Файл: Web'cepbep.docx

Я показал не все таблицы, а только несколько для примера, и самая интересная из них — это user. Если у вас есть под рукой СУБД MySQL, то выполните SQL-запрос:

SELECT *

FROM mysql.user

Данный SQL-запрос выбирает все записи из таблицы user базы данных mysql. В этой таблице хранятся имена пользователей, их зашифрованные пароли, а так­же права доступа для каждого пользователя. Если у вас такой базы данных нет, то ничего страшного, мы рассмотрим основные поля этой таблицы:

• 
  Host — имя хоста;
  
• 
  User — имя пользователя;
  
• 
  Password — зашифрованный пароль пользователя;
  
• 
  Select_priv — если в этой колонке Y, то пользователю разрешено выполнять оператор sELECT;
  

• 
  Insert_priv — если в этой колонке Y, то пользователю разрешено вставлять но­вые записи, то есть выполнять оператор insert;
  
• 
  Update_priv — если в этой колонке Y, то пользователю разрешено обновлять данные, то есть выполнять оператор update;
  
• 
  Delete_priv — если в этой колонке Y, то пользователю разрешено удалять дан­ные, то есть выполнять оператор delete;
  
• 
  Create_priv — если в этой колонке Y, то пользователю разрешено создавать но­вые таблицы или базу данных, то есть выполнять оператор create table;
  
• 
  Drop_priv — если в этой колонке Y, то пользователю разрешено удалять таблицы или базу данных, то есть выполнять оператор drop table;
  
• 
  Grant_priv — если в этой колонке Y, то пользователю разрешено управлять пра­вами доступа, то есть выполнять операторы grant и deny;
  
• 
  File_priv — если в этой колонке Y, то пользователю разрешено получать доступ к файловой системе с помощью операторов select into outfile и load data infile;
  
• 
  Index_priv — если в этой колонке y, то пользователю разрешено управлять ин­дексами: создавать и удалять;
  
• 
  shutdown_priv — если в этой колонке Y, то пользователю разрешено останавли­вать работу сервера;
  
• 
  Process_priv — если в этой колонке Y, то пользователю разрешено управлять процессами сервера;
  
• 
  Alter_priv — если в этой колонке Y, то пользователю разрешено изменять структуру таблицы, то есть выполнять оператор alter.
  

---

Если вы хотите просмотреть права доступа пользователя root, то выполните сле­дующий SQL-запрос:

SELECT *

FROM mysql.user

WHERE User='root'

По выведенной таблице хакер может узнать не только текущие права доступа всех пользователей, но и добавить нового пользователя или изменить чьи-то права, если у него будут соответствующие права доступа.

Следующий SQL-запрос добавляет нового пользователя, которому доступны все привилегии:

INSERT INTO user

VALUES ('%', 'hacker', password('mypass'), 'Y', 'Y',

'Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y')

Если добавление новых записей недоступно, зато доступно обновление, то хакер может изменить существующую учетную запись, изменить ее пароль или права:

UPDATE user SET Drop_priv='Y'

WHERE user='hacker'

Чаще всего добавление все же доступно, тут не должно возникнуть проблем.

Следующая таблица, которая позволяет управлять правами, — это db. Если в таблице user содержатся права доступа ко всем базам данных, то в db — только к определенной. Для чтения данных из таблицы выполняем SQL-запрос:

SELECT *

FROM mysql.user

В этой таблице можно найти следующие поля:

• 
  Host — имя хоста;
  
• 
  db — база данных;
  
• 
  User — имя пользователя;
  
• 
  Select_priv — если в этой колонке Y, то пользователю разрешено выполнять оператор SELECT;
  
• 
  Insert_priv — если в этой колонке Y, то пользователю разрешено вставлять но­вые записи, то есть выполнять оператор insert;
  
• 
  Update_priv — если в этой колонке Y, то пользователю разрешено обновлять данные, то есть выполнять оператор UPDATE;
  
• 
  Delete_priv — если в этой колонке Y, то пользователю разрешено удалять дан­ные, то есть выполнять оператор DELETE;
  
• 
  Create_priv — если в этой колонке Y, то пользователю разрешено создавать новые таблицы или базу данных, то есть выполнять оператор create table;
  
• 
  Drop_priv — если в этой колонке Y, то пользователю разрешено удалять таблицы или базу данных, то есть выполнять оператор DROP TABLE;
  
• 
  Grant_priv — если в этой колонке Y, то пользователю разрешено управлять пра­вами доступа, то есть выполнять операторы GRANT и DENY;
  
• 
  Alter_priv — если в этой колонке Y, то пользователю разрешено изменять структуру таблицы, то есть выполнять оператор alter.
  

---

Как видите, здесь хранятся права, которые относятся только к данным. Права управления сервером доступны лишь в таблице user.

Права доступа могут быть назначены и на определенную таблицу. Эти права можно найти в системной таблице mysql. table_priv. Возможны права даже на определен­ные колонки, и эти права доступа есть в mysql. column_priv.

