论PHP常见漏洞第三弹:注入漏洞

注入,大概就是把用户可控的一些变量,带入到数据库操作当中,并且造成改变sql原意的效果。譬如注册用户的逻辑中,检测用户名是否存在的时候,把用户提交过来的用户名拿到数据库中去查询。如果代码逻辑中没有对用户名做好过滤的话,用户就可以提交一些特殊字符来完成注入。

现在注入的主要原因是很多程序员在写sql语句的时候,还是喜欢搞语句拼接。

根据sql分类,注入一般分四种类型:

  • select
  • update
  • insert
  • delete

如果有mysql error的话,这四种都能用报错注入,非常方便;

如果没有mysql error

  1. select的注入:可以试下用union select+回显来注入,如果没有回显,那就只能够用盲注了。
  2. update的注入:如果是在update set的位置的话,那么我们可以找找这个表的哪个column会被展示出来。例如如果一个update的注入点是在用户表且是在set位置可控的话,那么我们可以update email这个column,然后去用户资料看一下自己的email就出数据了,语句例如update table set email=(select user());如果是在where后的话,那么一般也就是盲注了。
  3. insert的注入:一般也是通过找哪个column会不会显示出来,尽量把要出的数据插入到这个column里面去。 如果没显示的话,也是盲注。
  4. delete的注入:一般都是盲注了。

数字型注入主要就是因为他的变量并没有用单引号引住。但是基本上都是被强制类型转换了,譬如intval($username)啥的。但是有时候会有遗漏的嘛。
而字符型和搜索型的,都是会有单引号引住的。所以需要闭合单引号再来进行注入。

说到单引号不得不说个php.ini里的配置Magic_quotes_gpc,在稍微高点的版本默认都是on,但是却在5.4就已经废除了。
从字面意思上来看,就是对GPC QUOTE嘛。GPC对应的就是GET、POST和COOKIE,其中的内容,会被转义的字符为 ' “ \ NULL,转义的方式是在前面添加上一个转义符。从而导致了失去本来的意义,无法闭合单引号进行注入。

全局没有做addslashes的

像这种全局没有对GET/POST/COOKIE做addslashes的,这种厂商基本是会在查询的时候,再对一些用户可控的变量进行addslashes,甚至是不进行addslashes直接带入查询的。

这样的就算在查询的时候进行addslashes,在很多时候也都能找到几处遗漏了addslashes的。这种的比较简单,不多说。

全局做addslashes

现在稍微好一点的厂商都知道了在全局文件中对GET/POST/COOKIE做addslashes (甚至是在带入查询的函数中再做了转义或者预编译,这种给跪) 所以基本不用担心哪里遗漏了哪里忘记了addslashes) 这种的基本是首先先get magic quotes gpc 判断gpc是否开启,如果没开启的话,再调用addslashes来转义。如果开启的话,就不用来addslashes了。没开启就addslashes。

下面讲一些常见的注入方式

宽字节注入

这个是一个老生常谈的问题, 从一开始的数据库字符集GBK的宽字节注入,到现在也有很久了。但是并不是字符集为GBK的就能宽字节注入。

总有一些小伙伴说咋我看的cms字符集是gbk的,但是咋不能宽字节呢?
这是因为数据库的连接方式不同。数据库连接的时候,使用了Set names gbk这样的就能宽字节。

但是现在这样的基本都看不到了。因为基本都是设置了二进制读取了。这样的宽字节基本没了, 却有了另外一种,因为转换字符集造成的宽字节注入。譬如从utf8转到gbk,或者从gbk转到utf8什么的。

例子: WooYun: 74cms 最新版 注入8-9
解析:“錦”字,从UTF8转成GBK之后成了 %e5%5c
74,cms对GET/POST/COOKIE等都做了addslashes
,所以'转义后为\'
->%5C %e5%5c%5c' 两个\,则单引号出来了。

例子2: WooYun: qibocms 下载系统SQL注入一枚(官网可重现)

解码导致注入

因为在全局文件中addslashes,如果我们能找到一些解码的,例如urldecode、base64_decode之类的,那么我们先提交encode之后的,那么就能不被转义了。然后decode后,再带入查询,造成了注入,无视gpc。

这种的很常见。
例子很多 随便找一个

例子: WooYun: qibocms B2b 注入一枚 //qibocms 注入
例子: WooYun: phpdisk V7 sql注入2 //phpdisk 注入

