SQL इंजेक्शन के बारे में जासूसी कहानी, कभी-कभी अंधा

आपका दिन शुभ हो!

मैं इसके बारे में एक लेख लिखने के लिए नहीं सोचूंगा, क्योंकि मैंने सोचा था कि विषय बहुत काट दिया गया है। लेकिन इस लेख को देखते हुए , दर्शकों को दिलचस्प है। मुझे आखिरकार यकीन हो गया कि मुझे यह टिप्पणी लिखने की आवश्यकता है।

यह कहानी एक "मेरे परिचित के परिचित" के साथ हुई, लेकिन संक्षिप्तता के लिए मैं उसके शब्दों का उद्धरण लिखूंगा, सिर्फ "मैं" का उपयोग करके। डेढ़ हफ्ते पहले की बात है। चलो चलते हैं।

मुझे एक यूरोपीय भाषा सीखने की जरूरत है, एक यूरोपीय देश के लिए संभव कदम के प्रकाश में। और मुझे एक अद्भुत साइट मिली, जिस पर पॉडकास्ट का उपयोग करके एक भाषा सीखने का प्रस्ताव था। पॉडकास्ट स्वयं स्वतंत्र हैं, लेकिन आप पाठ नोट्स और अभ्यास के साथ पीडीएफ खरीद सकते हैं। मुझे वास्तव में इन अभिलेखों की आवश्यकता नहीं है, लेकिन मेरी पत्नी, मेरे विपरीत, सभी ऑडिटर में नहीं थी, और उसे भाषा सीखने की भी आवश्यकता थी। इंटरनेट पर कुछ खरीदने से पहले, मैं विक्रेता की वेबसाइट का सावधानीपूर्वक अध्ययन करता हूं - मैं नहीं चाहता कि मेरा डेटा कहीं लीक हो। और इस मामले में, सब कुछ खराब से अधिक निकला। कुछ खरीदने की इच्छा तुरंत गायब हो गई। लेकिन पीडीएफ के बिना बने रहना अनिश्चित है। अंत में, मैंने पाया कि कमजोरियों में से एक का उपयोग करने का प्रयास करना चाहिए। मुझे तुरंत यह कहना होगा कि मैं मूल रूप से किसी भी स्वचालित भेद्यता स्कैनर का उपयोग नहीं करता हूं और मूल रूप से संसाधन के उपयोगकर्ताओं को कोई नुकसान नहीं पहुंचाता - वे इसे लिखने वाले संसाधन की मेजबानी के लिए दोषी नहीं हैं। इसलिए, मेरे उपकरण कमजोरियों के उद्भव और उपयोग के कारणों के लिए एक समझ और सैद्धांतिक ज्ञान हैं।

शुरुआत

सबसे पहले, मैंने पीडीएफ के रूप में डाउनलोड के लिए उपलब्ध कुछ डेमो को देखा। सबसे पहले, उपयोगकर्ता को भेजा गया था:

/guide.php?id=lesson_id

इस बिंदु पर, यह जाँच की जाती है कि वर्तमान उपयोगकर्ता के पास निर्दिष्ट पीडीएफ डाउनलोड करने का अधिकार है या नहीं। यदि ऐसा है, तो एक अनुप्रेषित है:

/download.php?f=filename.pdf

तुरंत यह पता चला कि यह स्क्रिप्ट बिना किसी जाँच के निर्दिष्ट फ़ाइल देती है। क्योंकि पाठ संख्या 1 के लिए एक सुलभ उदाहरण में फ़ाइल का नाम 001 था। पीडीएफ में मैंने सभी फाइलों को क्रूरता से प्राप्त करने का प्रयास करने का निर्णय लिया। यदि सब कुछ इतना सरल था, तो इसके बारे में लिखने के लिए कुछ भी नहीं होगा। लेकिन इस तरह से केवल पहली 100 फाइलें प्राप्त हुईं। बाकी के पास उनके नाम पर निर्माण समय का टाइमस्टैम्प था और उन्हें छांटना असंभव हो गया, क्योंकि निर्माण का समय कई महीनों से अलग है।

