电子商务网站SQL注入项目实战一例
故事A段:发现整站SQL对外输出:
有个朋友的网站,由于是外包项目,深圳某公司开发的,某天我帮他检测了一下网站相关情况。
我查看了页面源代码,发现了个惊人的事情,竟然整站打印SQL到Html里,着实吓我一跳:
PS:2年前秋色园系列文章有分享一文是整站SQL打印用于分析网站性能,不过也只是本地优化调试,而服务器上也采用某特殊条件才打印。
于是把这赤祼祼的对外公开的SQL问题反映了过去,之后算是取消了。
故事B段:错误异常打印了SQL,诱人:
过了些许天,我又抽空看了看:
原始路径为:http://www.xxx.com/s-l----333.html,我随意加了个引号:
直接打印SQL?这不是引诱人犯罪么?好吧,当时被诱了一下,花了小半天折腾了一下。
故事C段:发现有简单的SQL关键字过滤:
随意加了个“and“条件,发现有过滤一些关键字:
然后多次检测,发现过滤了:and select,update,delete等关键字。
故事D段:发现可以执行自定义语句,但SQL账号似乎没有SA权限或者是关闭了xp_cmdshell服务:
于是我组了一条truncate table xxx,当然,这是个不存在的表名:
http://www.xxxx.com/s-l-82900-6'%20%20or%201=1;truncate%20table%20abc;--
试了下,执行完成,没报啥提示,太恐怖了。
既然可以执行自定义语句,那执行下提权语句看看:
http://www.xxxx.com/s-l-82900-6'%20%20or%201=1;exec master..xp_cmdshell 'net user test 1234 http://www.xxxx.com/s-l-82900-6'%20%20or%201=1;exec master..xp_cmdshell 'net localgroup administrators test /add
发现没啥提示,但是账号不起效果,所以估计sql的账号没有sa权限可以调用xp_cmdshell,另外这里,由于--符号被用来分隔字符串,所以不起作用。
故事E段:发现登陆有明显的SQL漏洞:
过了点时间,我就不折腾了,我打算注册个账号看看其它情况。
到了登陆页,发现注册还要绑定手机号,我就不注册了,于是在登陆里随手弄了一个常见的a' or 1=1--
竟然报密码错误,吓我一跳,说明用户名注入了,只是密码那关错误。
故事F段:发现验证码竟然在Cookie里:
通过拦截请求信息,发现更奇葩的事:
验证码竟然直接放在Cookie里,这。。。
故事G段:破解用户密码:
既然用户名可以注入,为啥密码还报错误?
通过错误的语法,看了一下对方的SQL语句,猜出了基本的代码逻辑:
根据用户名查出了账号信息,取出的数据的密码再和密码对比。
构造注入语句,发现密码为md5存储:
既然可以注入,这里就可以执行语句了,于是,使用普通的语句弄个账号登陆试试。 一开始我构造了条件: username=a' or password=''--&password=123456&verifycode=5020 考虑到用弱密码123456的很多,我就试了下,发现没搞头,本来还想写个爆破弱口令的账号。 后来想想,这密码,一般都是加密的,所以我要知道对方的加密方式。 通过多次构造类似下面的语句: username=a' or len(password)=16--&password=123456&verifycode=5020 最终确定了为md5加密存储。 于是把123456 md5一下变成: username=a' or password='49ba59abbe56e057'--&password=123456&verifycode=5020
没想到,来了个以下坑爹的提示:
试了下很多个账号,都是这种情况,这提示太坑爹,忽悠了我。
PS:其实是账号通过了,直接拿返回的Cookie就可以进用户的,不过我被忽悠了,以为不可用。
返回的Cookie,实际也是加密的,所以,这种方式,看不到手机号,所以没法直接简单的登陆。
再构造SQL注入语句,创建属于自己的账号和密码:
于是,我想通过构造更新语句,把某个账号的手机号和密码都更新一下,然后再我登陆进去。 所以,我就必须执行类似于:update xxx set username='',password='' where uid= 由于过滤掉update,所以直接来是不行的,本来打还算编码成16进制折腾,发现转16进制麻烦,也懒的开vs折腾。 于是我想到了一个简单的方式,把语句反过来写,再用reverse函数把语句转过来执行。
最终就成了以下函数:
username=';declare @A varchar(200);set @A=reverse('''''=emanresu erehw ''9d4d9c1ac9814f08''=drowssaP tes xxx tadpu');exec(@A);--&password=88888888&verifycode=2222
执行后,发现都是返回“当前账号已冻结,请联系客户”这句大忽悠的话。。。
害的我试了N个账号,最后拿其中一个登陆了,才发现是正常的。
后来告诉了对方有SQL注入漏洞,最后反馈说用SQL工具检测正常,无语。
再后来就示例告诉了对方,修正了这个漏洞后,我就写文分享了。
总结:
1:验证码怎么可以放Cookie里?
2:SQL语句怎么可以随意打印给别人看?
3:SQL注入检测怎么能光靠工具?
4:防SQL注入怎么能靠几个简单的关键字过滤?
