记一次安服测试遇到Hibernate HQL注入

这个站呢，有一段时间了，因为注入点很奇特，然后我来分享下。

0x01. 一个SQL注入

0x02.初探
首先拿到这洞，简单的’'发现可以闭合，，然后就提了，后面就被退回来了，心里很不舒服，于是，在复现下，发现这里有一个 Hibernate HQL字段

参考了这篇文章，http://t.zoukankan.com/tian830937-p-4456500.html构造payload:
'%' or 1=1 or ''='%' 发现返回了200，

0x03.HQL注入

所谓的HQL注入，就是指在Hibernate中没有对数据进行有效的验证导致恶意数据进入应用程序中造成的。

HQL查询并不直接发送给数据库，而是由Hibernate引擎对查询进行解析并解释。这也就导致了，有两种错误消息的来源，一种来自Hibernate引擎，一种来自数据库。

看了一些关于HQL注入的内容，有了个思路，如果能解析HQL语句，然后进行mysql查询的话，这里就存在漏洞，甲方就没话可说了。
于是，通过尝试，发现
a' or aa=2 or ''=' 可以正常解析HQL，mysql报错找不到列数，

由于这里没有登录点，一般来说这种漏洞漏洞点都是存在于输入的地方，看不到类似这样的字段，就只好作罢

洞漏洞点都是存在于输入的地方，看不到类似这样的字段，就只好作罢