变量覆盖导致的注入

常见的变量覆盖 有啥extract 和 parse_str 函数啥的,当然还有$$。

变量覆盖得结合一些具体的场景了。
例如extract($_POST)啥的,直接从POST数组中取出变量。这样的还是遇到过几个,然后覆盖掉之前的一些变量。

覆盖的话,一般是覆盖掉表前缀之类的。譬如Select * from $pre_admin where xxx像这种的就覆盖掉$pre,然后直接补全语句然后注入。

例子: WooYun: qibocms分类注入一枚可提升自己为管理
例子2: WooYun: phpmps 注入一枚

当然 $$ 也挺经常用到的 这个例子很不错。

例子3: WooYun: MetInfo最新版(5.2.4)一处SQL盲注漏洞

一些replace造成的注入

一些cms中,总有一些逗比过滤函数,譬如会把’ 啥的replace成空,但是他似乎忘记了自己全局有转义。

这时,当用户提交一个',全局转义成\',然后这过滤函数又会把'替换成空,那么就留下了\,导致可以吃掉一个单引号,是double query的话

select * from c_admin where username=’admin\’ and email=’inject#’

这样就可以注入了。

例子: WooYun: PHPCMS全版本通杀SQL注入漏洞

当然还有一些replace是用户可控的。就是说用户可以想把啥提交成空就提交成空,例如很久前的cmseasy和ecshop的那个注入。

例如这段代码:

$order_sn = str_replace($_GET['subject'],'',$_GET['out_trade_no']);

这里因为会被转义,如果提交'就成 \',这里可以看到,这里清成空的,是我们get来的,那我们就想办法把\给replace掉。

但是如果我们GET提交把\给replace,那么会被转义,就是replace掉\。
但是我们只是\',所以不能把\去掉,如果我有\,还要你清空个毛啊。

这里我们来理清一下思路:

Addslashes 会对' " \ NULL 转义

'    => \'
"    => \"
\    => \\
NULL => \0

那这里我们就提交%00’,就会被转义生成 \0\' ,这时候我们再提交把0替换成空,那么就成了\',单引号也就成功出来了。

例子: WooYun: cmseasy绕过补丁SQL注入一枚

SERVER未转义导致的注入

因为在很多cms中,基本上都只是对GET POST COOKIE 进行addslashes,而没有对SERVER进行转义。而一些SERVER的变量也是用户可以控制的。
例如什么 QUERY_STRING X_FORWARDED_FOR CLIENT_IP HTTP_HOST ACCEPT_LANGUAGE 很多。

这里最常见的当然也就是X_FORWARDED_FOR,这个一般是在ip函数中用到。如果后面没有进行验证ip是否合法的话就直接return,这个大部分时候都会导致注入。

例子1: WooYun: Phpyun注入漏洞二

这里说到验证ip,这里基本都是用的正则来验证是否合法。而一些厂商连正则都写错。
例如在cmseasy中的验证ip的正则中(%.+),导致了后面可以写任意字符。

例子2: WooYun: CmsEasy最新版本无限制SQL注射

FILES未转义导致的注入

这个也差不多,也是因为全局只对COOKIE GET POST 转义,遗漏了FILES,且不受gpc。

FILES注入一般是因为上传,会把上传的名字带到insert当中入库。然后这里文件的名字是我们可以控制的,所以导致了注入。

例子: WooYun: qibocms 黄页系统SQL注入一枚

还有一些,在入库的时候才对文件的名字进行了转义,而在获取后缀后,在入库的时候对文件名转义了却没有对后缀转义也导致了注入

例子: WooYun: Supesite 前台注入 #2 (Insert)

未初始化造成的注入

很久以前php<4.20的时候,为了方便,register_globals默认都是on。
而到了后面register_globals的弊端也显现了出来, 所以也在很久以前默认都是off了。

而到了现在, 很多cms却喜欢模仿register_globals 搞起了伪全局机制。
例如啥qibocms metinfo destoon 啥的啊。

这样是方便了不少, 但是如果哪里遗漏了初始化,那么就会导致注入了。感觉这种的挺好玩的 多找了几个例子

例子: WooYun: qibocms地方门户系统注入一个问题(demo测试)
例子: WooYun: qibocms地方门户系统注入(多处类似,demo测试)
例子: WooYun: 齐博地方门户系统SQL注入漏洞(无需登录可批量)
例子: WooYun: 齐博整站/地方门户SQL注入漏洞

数组中的key导致的注入

因为在对全局转义的时候,很多cms都只是判断gpc是否开启,如果off,就对数组中的value就行addslashes,却忘记了对数组中的key进行转义。

那么这样也导致了一个问题。也就是在Gpc off的时候那么数组的key没有被过滤,导致可以引入单引号。(听说低版本的php对二维数组中的key就算gpc on 也不会转义)