补充截图:
电子商务网站SQL注入项目实战一例的更多相关文章
- 电子商务网站SQL注入项目实战一例(转载)
故事A段:发现整站SQL对外输出: 有个朋友的网站,由于是外包项目,深圳某公司开发的,某天我帮他检测了一下网站相关情况. 我查看了页面源代码,发现了个惊人的事情,竟然整站打印SQL到Html里,着实吓 ...
- 嗅探、中间人sql注入、反编译--例说桌面软件安全性问题
嗅探.中间人sql注入.反编译--例说桌面软件安全性问题 今天这篇文章不准备讲太多理论,讲我最近遇到的一个案例.从技术上讲,这个例子没什么高深的,还有一点狗屎运的成分,但是它又足够典型,典型到我可以讲 ...
- miniFTP项目实战一
项目简介: 在Linux环境下用C语言开发的Vsftpd的简化版本,拥有部分Vsftpd功能和相同的FTP协议,系统的主要架构采用多进程模型,每当有一个新的客户连接到达,主进程就会派生出一个ftp服务 ...
- 网站SQL注入防御实战
SQL注入作为直接威胁web业务的最严重攻击行为,已经被大多数的网站管理员所了解,这种通过HTTP标准端口,利用网页编码不严谨,提交精心构造的代码实现对数据库非授权访问的攻击方法,已经被越来越多的sc ...
- 网站sql注入漏洞修复方案之metinfo 6.1.0系列
近日,我们SINE安全对metinfo进行网站安全检测发现,metinfo米拓建站系统存在高危的sql注入漏洞,攻击者可以利用该漏洞对网站的代码进行sql注入攻击,伪造恶意的sql非法语句,对网站的数 ...
- 网站SQL注入之数字型注入和字符型注入
什么是SQL注入- (SQL Injection)是一种常见的Web安全漏洞,攻击者利用这个漏洞,可以访问或修改数据,或者利用潜在的数据库漏洞进行攻击.1,是一种将SQL语句插入或添加到应用(用户)的 ...
- python打造一个分析网站SQL注入的脚本
前言: 昨天晚上其实就已经写完代码.只不过向FB投稿了,打算延迟一晚上在写博客 所有才到今天早上写.好了,接下来进入正题. 思路: 1.从网站源码中爬取那些类适于:http://xxx.com/xx. ...
- python3.6+selenium3.13 自动化测试项目实战一
自己亲自写的第一个小项目,学了几天写出来的一个小模块,可能还不是很完美,但是还算可以了,初学者看看还是很有用的,代码注释不是很多,有问题可以加我QQ 281754043 一.项目介绍 目的: 测试某官 ...
- 一个网站SQL注入的案例
网站的页面提交参数做了md5转换,而且参数会带入两个SQL语句中执行. 注入是肯定存在的,但是SQLMAP怎么都跑不出来(可能原因是其中有个SQL语句总是报错). 尝试手工,发现 order by 报 ...
随机推荐
- 多Linux系统如何复用/home目录
Brief: 1./home单独分区:2.不同系统/home建立不同的用户名:3.不同系统/home对其他用户授权 Linux下/home文件夹可以通用吗?例如我机器上同时装了两个Linux系统,可以 ...
- Delphi之通过代码示例学习XML解析、StringReplace的用法
这个程序可以用于解析任何合法的XML字符串. 首先是看一下程序的运行效果: 以解析这样一个XML的字符串为例: <?xml version="1.0" encoding=&q ...
- 【体系结构】动态调度算法:记分牌算法和tomasulo算法
记分牌和tomasulo算法 动态调度: 通过硬件在程序执行时重新安排代码的执行序列来减少竞争引起的流水线停顿时间 动态调度流水线具备以下功能: (1)允许按序取多条指令和发射多条指令----取指(I ...
- 【DWR系列01】-DWR简介及入门例子
.literal { background-color: #f2f2f2; border: 1px solid #cccccc; padding: 1px 3px 0; white-space: no ...
- 解决Linux不能上网ping:unknown host的问题
修改配置文件:/etc/sysconfig/network-scripts/ifcfg-eth0 vim /etc/sysconfig/network-scripts/ifcfg-eth0 在里面添加 ...
- Office文档在线预览
工具说明:通过传入文档的Web地址,即可进行Office文档的在线预览. 使用方式: 在http://office.qingshanboke.com地址后,通过url参数传入您想预览的文件路径. 如: ...
- 表单验证<AngularJs>
常用的表单验证指令 1. 必填项验证 某个表单输入是否已填写,只要在输入字段元素上添加HTML5标记required即可: <input type="text" requir ...
- UGUI全面实践教程
UGUI全面实践教程 试读文档下载地址:http://pan.baidu.com/s/1hq3UYGk 介绍:UGUI是Unity官方推出的最新UI系统.本教程为国内唯一的UGUI专向资料.本教程 ...
- 蜻蜓FM笔试题目,求两个点的最近父节点
这个博客写的特别好. http://blog.csdn.net/kangroger/article/details/40392925
- 51nod 1712 区间求和
题意 给你一个长度为 \(n\) 的序列,定义这个序列的权值为 $ \sum_{1 \leq i<j \leq n} a_j - a_i $. 现在给你一个长度为 \(n\) 的序列,当$ a_ ...