技 术 ， 通 过 S Q L m a p 中 的 – t e c h n i q u e 选 项 实 现 。 其 中 选 择 如 下 列 表 中 不 同 的 选 项 表 示 选 用 不 同 的 技 术 ： B   :   基 于 B o o l e a n 的 盲 注 （ B o o l e a n   b a s e d   b l i n d ） Q   :   内 联 查 询 （ I n l i n e   q u e r i e s ） T   :   基 于 时 间 的 盲 注 （ t i m e   b a s e d   b l i n d ） U   :   基 于 联 合 查 询 （ U n i o n   q u e r y   b a s e d ） E   :   基 于 错 误 （ e r r o r   b a s e d ） S   :   栈 查 询 （ s t a c k   q u e r i e s ） 本 例 中 也 给 出 了 参 数 名 “ u s e r n a m e ” ， 因 此 最 后 构 造 的 命 令 如 下 ： S Q L m a p   – r   ~ r o o t / D e s k t o p / h e a d e r . t x t   –   - t e c h n i q u e   B   –   - p   u s e r n a m e   –   - c u r r e n t - u s e r 这 里 - p 选 项 表 示 要 注 入 的 参 数 ， “ – c u r r e n t - u s e r “ 选 项 表 示 强 制 S Q L m a p 查 询 并 显 示 登 录 M Y S Q L 数 据 库 系 统 的 当 前 用 户 。 命 令 得 到 输 出 如 下 图 所 示 ：
同 时 也 可 以 看 到 工 具 也 识 别 出 了 操 作 系 统 名 ， D B M S 服 务 器 以 及 程 序 使 用 的 编 程 语 言 。 “ ” 当 前 我 们 所 做 的 就 是 向 服 务 器 发 送 请 求 并 接 收 来 自 服 务 器 的 响 应 ， 类 似 客 户 端 － 服 务 器 端 模 式 的 交 互 。 我 们 没 有 直 接 与 数 据 库 管 理 系 统 D B M S 交 互 ， 但 S Q L m a p 可 以 仍 识 别 这 些 后 台 信 息 。 同 时 本 次 与 之 前 演 示 的 S Q L 注 入 是 不 同 的 。 在 前 一 次 演 示 S Q L 注 入 中 ， 我 们 使 用 的 是 前 缀 与 后 缀 ， 本 文 不 再 使 用 这 种 方 法 。 之 前 我 们 往 输 入 框 中 输 入 内 容 并 等 待 返 回 到 客 户 端 的 响 应 ， 这 样 就 可 以 根 据 这 些 信 息 得 到 切 入 点 。 本 文 我 们 往 输 入 框 输 入 永 远 为 真 的 内 容 ， 通 过 它 判 断 应 用 程 序 的 响 应 ， 当 作 程 序 返 回 给 我 们 的 信 息 。 “ 结 果 分 析 结 果 分 析 我 们 已 经 给 出 当 前 的 用 户 名 ， 位 于 本 机 ， 下 面 看 看 它 在 后 台 做 了 什 么 。 前 文 已 经 说 过 ， 后 台 是 一 个 i f 判 断 语 句 ， 它 会 分 析 该 i f 查 询 ， 检 查 u s e r n a m e 为 j o n n y b r a v o 且 7 3 3 3 ＝ 7 3 3 3 ， 之 后 S Q L m a p 用 不 同 的 字 符 串 代 替 7 3 3 3 ， 新 的 请 求 如 下 ： p a g e = u s e r - i n f o . p h p ? u s e r n a m e = ’ j o n n y b r a v o ’   A N D   ‘ a ’ = ' a ’   e t c . . F A L S E p a g e = u s e r - i n f o . p h p ? u s e r n a m e = ’ j o n n y b r a v o ’   A N D   ‘ l ’ = ' l ’   e t c . . T R U E p a g e = u s e r - i n f o . p h p ? u s e r n a m e = ’ j o n n y b r a v o ’   A N D   ‘ s ’ = ' s ’   e t c . . T R U E p a g e = u s e r - i n f o . p h p ? u s e r n a m e = ’ j o n n y b r a v o ’   A N D   ‘ b ’ = ' b ’   e t c . . F A L S E 如 上 所 示 ， 第 一 个 和 最 后 一 个 查 询 请 求 结 果 为 假 ， 另 两 个 查 询 请 求 结 果 为 真 ， 因 为 当 前 的 u s e r n a m e 是 r o o t @ l o c a l h o s t ， 包 含 字 母 l 和 s ， 因 此 这 两 次 查 询 在 查 询 字 母 表 时 会 给 出 包 含 这 两 个 字 母 的 用 户 名 。 “ 这 就 是 用 来 与 w e b 服 务 器 验 证 的 S Q L   s e r v e r 用 户 名 ， 这 种 情 况 在 任 何 针 对 客 户 端 的 攻 击 中 都 不 应 该 出 现 ， 但 我 们 让 它 发 生 了 。 ” 去 掉 了 – c u r r e n t - u s e r 选 项 ， 使 用 另 外 两 个 选 项 - U 和 – p a s s w o r d 代 替 。 - U 用 来 指 定 要 查 询 的 用 户 名 ， – p a s s w o r d 表 示 让 S Q L m a p 去 获 取 指 定 用 户 名 对 应 的 密 码 ， 得 到 最 后 的 命 令 如 下 ： S Q L m a p   - r   ~ r o o t / D e s k t o p / h e a d e r . t x t   - - t e c h n i q u e   B   - p   u s e r n a m e   - U   r o o t @ l o c a l h o s t   - - p a s s w o r d s 命 令 输 出 如 下 图 所 示 ：
S e l f - C r i t i c a l   E v a l u a t i o n 有 时 可 能 没 有 成 功 获 取 到 密 码 ， 只 得 到 一 个 N U L L 输 出 ， 那 是 因 为 系 统 管 理 员 可 能 没 有 为 指 定 的 用 户 设 定 认 证 信 息 。 如 果 用 户 是 在 本 机 测 试 ， 默 认 情 况 下 用 户 r o o t @ l o c a l h o s t 是 没 有 密 码 的 ， 需 要 使 用 者 自 己 为 该 用 户 设 置 密 码 ， 可 以 在 M y S Q L 的 u s e r 数 据 表 中 看 到 用 户 的 列 表 ， 通 过 双 击 p a s s w o r d 区 域 来 为 其 添 加 密 码 。 或 者 可 以 直 接 用 下 图 所 示 的 命 令 直 接 更 新 指 定 用 户 的 密 码 ： 这 里 将 密 码 设 置 为 “ s y s a d m i n “ ， 这 样 S Q L m a p 就 可 以 获 取 到 该 密 码 了 ， 如 果 不 设 置 的 话 ， 得 到 的 就 是 N U L L 。 通 过 以 上 方 法 ， 我 们 不 直 接 与 数 据 库 服 务 器 通 信 ， 通 过 S Q L 注 入 得 到 了 管 理 员 的 登 录 认 证 信 息 。 总 结 总 结 本 文 描 述 的 注 入 方 法 就 是 所 谓 的 S Q L 盲 注 ， 这 种 方 法 更 繁 琐 ， 很 多 情 况 下 比 较 难 以 检 测 和 利 用 。 相 信 读 者 已 经 了 解 传 统 S Q L 注 入 与 S Q L 盲 注 的 不 同 。 在 本 文 所 处 的 背 景 下 ， 我 们 只 是 输 入 参 数 ， 看 其 是 否 以 传 统 方 式 响 应 ， 之 后 凭 运 气 尝 试 注 入 ， 与 之 前 演 示 的 注 入 完 全 是 不 同 的 方 式 。 R e f e r e n c e s 1 .   h t t p : / / e n . w i k i p e d i a . o r g / w i k i / S Q L _ i n j e c t i o n 2 .   h t t p : / / w w w . S Q L m a p . o r g / 3 .   h t t p s : / / g i t h u b . c o m / S Q L m a p p r o j e c t / S Q L m a p / w i k i / u s a g e 4 .   h t t p : / / d e v . m y s q l . c o m / d o c / r e f m a n / 5 . 6 / e n / e x a m p l e s . h t m l [ v i a   i n f o s e c i n s t i t u t e ] 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理