פריצה לשרת SQL מהאינטרנט - חלק 3
פרקי ההרצאה: פריצה לשרת SQL מהאינטרנט - חלק 3
תמלול ההרצאה: פריצה לשרת SQL מהאינטרנט - חלק 3
הטקסט המלא של הדקות הראשונות בהרצאה «פריצה לשרת SQL מהאינטרנט - חלק 3» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, זאת הולכת להיות הרצאה על SQL למתקדמים שחובה לדעת כדי להיות האקר אמיתי. אנחנו נדבר על פקודות מתקדמות ב-MySQL שמאוד מאוד חשוב שאתם תדעו אותן. אז בואו נתחיל מפקודות כמו CONCAT, ולשם כך אנחנו ניכנס לשרת MySQL דרך פאנל ניהול שנקרא PHP MyAdmin.
כל מה שאנחנו עושים זה גם נכון לגבי מייקרוסופט SQL, אז אפשר לתרגל את הכל גם על מייקרוסופט SQL. אנחנו רואים פה את הרשימה של דאטאבייסים שנקראים סכמות בשפת MySQL ובשפה של מייקרוסופט דאטאבייסים.
כל אחד זה מסד נתונים ובתוך מסד נתונים יש רשימת טבלאות. יופי, עכשיו אנחנו רוצים ללמוד את הפקודות המתקדמות שאנחנו חייבים להכיר אותן. חשוב לי להדגיש שזה לא כל מה שקיים ב-SQL אלא רק מה שנחוץ לנו.
אז אנחנו רואים Select כוכבית From Accounts לבחור את כל העמודות, כוכבית זה אומר את כל העמודות, מטבלה שנקראת Accounts. אם אין לי רווחים באמצע השם אני יכול להוריד את הגרשיים וזה גם יעבוד ואני יכול גם לרשום שם של דאטאבייס.
הדאטאבייס שלי נקרא NoWasp זה הדאטאבייס ובפנים טבלה שנקראת Accounts. ואני עושה go ומקבל בעצם אותן תוצאות כי בחרתי את כולם.
אני יכול לסנן ולהגיד לו תראה לי רק שורות שבהן username שווה ל-admin. כל מה שקורה ב-where שורה אחרי שורה תיבדק. זאת אומרת כל שורה בטבלת אקאונטס תיבדק על ידי תנאי where ואם זה אמת היא תחזור ואם זה שקר אז היא לא תחזור.
בואו נראה תוצאה והתוצאה זה שיש לנו שורה אחת של admin אוקיי שיש לנו רק שורה אחת. יפה מאוד. עכשיו אנחנו רוצים ללמוד פקודה חדשה שנקראת CONCAT.
CONCAT זה לחבר כמה עמודות ביחד. מה זאת אומרת? אני יכול לעשות, תבחר לי עמודה לדוגמה במקום כוכבית לרשום Username, עמודה שנקראת Client ID ועמודה הבאה, העמודה השנייה תהיה CONCAT חיבור של שתי עמודות אחרות, עמודה שנקראת Username ועמודה שנקראת Password ואני רוצה להוסיף להם עוד עמודה שנקראת נקודתיים עבור כל שורה זה יתבצע כל מה שיש
בסלקט גם מתבצע עבור כל שורה אז יתבצע client ID עמודה שנייה תהיה עמודה חדשה פסיק is admin וגם אני יכול לעשות סתם טקסט אני יכול לעשות aaa ו bbb וגם אני יכול לעשות לדוגמה 111 אין שום בעיה לעשות סתם עמודות אין שום בעיה לעשות עמודות שהן כמו שהן באורגינל ואין שום בעיה גם לחבר לעשות עמודות מורכבות מכמה ערכים.
אני גם אראה לכם שאפשר לעשות אפילו עמודות שהן חישוב מתמטי. ואנחנו רואים תוצאה, שיש לנו עמודה ראשונה Client ID, עמודה שנייה שתי עמודות אחרות מודבקות ביחד עם סימן נקודתיים, עמודת True, AA, BBB, 111 ו-1 פלוס 3. אתם רואים 1 פלוס 3 זה למעשה 4 הזה.