如果哪里把数组中的key,读取出来,然后把key带入到了查询当中,那么也会造成安全问题。

而且这样的例子很多。 简直惨不忍睹。
例子: WooYun: qibocms V7 整站系统最新版SQL注入一枚 & 另外一处能引入转义符的地方。 //数组key的注入
例子: WooYun: qibocms多个系统绕过补丁继续注入2
例子: WooYun: qibocms全部开源系统 Getshell
例子: WooYun: Discuz 5.x 6.x 7.x 前台SQL注入漏洞一枚

offset造成的注入

这种算是比较常见的一种注入的。

代码大概如下:

<?php
$key=0;
$a=$_GET[a][$key];
$b=$_GET[b];
Mysql_query("select * from table where xxx='$a' and xx='$b'")

如果这里$_GET[a] 提交的是一个数组,且含有一个key为0的,那么$a就是对应的这个key的value。

但是这里并没有强制要求为数组。
那么我们提交一个字符串,那么后面的[0]就是截取的第一个字符。在全局中,单引号被转义为\',截取第一个字符就为了\。\会吃掉一个单引号,然后就在$b处写入inject可以注入了。

例子: WooYun: qibocms 地方门户系统 注入#4(demo测试)

还有map发的那Disucz 7.2的那注入也一样。

第三方插件导致的注入

很常见的一种洞。
比较常见的uc和alipay tenpay chinabank 啥的特别是uc,因为默认uc里面都会striplashes

Uc的话,一般会遇到的问题是uckey默认的。或者是uckey这个常量根本就没有初始化,导致了uckey可控,再导致了Getshell或者注入啥的。

还有tenpay 和 alipay 啥的,一些是因为忘记把过滤的文件包含进来,且key默认是空的,导致可以通过验证。

例子: WooYun: phpmps 注入 (可修改其他用户密码,官网成功) // phpmps uc致注入
例子: WooYun: PHPEMS (在线考试系统) 设计缺陷 Getshell一枚(官网已shell) /phpems uc致getshell
例子: WooYun: 最土团购注入一枚可直接提升自己为管理 & 无限刷钱。 //最土团购 chinabank致注入
例子: WooYun: Destoon Sql注入漏洞2(有条件) //destoon tenpay致注入
例子: WooYun: CSDJCMS程式舞曲最新版Sql 一枚 //csdj tenpay致注入

数字型注入

其实也不只是数字型,只是说一些忘记加单引号的地方都这样。这里只是一般数字型的都不会加单引号的。

一般的是这样:

$id=$_GET[id];
Select * from table where id=$id;

$id,没被单引号,且没有被强制类型转换,那么就算addslashes了,由于不需要去闭合单引号,所以也无影响。

例子: WooYun: qibocms 地方门户系统 注入#3 (demo测试)

并不是一些数字型,一些其他的点也有些忘记加单引号,导致了注入。

例子: WooYun: Supesite 前台注入 #3 (Delete)

二次注入

也是一种比较常见的注入。涉及到的是入库和出库。因为有全局转义,然后入库的时候

    insert into table (username) values ('a\'');

这样入库后,转义符就会消失,那么就是a'。如果哪里再把这个查询出来,那么也就是出库的是a',如果再把出库的 再带入到了查询啥的,那么就再次成功的引入了单引号导致了注入。
例子: WooYun: phpyun v3.2 (20141226) 两处注入
例子: WooYun: qibocms 地方门户系统 二次注入#5(demo测试)
例子: WooYun: 74cms (20140709) 二枚二次注入
例子: WooYun: Hdwiki最新版二次注入一枚

截取字符导致的注入

有些cms有的时候会限制用户输入的长度,所以只截取一部分

例如uchome的cutstr($asd,32);
这样只允许输入32个字符,而且uchome里面的这个也没有像dz那样截取字符的后面加...
那么如果我们提交一个1111111111111111111111111111111’
被转义后成1111111111111111111111111111111\’
然后截取32个字符,就是1111111111111111111111111111111\

如果又是double query的话,吃掉一个单引号,然后下一个连着的可控变量又可以注入了。

例子: WooYun: Hdwiki (20141205) 存在7处SQL注入漏洞(含之前处理不当安全的漏洞) //里面的0x06

例子: WooYun: Hdwiki (20141205) 存在7处SQL注入漏洞(含之前处理不当安全漏洞) //里面的0x06

转载自:http://drops.wooyun.org/papers/4544,在原文基础上有简单整理修改。


版权声明:未经书面授权禁止转载、摘编、复制或建立镜像。对既成事实本站将保留所有的权利。