Это основные данные, которые могут понадобиться хакеру. Чтение привилегий по­зволяет точно узнать, что доступно и с помощью каких SQL-запросов можно осу­ществить взлом, а изменение этих таблиц может позволить хакеру наделить себя необходимыми правами.

Есть еще три очень интересные функции:

• 
  database () — возвращает имя базы данных;
  
• 
  user () — возвращает имя текущего пользователя;
  
• 
  version () — возвращает версию базы данных.
  

Попробуйте выполнить следующий SQL-запрос:

SELECT DATABASE(), USER(), VERSION()

Вы увидите примерно такой результат:

---

1 row in set (0.00 sec)

2. 
   Использование уязвимости
   

В зависимости от того, сколько информации вы получили, можно воспользоваться найденной уязвимостью. Давайте рассмотрим классические варианты, которые встречаются достаточно часто.

Самое страшное, что может сделать хакер, — уничтожить данные. Дело в том, что база данных способна работать под учетной записью, которая может позволять вы­полнять команды модификации данных. Если СУБД будет позволять еще и выпол­нять несколько команд в SQL-запросе, то это может оказаться плачевным. В боль­шинстве баз данных запросы должны разделяться точкой с запятой. В этом случае хакеру достаточно передать через уязвимый параметр следующую команду:

'; DROP TABLE Имя таблицы; /*

Если комментарии недоступны, то можно попробовать выполнить:

' ; DROP TABLE City ;

Все, что после последней точки с запятой может быть проигнорировано базой дан­ных, по крайней мере MySQL игнорирует.

Эта команда удаляет указанную таблицу. Таким образом, можно распрощаться с таблицей и всеми ее данными. Хакеру только нужно знать имя таблицы, которую он хочет удалить, и иметь соответствующие права.

Хорошие администраторы запрещают выполнение команды удаления баз данных и таблиц. Но запретить вставку, обновление и удаление данных из таблиц очень час­то невозможно.

'; DELETE FROM Имя таблицы; /*

Если комментарии приводят к тому, что запрос перестает выполняться, то можно попробовать использовать что-то типа:

' ; delete from City where 1='1

Для выполнения этого запроса опять же необходимо знать имя таблицы и иметь права на выполнение запроса delete. Если drop table достаточно просто запретить, то команда DELETE очень часто необходима сценариям. Дело в том, что код сайта, с которым работаем мы, и код сайта, который использует в своей работе администратор, — чаще всего работает от одной и той же учетной записи. И если простым пользователям обычно не нужна опция удаления, то администраторам она очень часто необходима.

---

Зная поля таблицы, вы можете выполнять команды update для изменения данных или insert для добавления новых записей. Команда изменения данных так же опасна, как и удаление. Например, хакер может внедрить следующий SQL-запрос:

UPDATE user SET password = ''

Благодаря этому SQL-запросу все пароли в таблице пользователей (если такая существует) станут пустыми, а это может привести к тому, что хакер сможет зай­ти на сайт без пароля под любой учетной записью.

Выполнение команд обновления и вставки наиболее опасно в таблицах, в которых хранится информация о пользователях. Хакер может добавить свою учетную за­пись администратора или обнулить существующий пароль, или установить свой, после чего сможет получить права администратора. Но это сразу выдаст злоумыш­ленника, поэтому лучшим вариантом будет добавить новую запись с нужными пра­вами или установить признак суперпользователя для своей учетной записи.

2. 
   Доступ к файловой системе
   

С помощью SQL-запросов можно получить даже доступ к файловой системе. Для этого в MySQL есть два оператора: load_file и into outfile. С помощью первого можно прочитать файл, например:

hacker' union select null,LOAD_FILE('/etc/passwd'), null,null,null,null,null,null,null/*

В результате будет выполнен следующий SQL-запрос:

SELECT *

FROM smf_polls

WHERE posterName=' hacker' union select

null,LOAD_FILE('/etc/passwd') ,

null,null,null,null,null,null,null/*'

В данном случае результат нормального SQL-запроса select объединяется с SQL-запросом, который во втором параметре (там, где должен быть вопрос голо­сования) загружает файл /etc/passwd.

Запись в файл происходит следующим образом:

hacker' union select null,null,null,null,null,null,null,null,null from sfm_polls into outfile index.php/*

Таким образом, результат SQL-запроса будет записан в файл index.php. Чаще всего у учетной записи, под которой вы работаете, достаточно прав, чтобы перезаписать этот файл, а значит, вы сможете произвести дефейс (deface) — перезаписав файл index.php, изменить его содержимое.

Если прав на создание файла недостаточно, то можно использовать имеющийся файл и записать в него необходимый код, с помощью которого можно будет полу­чить Shell (командную строку для выполнения команд). Например:

hacker' union select null,'', null,null,null,null,null,null,null from sfm_polls into outfile cmd.php/*

В данном случае в файл cmd.php будет записан результат выполнения запроса и PHP-оператор

---