יש מצבים שבהם המתכנת, גם אם הוא מקבל כמה שורות תשובה הוא מציג רק את הראשונה כי מבחינתו אמורה לחזור רק תוצאה אחת.
לדוגמה באתר הונג קונגי יש לו פה דף שהוא חשוף להתקפת SQL Injection. זאת טבלה של כל האירועים ויש פה פירוט לאירוע אחד בלבד.
הדף הזה שנקרא cpd2 לפירוט של אירוע אחד בלבד מציג רק את השורה הראשונה מהדאטאבייס, רק את הפירוט של האירוע הראשון שחזר אליו. אז אם אני אחזיר לו כמה אירועים לדף, הוא יראה לי רק את הראשון.
אז יש לי מצב שאני בו ארצה להציג את כל הטבלה בשורה אחת בלבד. אז איך אנחנו נהפוך את כל הטבלה לשורה אחת? על ידי GroupConCut.
GroupConCut לוקח את כל זה והופך אותם לשורה אחת. אתם רואים, נהייתה לנו שורה אחת admin, admin, admin, username, password, פסיק, הרשומה השנייה, פסיק, הרשומה השלישית.
זאת אומרת גרופ קונקאט זאת פקודה מאוד מאוד חשובה כי יש המון אתרים שאמורים לקבל רק שורה אחת ומציגים רק שורה אחת וגם אם גרמנו לו להחזיר כמה שורות זה לא יעזור לנו כי לא נראה אותם.
אז על ידי גרופ קונקאט אנחנו יכולים בעצם לקחת המון מידע, טבלה כלשהי ולהציג אותה כשורה אחת ביחד עם פקודת יוניון שראינו לפני כן. הבעיה היא שפקודת קונקאט שהיא כל כך כל כך טובה לי, יש לה מגבלה.
יש לה מגבלה ל-1024 תווים. אני יכול להתחכם ולא להשתמש בפקודת Group Concat, אלא לעשות Concat, כאילו חיבור של מחרוזות, חיבור של כל הטבלה לתוך משתנה אחד, ואז להציג את המשתנה הזה.
כדי שנוכל לעשות את זה, אנחנו נתחיל לראות עוד איזושהי פקודה, אנחנו נצטרך לראות עוד איזושהי פקודה if. אז בואו אני אראה לכם פקודת if. לפני שאני מראה לכם if, שימו לב, אני מעיף מפה את ה-form הזה, אם אני מעיף את הפרום הזה ויעשה פה פשוט a,a,b,b,b,1 ו-1,3 הוא יעשה אותם פעם אחת.
אתם רואים הוא עושה אותם פעם אחת ועכשיו במקום ה-b,b,b הזה נכניס כאן עמודה חדשה if אם תנאי כלשהו מתקיים אם תנאי כלשהו מתקיים תנאי שווה ל-true אם תנאי כלשהו מתקיים תיק תעשה את הפעולה הראשונה אם התנאי הוא לא מתקיים אז תעשה את הפעולה השנייה.
ככה עובד האיף, זה מה שעושה האיף. האיף בודק את התנאי אם הוא true הוא מבצע פעולה ראשונה, אם הוא false הוא מבצע פעולה שנייה.
