Web应用手工渗透测试——用SQLMap进行SQL盲注测试

标签: WEB安全 SqlMap 盲注 | 发表时间:2014-04-10 09:00 | 作者:Taskiller
出处:http://www.freebuf.com

简介

本文主要关注SQL注入,假设读者已经了解一般的 SQL注入技术,在我之前的文章中有过介绍,即通过输入不同的参数,等待服务器的反应,之后通过不同的前缀和后缀(suffix and prefix )注入到数据库。本文将更进一步,讨论SQL盲注,如果读者没有任何相关知识储备,建议先去wikipedia学习一下。在继续之前需要提醒一下,如果读者也想要按本文的步骤进行,需要在NOWASP Mutillidae环境搭建好之后先注册一个NOWASP Mutillidae帐号。

SQL注入前言

本文演示从web界面注入SQL命令的方法,但不会直接连接到数据库,而是想办法使后端数据库处理程序将我们的查询语句当作SQL命令去执行。本文先描述一些注入基础知识,之后讲解盲注的相关内容。

Show Time

这里我以用户名“jonnybravo”和密码“momma”登录,之后进入用户查看页面,位于OWASP 2013 > A1 SQL Injection > Extract data > User Info。要查看用户信息,需要输入用户ID与密码登录,之后就可以看到当前用户的信息了。

如我 之前的文章所提到的那样,这个页面包含SQL注入漏洞,所以我会尝试各种注入方法来操纵数据库,需要使用我之前文章提到的后缀(suffix)与前缀(prefix)的混合。这里我使用的注入语句如下:

Username: jonnybravo’ or 1=1; –

该注入语句要做的就是从数据库查询用户jonnybravo,获取数据后立刻终止查询(利用单引号),之后紧接着一条OR语句,由于这是一条“if状态”查询语句,而且这里给出  “or 1=1”,表示该查询永远为真。1=1表示获取数据库中的所有记录,之后的;–表示结束查询,告诉数据库当前语句后面没有其它查询语句了。

图1 正常方式查看用户信息

将payload注入后,服务器泄露了数据库中的所有用户信息。如图2所示:

图2 注入payload导致数据库中所有数据泄露

至此,本文向读者演示了一种基本SQL注入,下面笔者用BackTrack和Samurai 等渗透测试发行版中自带的SQLmap工具向读者演示。要使用SQLmap,只需要打开终端,输入SQLmap并回车,如下图所示:

如果读者首次使用SQLmap,不需要什么预先操作。如果已经使用过该工具,需要使用—purge-output选项将之前的输出文件删除,如下图所示:

图3 将SQLmap output目录中的原输出文件删除

本文会演示一些比较独特的操作。通常人们使用SQLmap时会直接指定URL,笔者也是用该工具分析请求,但会先用Burp查看请求并将其保存到一个文本文件中,之后再用SQLmap工具调用该文本文件进行扫描。以上就是一些准备工作,下面首先就是先获取一个请求,如下所示:

GET /chintan/index.php?page=user-info.php&username=jonnybravo&password=momma&user-info-php-submit-button=View+Account+Details HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:27.0) Gecko/20100101 Firefox/27.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://localhost/chintan/index.php?page=user-info.php
Cookie: showhints=0; username=jonnybravo; uid=19; PHPSESSID=f01sonmub2j9aushull1bvh8b5
Connection: keep-alive

将该请求保存到一个文本文件中,之后发送到KALI linux中,用如下命令将该请求头部传给SQLmap:

SQLmap –r ~/root/Desktop/header.txt

Self-Critical Evaluation

命令中-r选项表示要读取一个包含请求的文件,~/root/Desktop/header.txt表示文件的位置。如果读者用VMware,例如在Windows上用虚拟机跑KALI,执行命令时可能产生如下图所示的错误提示:

这里必须在请求头中指定一个IP地址,使KALI linux能与XP正常通信,修改如下图所示:

之后命令就能正常执行了,显示结果如下图所示:

基本上该工具做的就是分析请求并确定请求中的第一个参数,之后对该参数进行各种测试,以确定服务器上运行的数据库类型。对每个请求,SQLmap都会对请求中的第一个参数进行各种测试。

GET /chintan/index.php?page=user-info.php&username=jonnybravo&password=momma&user-info-php-submit-button=View+Account+Details HTTP/1.1

SQLmap可以检测多种数据库,如MySQL、Oracle SQL、PostgreSQL、Microsoft SQL Server等。

下图是笔者系统中SQLmap正在对指定的请求进行检测时显示的数据库列表:

首先它会确定给定的参数是否可注入。根据本文演示的情况,我们已经设置OWASP mutillidae的安全性为0,因此这里是可注入的,同时SQLmap也检测到后台数据库DBMS可能为MYSQL。

