Файл: Web'cepbep.docx

Это приведет к тому, что мы увидим информацию из системной таблицы о приви­легиях (рис 5.5).

Если вы до сих пор не знали о проблеме SQL-инъекции, то, надеюсь, этим приме­ром я смог вас заинтересовать. Теперь давайте разберемся с проблемой подробнее.

1. 
   Сбор информации
   

Прежде чем продолжить атаку, хакеру необходимо собрать как можно больше ин­формации о системе, в которую он попал. Желательно получить следующую ин­формацию:

1. 
   Количество колонок, выбираемых запросом, в который мы внедряемся. Как раз­работчик сценария и таблицы я знал, что в ней 6 колонок и все они выбираются, так что мне не составляло труда эксплуатировать это.
   
2. 
   Какие именно поля отображаются. Тут я тоже знал, что отображаются второе, третье и четвертое поле из выполняемого запроса.
   

Имея эту информацию, можно его попробовать проникнуть дальше и выяснить имена пользователей в базе данных и пароли.

В этом разделе мы поговорим о том, каким образом можно получить максимально возможную информацию.

Итак, как можно посчитать количество полей? Самый простой способ — объедине­ние union с другим SQL-запросом. Когда два SQL-запроса объединяются через un­ion, то они будут выполнены, только если оба возвращают одинаковое количество полей и типы соответствующих полей имеют совместимый тип.

А с каким SQL-запросом нам произвести объединение? Что он должен возвращать и откуда брать данные? Да ниоткуда и ничего. Он просто должен возвращать нуле­вое значение. Нулевые значения позволят нам забыть о типах полей. Например, следующий SQL-запрос вполне корректен и возвращает одно пустое значение (null):

SELECT null

Можно возвращать какую-то строку:

SELECT '1'

Что выбрать? Зависит от ситуации. В нашем случае нужно второе. Дело в том, что мы внедряемся в запрос между двумя кавычками:

SELECT * FROM phone WHERE firstname=''

Мы должны передать хотя бы одинарную кавычку и после этого запрос. Если мы передадим:

' union select null то получится:

SELECT * FROM phone WHERE firstname='' union select null'

Но проблема в том, что в конце осталась одна кавычка, которая открыта, но не за­крыта. Чтобы от нее избавиться, можно использовать второй подход с выбором строки, то есть передать:

' union select ' 1

что приведет к этому запросу:

SELECT * FROM phone WHERE firstname='' union select '1'

В результате сервер отобразит ошибку:

The used SELECT statements have a different number of columns

---

что означает — в данном SELECT-запросе используется некорректное число коло­нок. Это не дословный перевод, но смысл верный.

Значит нам нужно добавить еще колонку

' union select '1', '1

Потом еще:

' union select '1', '1' , '1

И таким образом продолжать добавлять, пока запрос не выполнится. Так как запрос в коде возвращает 6 колонок, то мы добьемся результата, добавив 6 колонок:

' union select '1', '1', '1', '1','1','1

Сообщение об ошибке упростило поиск, но в реальной жизни на большинстве сай­тов сообщения об ошибках отключены, и в этом случае можно увидеть два вариан­та поведения сайта — при ошибке он будет отображать ошибку типа 404 или про­сто пустую страницу. В любом случае — это признак того, что мы предоставили некорректное количество колонок и нужно увеличивать, пока страница не отобра­зится с какими-то данными.

Примечание

В SQL-запросе можно вместо пробела указывать знак плюса, например:

union+SELECT+null,+null.

Иногда такая запись запроса более удобна, особенно если пробелы отфильтровываются сценарием.

В некоторых случаях подбор могут упростить символы комментариев — двойное тире или /* на конце. Например, можно попробовать передать:

' union select '1' /*

Это работает не всегда — зависит от кода и базы данных, которые использовались на сервере. Но попробовать использовать символы комментария все же можно, и если они работают, то это упростит жизнь.

А что означает /* на конце? Эти два символа указывают СУБД, что весь после­дующий текст в SQL-запросе — это комментарий и его выполнять не нужно. Если не указать этого, то СУБД вернет ошибку в любом случае. Почему?

Если после внедрения нашего объединенного SQL-запроса не поставить коммента­рий в конце, он примет следующий вид:

SELECT *

FROM smf_polls WHERE posterName='' union

SELECT null '

Обратите внимание на одинарную кавычку в конце. Она лишняя, и из-за нее СУБД не сможет выполнить SQL-запрос. Благодаря комментарию мы можем отбросить эту точку:

---

SELECT *

FROM smf_polls

WHERE posterName='' union SELECT null /* '

Запрос может быть и более сложным:

SELECT *

FROM smf_polls

WHERE posterName='$username' and field2='$param'

ORDER BY posterName LIMIT 0, 25

Тут уже после переменной $username еще очень много операторов, и они также представляют для нас проблему. Символ комментария позволяет отбросить эту часть SQL-запроса.

Все примеры, которые мы рассматривали ранее, подразумевают, что переменная, в которую мы включили SQL-запрос, является строковой. В запросах переменную такого типа необходимо заключать в одинарные кавычки. Если переменная должна быть числовой, то ее заключение в одинарные кавычки не является обязательным. Например:

SELECT *

FROM poll

WHERE pollid = $pollid

В данном случае переменная $pollid не заключается в кавычки, а значит, кавычку не нужно передавать в качестве параметра. Достаточно просто передать вставку SQL-запроса.

Помимо стандартных SQL-запросов select каждая СУБД поддерживает свои рас­ширения, с помощью которых можно получить подробную информацию об объек­тах базы данных. Позже мы обсудим нюансы сбора информации в Microsoft SQL Server, а в этой главе мы говорим о связке PHP + MySQL, и значит, рассматриваем именно MySQL.

Начнем с оператора SHOW. Он имеет несколько вариантов, и первый из них, который мы рассмотрим, будет отображать доступные базы данных. Для этого необходимо выполнить оператор show databases. В результате на экране будут отображены имеющиеся базы данных:

---

---

На моем сервере несколько баз данных. Первая из них является системной. В ней хранятся системные таблицы, которые могут сообщить хакеру достаточно ценную информацию о базе данных и ее содержимом.

Для просмотра таблиц в текущей базе данных необходимо выполнить оператор show tables. Если выполнить эту команду в базе данных mysql, то вы увидите при­мерно следующий результат:

---