לדוגמה הפעולה יכולה להיות Select תספור לי כמה שורות יש, Count כוכבית כמה שורות יש, בטבלה information schema.tables זה דאטאבייס שיש לו מידע על כל הטבלאות האחרות, information schema זה הדאטאבייס שיש לו מידע על כל הדאטאבייסים האחרים, זה תקן זה חייב להיות ונקודה טייבלס זה טבלה
שיש בתוכה מידע על כל שאר הטבלאות בכל השאר דאטה בייסים אז נעשה אינפורמיישן סכמה נקודה טייבלס where table name equals נניח אקאונט האם יש טבלה שנקראת אקאונט האם יש טבלה כזאת האם יש טבלה שנקראת יוזר אנחנו יכולים לנסות לנכרש שם של טבלה ואם יש טבלה כזאת זה אומר שאקאונט צריך להיות כל הסיפור הזה כל הסלקט הזה הוא מחזיר לי בסופו של דבר מספר כי אני
מבקש ממנו לעשות מספר כמה שורות יש בטבלה information schema כמה שורות יש שהשם של הטבלה שלהם זה אקאונט אז כמה סך הכל יש טבלאות בשם אקאונט ואם המספר הזה גדול מאפס אז תעשה דבר כזה זאת אומרת בתוך הif אנחנו עושים תנאי התנאי הזה אומר האם קיימת לפחות טבלה אחת שקוראים
לה אקאונט אנחנו מבקשים ממנו לספור שורות שבהן שם טבלה שווה אקאונט. בואו נראה שזה באמת עובד. שימו לב, הפרום פה, אני לא צריך אותו.
הוא יעשה את כל זה פעם אחת, וגם את השאילתא הזאת הוא יעשה פעם אחת. זה מספר 2, למה זה 2? זה אומר שאין טבלה כזאת. אם אני אעשה פה zzz, אתם תראו שהוא ידפיס לי פה zzz.
הנה הוא ידפיס לי פה 7a, 7a, 7a, כי הוא הפך את זה למספרים, לאסקי קודס. אם אני אעשה שידפיס לי 99 אז הוא מדפיס לי פה 99. אז איך אני יכול לנצל את זה לטובתי?
תחשבו שיש לי אתר אינטרנט שהפרמטר שלו לא נבדק בכניסה, זה אומר שהאתר לוקח ואת הפרמטר שהיוזר מכניס מעביר בלי שום בדיקות לשרת SQL ושרת MySQL מבצע את הפקודה אבל בדרך חזרה אם יש שגיאה או משהו לא טוב או משהו לא מתאים השארת ווב בדרך חזרה תופס את זה ולא נותן לזה לעבור למשתמש.
אז במקרה כזה אני יכול להתחכם איתו וזה נקרא התקפה עיוורת, התקפה בלי שיש לי משוב. תכף אני אראה לכם איך עושים את זה ויש מקרים רבים שבהם בדרך חזרה כשאני חוזר עם התוצאות אחרי הניצול של החולשה תופס אותי האתר ולא נותן לי לעבור חזרה.
אז במקרה כזה אני יכול לעשות משהו מאוד יפה לפני שאנחנו נתחיל אני אראה לכם שכשאני עושה אקאונטס אתם רואים הודפס פה אחד. אני יכול לעשות לו דבר כזה אם קיים טבלת אקאונטס תעשה סליפ של שלוש שניות אם טבלת אקאונטס לא קיימת תעשה סליפ של שנייה אחת ולפי זמן תגובה של האתר אני אדע אם קיימת טבלת אקאונטס או לא קיימת טבלת אקאונטס.
לפני שאני מתחיל שימו לב פה למעלה אני רואה ששאילתה התבצעה תוך אפס שניות 0.005 שניות. אני עושה go ואתם יכולים לראות שהוא עכשיו התעכב לשלוש שניות. אתם רואים הוא התעכב שלוש שניות?
למה הוא התעכב שלוש שניות? כי הוא ביצע פקודת סליפ. זאת אומרת שגם אם אני לא מקבל שום תגובה במסך במשך שלוש שניות, בואו נעשה את זה עשר שניות, אז אני יודע שצדקתי בשאילתה ששלחתי לשרת.
זה נקרא התקפת בליינד על עיוור. בליינד SQL Injection. תסתכלו כמה זמן הוא מסתובב, מסתובב, מסתובב. ואני מקבל במסך של Web תשובה תוך 10 שניות, וזה אומר שצדקתי בשאילתה שלי.
אני מחבר את זה יחד עם Union, בואו נראה את החיבור הזה ל-Union, נבין איך זה עובד, זה נקרא Blind SQL Injection. כפה עיוורת דרך טיימינג, מה זה טיימינג?