如上图所示,工具识别后台数据库可能为MYSQL,因此提示用户是否跳过其它类型数据库的检测。

“由于本文在演示之前已经知道被检测数据库是MYSQL,因此这里选择跳过对其它类型数据库的检测。”

之后询问用户是否引入(include)测试MYSQL相关的所有payload,这里选择“yes”选项:

测试过一些payloads之后,工具已经识别出GET参数上一个由错误引起的注入问题和一个Boolean类型引起的盲注问题。

之后显示该GET参数username是一个基于MYSQL union(union-based)类型的查询注入点,因此这里跳过其它测试,深入挖掘已经找出的漏洞。

至此,工具已经识别出应该深入挖掘的可能的注入点:

接下来,我把参数username传递给SQLmap工具,以对其进行深入挖掘。通过上文描述的所有注入点和payloads,我们将对username参数使用基于Boolean的SQL盲注技术,通过SQLmap中的–technique选项实现。其中选择如下列表中不同的选项表示选用不同的技术:

B : 基于Boolean的盲注(Boolean based blind)
Q : 内联查询(Inline queries)
T : 基于时间的盲注(time based blind)
U : 基于联合查询(Union query based)
E : 基于错误(error based)
S : 栈查询(stack queries)

本例中也给出了参数名“username”,因此最后构造的命令如下:

SQLmap –r ~root/Desktop/header.txt – -technique B – -p username – -current-user

这里-p选项表示要注入的参数,“–current-user“选项表示强制SQLmap查询并显示登录MYSQL数据库系统的当前用户。命令得到输出如下图所示:

同时也可以看到工具也识别出了操作系统名,DBMS服务器以及程序使用的编程语言。

“”当前我们所做的就是向服务器发送请求并接收来自服务器的响应,类似客户端-服务器端模式的交互。我们没有直接与数据库管理系统DBMS交互,但SQLmap可以仍识别这些后台信息。

同时本次与 之前演示的SQL注入是不同的。在前一次演示SQL注入中,我们使用的是前缀与后缀,本文不再使用这种方法。之前我们往输入框中输入内容并等待返回到客户端的响应,这样就可以根据这些信息得到切入点。本文我们往输入框输入永远为真的内容,通过它判断应用程序的响应,当作程序返回给我们的信息。“

结果分析

我们已经给出当前的用户名,位于本机,下面看看它在后台做了什么。前文已经说过,后台是一个if判断语句,它会分析该if查询,检查username为jonnybravo且7333=7333,之后SQLmap用不同的字符串代替7333,新的请求如下:

page=user-info.php?username=’jonnybravo’ AND ‘a’='a’ etc..FALSE
page=user-info.php?username=’jonnybravo’ AND ‘l’='l’ etc..TRUE
page=user-info.php?username=’jonnybravo’ AND ‘s’='s’ etc..TRUE
page=user-info.php?username=’jonnybravo’ AND ‘b’='b’ etc..FALSE

如上所示,第一个和最后一个查询请求结果为假,另两个查询请求结果为真,因为当前的username是root@localhost,包含字母l和s,因此这两次查询在查询字母表时会给出包含这两个字母的用户名。

“这就是用来与web服务器验证的SQL server用户名,这种情况在任何针对客户端的攻击中都不应该出现,但我们让它发生了。”

去掉了–current-user选项,使用另外两个选项-U和–password代替。-U用来指定要查询的用户名,–password表示让SQLmap去获取指定用户名对应的密码,得到最后的命令如下:

SQLmap -r ~root/Desktop/header.txt --technique B -p username -U root@localhost --passwords

命令输出如下图所示:

Self-Critical Evaluation

有时可能没有成功获取到密码,只得到一个NULL输出,那是因为系统管理员可能没有为指定的用户设定认证信息。如果用户是在本机测试,默认情况下用户root@localhost是没有密码的,需要使用者自己为该用户设置密码,可以在MySQL的user数据表中看到用户的列表,通过双击password区域来为其添加密码。或者可以直接用下图所示的命令直接更新指定用户的密码:

这里将密码设置为“sysadmin“,这样SQLmap就可以获取到该密码了,如果不设置的话,得到的就是NULL。

通过以上方法,我们不直接与数据库服务器通信,通过SQL注入得到了管理员的登录认证信息。

总结

本文描述的注入方法就是所谓的SQL盲注,这种方法更繁琐,很多情况下比较难以检测和利用。相信读者已经了解传统SQL注入与SQL盲注的不同。在本文所处的背景下,我们只是输入参数,看其是否以传统方式响应,之后凭运气尝试注入,与 之前演示的注入完全是不同的方式。