हम SQL इंजेक्शन खोल देते हैं

बहुत जल्द ही सबसे सामान्य SQL इंजेक्शन GET पैरामीटर में पाया गया था:

/some_script.php?id=123

ऐसा लगता है कि आगे इसका उपयोग बहुत ही सरलता से किया गया है:

1. अनुरोध में मापदंडों की संख्या निर्धारित करें
2. तालिकाओं और फ़ील्डों के नाम चुनें (MySQL 5.0 और उच्चतर के मामले में - उन्हें information_schema से चुनें)
3. वांछित फ़ाइल नाम प्राप्त करें
4. फाइलें खुद डाउनलोड करें

लेकिन समस्याएं पहले बिंदु से शुरू हुईं - अनुरोध में फ़ील्ड की संख्या निर्धारित करना संभव नहीं था। यूनिअन सिलेक्ट के किसी भी क्षेत्र के लिए और ORDER BY n में किसी भी संख्या के लिए, मुझे संदेश मिला "आपको अपने सिंटैक्स में त्रुटि है ..."

वास्तव में, मैंने गलती से अनुमान लगाया कि वास्तव में समस्या क्या थी - ग्रुप बी 1 करने की कोशिश की। मुझे एक "cnt द्वारा समूह नहीं" त्रुटि प्राप्त हुई। यह पता चला कि कमजोर पैरामीटर दो बार उपयोग किया जाता है (ठीक है, कम से कम मैं इस धारणा का खंडन नहीं कर सकता)।

सबसे पहले, निर्दिष्ट आईडी के साथ रिकॉर्ड की संख्या का चयन किया जाता है:

SELECT count(*) FROM table where id=123

यदि प्रविष्टियों की संख्या 0 है, तो यह माना जाता है कि पृष्ठ नहीं मिला है और मुख्य पृष्ठ पर पुनर्निर्देशित होता है। यदि कोई रिकॉर्ड 0 नहीं हैं, तो जानकारी बाहर खींच ली गई है:

SELECT * FROM table where id=123

अब यह स्पष्ट हो जाता है कि क्वेरी में फ़ील्ड की संख्या का पता लगाना क्यों संभव नहीं था - उनमें से 2 हैं और उनमें से एक में हमेशा UNION में फ़ील्ड की गलत संख्या होगी। मैं पहले और दूसरे अनुरोध में UNION में विभिन्न क्षेत्रों को सम्मिलित करने के तरीके के साथ आने में सक्षम नहीं था। और उस पल में, SQL इंजेक्शन अंधा हो गया। मुझे फ़ाइल पथों के साथ तालिका का नाम नहीं मिल रहा था, लेकिन मैं उपयोगकर्ता डेटा (MySQL 4.1) के साथ तालिका का नाम खोजने में कामयाब रहा।

प्रिय डेवलपर्स, 2 अनुरोध न करें, जहां आप एक बना सकते हैं! इस मामले में, SELECT count (*) के बजाय, SELECT * क्वेरी द्वारा दिए गए रिकॉर्ड की संख्या की जांच करना संभव था

अब यह उपयोगी जानकारी प्राप्त करने का एक तरीका है। मुझे यह पसंद आया:

/script.php?id=123 limit 0,0 union all select length(username)>4 from tablename limit 0,1--

हम यहां क्या देख रहे हैं:

• 123 सीमा 0,0 - से गणना (*) हमेशा हमारे लिए एक रिकॉर्ड वापस लौटेगी और हमें नहीं पता कि वास्तव में अनुरोध के हमारे हिस्से द्वारा क्या लौटाया गया था, हमें इसे परिणाम से हटाने की आवश्यकता है
• सभी चयनित लंबाई (उपयोगकर्ता नाम)> 4 टैबलेन सीमा से 0.1 को सीमित करें - - यदि उपयोगकर्ता नाम 4 से अधिक है, तो शर्त सही है, MySQL एक वापस आएगा, और फिर दूसरी क्वेरी निष्पादित करने की कोशिश करते समय एक त्रुटि। यदि स्थिति गलत है, तो यह 0 पर वापस आ जाएगी और पुनर्निर्देशित हो जाएगी। खैर और अंत में टिप्पणी के लिए '-'

इस प्रकार, HTTP हेडर का उपयोग करके, आप यह निर्धारित कर सकते हैं कि क्या हमने सही स्थिति पास की है। सबसे पहले, हम उपयोगकर्ता नाम की लंबाई निर्धारित करते हैं, फिर, एक द्विआधारी खोज में, हम नाम को खुद (कम (पदार्थ (उपयोगकर्ता नाम, 1,1)) में खींचते हैं ('ए', 'बी', 'सी'))। फिर हम पत्र द्वारा पासवर्ड अक्षर को बाहर निकालते हैं। लेकिन यह पता चला है कि पासवर्ड md5 में हैशेड है। हालाँकि, हैशिंग नमक मुक्त था, फिर भी साइट प्रशासक पासवर्ड खोजना संभव नहीं था (कोई भी इंद्रधनुष तालिकाएँ नहीं थीं, लेकिन मैं नेटबुक पर ब्रूटफोर्स नहीं करना चाहता था; यह भी असम्भव है)।

कुछ विचार के बाद, दूसरे रास्ते पर जाने का फैसला किया गया। क्योंकि डेटाबेस 60,000 से अधिक उपयोगकर्ता निकला, मैंने माना कि उनमें से कई के पास लोकप्रिय पासवर्ड हैं। और फिर केवल उन उपयोगकर्ता के नाम पत्र को बाहर निकालना आवश्यक था जिनके पासवर्ड हैश md5 ('पासवर्ड') हैं - उनमें से 100 से अधिक थे और उनमें से ऐसे लोग थे जिन्होंने आवश्यक पीडीएफ खरीदा था। और वे कृपया मेरे साथ उन्हें साझा करने के लिए सहमत हुए।

यह सब एक बहुत ही सरल स्क्रिप्ट का उपयोग करके किया गया था जिसने एक HEAD अनुरोध भेजा (हमें पृष्ठ की बॉडी की आवश्यकता क्यों है?) और प्रतिक्रिया हेडर पर देखा। यदि 200, स्थिति सत्य है; यदि 302 है, तो यह सत्य नहीं है।

निष्कर्ष

यह सब क्यों लिखा गया है? यह दिखाने के लिए कि आपको कमजोरियों के सार और कारणों को जानने की जरूरत है, न कि उनका उपयोग करने के तरीके को याद रखने की। SQL इंजेक्शन का उपयोग करने के सभी तरीके, जो मैंने इंटरनेट पर देखे थे, ने ORDER BY 5 या UNION SELECT 1,2,3 के माध्यम से फ़ील्ड की संख्या निर्धारित करने का सुझाव दिया था ... और एक व्यक्ति जो सोचना नहीं चाहता था वह साइट को कुछ भी नहीं छोड़ देगा।

इसके अलावा, मुझे हैश तोड़ने के बजाय अपने वर्कअराउंड पर थोड़ा गर्व है। ठीक है, बहुत पहले नहीं , आधुनिक इंटरनेट पर इस तरह की कमजोरियों के अस्तित्व के बारे में और नेत्रहीन इंजेक्शन इंजेक्शन के व्यावहारिक उपयोग के बारे में संदेह व्यक्त किया गया था।

पुनश्च वास्तविकता के साथ सभी संयोग यादृच्छिक हैं। मशहूर हस्तियों की आवाज़ नकली और मनहूस होती है।