זה אומר שאני פשוט רואה תוך כמה זמן האתר מגיב. אז יש בעצם חולשה וחשיפה ל-SQL Injection, פשוט בדרך חזרה תופסים לי את התצוגה ולא נותנים לי לראות את התוצאה.
אז אני תוקף חד-כיוונית עם פקודת סליפ ורואה תוך כמה זמן אני אקבל אתר אינטרנט שלכאורה תקין. כאילו, המסך הגרפי לא מציג לי שגיאות, ככה אני עוקב את הבעיה. הוא כן חשוף אבל לא מציג לי שגיאות.
בואו נראה. אני קודם כל מגלה שיש פה נניח 7 עמודות ואחרי שאני מגלה שיש פה 7 עמודות אני יכול לעשות תקפת טיימינג.
אני רוצה להגדיל את השדה הזה, בוחר אותו אומר לו הגודל שלו שיהיה לדוגמה 70 נהדר עכשיו הוא נהיה לי גדול בואו נראה את השאילתא אני לוקח את השאילתא הקודמת מחבר אליה שאילתא חדשה עמודה ראשונה נ"ל עמודה שנייה סופרת לי כמה טבלאות יש עם השם users לדוגמה ואם יש יותר מאפס טבלאות אם לפחות טבלה אחת קיימת אז נעשה לו sleep נניח 10 שניות ואם הטבלה לא קיימת נעשה לו sleep
2 שניות כמה יש לי פה שתי עמודות ואני זוכר שזה לא שתי עמודות, אני כבר גיליתי שזה שבע עמודות לפני כן. הרגיליתי את זה על ידי פקודת order by או group by.
ונעשה go, אם אנחנו עוד פעם רואים שיש טבלה שנקראת user 2 נחכה 10 שניות, אם אין טבלת user 2 נחכה 2 שניות. 1, 2, בקיצור זה היה 2 שניות.
אם נעשה אותה שאילתה אבל נבקש ממנו לבדוק האם יש טבלה בשם אקאונטס ותסתכלו פה למעלה עוד פעם פה למעלה תכף תראו 1 2 3 4 5 6 7 8 9 10 והגענו בקיצור אנחנו ככה רואים למרות שעל המסך לא רואים שום תוצאה יפה מאוד זה נקרא בליינד אינג'קשן טוב אנחנו חוזרים לבעיה שלנו שדיברנו עליה להתגבר על הבעיה של
1024 תווים וזה קצת מורכב לנו בואו נחזור חזרה לשאילתה פה שכתבנו ונשדרג אותה קצת. נניח שהתשובה הזאת היא לא הייתה רק אחד או אפס, הייתי צריך להציג את הרשימה, נניח של כל הטבלאות שיש בדאטאבייס, והרשימה הזאת היא מאוד מאוד ארוכה.
אז איך אנחנו נעשה את זה? אז תראו, אנחנו רוצים להציג המון המון מידע לתוך משתנה מסוים. אז אני מתחיל בדבר כזה, אני עושה קונקאט, קונקאט מחבר, משתנה שאני אקרא לו נניח aaa אני יכול לקרוא לו בכל שם שבא לי ואני עושה שהמשתנה הזה שווה ל-0x00 למעשה סתם תו שלא מדפיסים על המסך.
קונקטינט יבצע את החלק הראשון ולמעשה ייצור לי משתנה ריק עם שטרודל aaa שזה השם שלו. אחרי שהוא עשה את החלק הראשון אני אעשה פה איזשהו תנאי if עוד מעט נדבר על התנאי if הזה זה יהיה לנו בהמשך אוקיי אז קונקטינט אז אני מפצל אותו לשורות החלק הראשון שלו מקים משתנה, החלק השני צובר לתוך המשתנה, ואחרי שהוא צבר לתוך המשתנה הזה, אני עושה פסיק,
אני מדפיס את המשתנה. שטרודל איי-איי-איי. אז סלקט 111, פסיק, עמודה שנייה שנקראת קונקטנייט, שיש בתוכה חלק ראשון שזה הכרזת משתנה, חלק שני שזה יצירת ה-if.