References

1.  http://en.wikipedia.org/wiki/SQL_injection

2.  http://www.SQLmap.org/

3.  https://github.com/SQLmapproject/SQLmap/wiki/usage

4.  http://dev.mysql.com/doc/refman/5.6/en/examples.html

[via infosecinstitute]

相关 [web 应用 渗透测试] 推荐:

如何手工渗透测试Web应用程序(一):入门

- - FreeBuf.COM | 关注黑客与极客
在这个系列文章中,我们将演示如何手工渗透测试web应用程序而不使用自动化工具. 世界上大多数公司都非常关注对web应用程序的手工测试,而不是运行web应用程序扫描器——因为它会限制你的知识和技能,影响在测试中寻找漏洞的视野. 在整个系列文章中,我将使用下面的程序:. NOWASP Mutiliadae是一个包含了40多个漏洞的web应用程序.

Web应用手工渗透测试——用SQLMap进行SQL盲注测试

- - FreeBuf.COM
本文主要关注SQL注入,假设读者已经了解一般的 SQL注入技术,在我之前的文章中有过介绍,即通过输入不同的参数,等待服务器的反应,之后通过不同的前缀和后缀(suffix and prefix )注入到数据库. 本文将更进一步,讨论SQL盲注,如果读者没有任何相关知识储备,建议先去wikipedia学习一下.

DVWA,推荐一个渗透测试演练系统

- - CSDN博客推荐文章
Web漏洞实战教程(DVWA的使用和漏洞分析)PDF下载:. [TOP10]十大渗透测试演练系统. 作者:lhshaoren 发表于2013-7-7 15:56:43 原文链接. 阅读:17 评论:0 查看评论.

[译]网络渗透测试及其,工具及资源

- - 互联网 - ITeye博客
原文地址:http://pen-testing.sans.org/blog/pen-testing/2013/11/21/network-pen-testing-tips-tricks-tools-resources. 侦查--大多数会跳过或缺少的步骤. 如果做得好,可以不使用任何exploit就可以获得访问权限.

渗透测试:内网DNS投毒技术劫持会话

- - FreeBuf.COM
‍本文仅供渗透测试技术学习及教学用途,禁止非法使用‍. 最近一段时间一直在研究内网中嗅探的一些方法,各种方式的尝试,才找到一个比较靠谱的一种方式. 单一的ARP掉线也在10分钟内. 攻击机:Kali 10.10.10.237. 被攻击机: win7 10.10.10.232. 因为只为了测试,只修改了PC1的DNS.

Android平台渗透测试套件zANTI 2.0版发布

- - FreeBuf.COM
zANTI是Android平台下的渗透测试套件,最 优雅、最美观的渗透测试套件之一. zPacketEditor – 用于中间人攻击(MITM)测试时可进行人工渗透测试. ICMP重定向 – 使用ICMP重定向支持全双工MITM. MITM特性 – 可拦截下载、重定向URL图片替换和插入HTML.

Maligno:一个开源的渗透测试工具

- - FreeBuf.COM | 关注黑客与极客
今天我想介绍一个能够在渗透测设中帮到你的工具. Maligno是一个基于FreeBSD许可证的开源的渗透测试工具. 使用Python编写,最大限度与Metasploit兼容. 它利用Metasploit framework框架,尤其是msfvenom,来生成AES加密的shellcode,并且在传输前会编码.

为渗透测试准备的 10 大黑客工具

- - ITeye资讯频道
工匠需要相应的技能和工具才能工作,并创造出杰作. 虽然工具是工作的过程中的重要推动因素,但也需要工匠具有相关的经验和专业知识. 渗透测试人员的工具箱非常像工匠的工具箱,可根据业务目标使用各种各样的工具. 在这里,我们将分析一些可用于渗透测试的最佳免费工具. 要注意,这些工具之间没有直接的比较. 这些工具的使用取决于渗透测试者的评估类型.

Kali Linux渗透测试实战 第一章 - 玄魂

- -
1.1 Kali Linux简介. 如果您之前使用过或者了解BackTrack系列Linux的话,那么我只需要简单的说,Kali是BackTrack的升级换代产品,从Kali开始,BackTrack将成为历史. 如果您没接触过BackTrack也没关系,我们从头开始了解Kali Linux. 按照官方网站的定义,Kali Linux是一个高级渗透测试和安全审计Linux发行版.

从 Newsstand 到 Web 应用

- - 爱范儿 · Beats of Bits
本地应用和 HTML5 谁将主导的争论持续了好几年,目前本地应用依然是绝对主流. 因此英国《金融时报》上周宣布将在 6 月 撤下 iPad 应用,完全依赖 HTML5 Web 应用的消息引来不少关注. 早在去年苹果宣布订阅政策时,《金融时报》就开始着手准备 Web 应用以绕开苹果 30% 的大刀.