[6] Давайте учиться SQL-инъекциям вместе!

[iBragimoff]

Предыдущая статья - ссылочка
Следующая статья: Давайте учиться SQL-инъекциям вместе!
Ссылка на задание:

Ссылка скрыта от гостей

Продолжаем На этот раз задачка чуть сложнее.

Подсказка даёт нам понять, что вывести всю таблицу будет глупой идеей.
Также в задании теперь экранируются символы (' и ").

Объясню что такое экранирование символов, как я понимаю.
Экранирование символов - когда вы вводите в запросе символ, который экранируется
в нашем случае это символ апострофа и кавычки, а при отправке эти символы удаляются из текста.

Что мы знаем:
1. Наша база большая, придётся пользоваться оператором WHERE
2. То что наши символы экранируются, воспользуемся одним из методов обхода(об этом далее)

Для начала рассмотрим наш запрос: SELECT * FROM users WHERE id=$text LIMIT 1
Как обычно в переменную $text подставляется наше значение...
Если пробовать решить текущую задачу предыдущими способами(речь идёт об union), то MariaDB будет жаловаться на не правильный синтаксис.
Всё из-за этой строки id = $text, наш модифицированный запрос будет присваиваться id и из этого получиться каша, поэтому id нужно будет чем-нибудь заглушить.
Когда читал статью моего сэнсэя explorer`a union based, заметил там метод заглушки id, нужно просто подставить число, которого точно не будет в столбце id, например: -1 или 999999.

Вот что из этого получилось. В ответ нам ничего не вывелось, значит мы удачно заглушили id.

Теперь нам нужно вывести поле с логином = god.
Уже можно воспользоваться union или же использовать оператор OR, будет покороче и как по мне правильнее.

Придётся показать запрос для лучшего понимания.
P.S. Забыл поставить кавычки: 'god'. Но от этого ничего не меняется.

Как видим у нас ошибка в которой говорится, что колонка с логином god не найдена.
Давайте теперь воспользуемся одним из обходов экранирования символов: нужный нам текст переводим в hex.
Воспользуемся онлайн сервисом text to hex. И из слова god получаем такой вот код 67 6f 64, преобразуем его и на выходе у нас получается нечто этакое: 0x676f64

QUESTION: Почему запрос: -1 OR login = god был не правильным?

 

[explorer]

QUESTION: Почему запрос: -1 OR login = god был не правильным?

Потому что строка должна быть в кавычках, -1 OR login = 'god' но поскольку кавычки фильтруются, то решается или через HEX или через CHAR, вот ещё варианты:
-1 or login=CHAR(103,111,100) или так -1 union select * from users where login=0x676f64

 

[iBragimoff]

Потому что строка должна быть в кавычках, -1 OR login = 'god' но поскольку кавычки фильтруются, то решается или через HEX или через CHAR, вот ещё варианты:
-1 or login=CHAR(103,111,100) или так -1 union select * from users where login=0x676f64

А почему в HEX не нужны кавычки?

 

[explorer]

А почему в HEX не нужны кавычки?

Потому что это уже не строка. Вот выдержка:

Что такое HEX?
Шестнадцатеричная система счисления (HEX) – это позиционная система счисления по целочисленному основанию 16. В качестве шестнадцатеричных чисел используются цифры от 0 до 9 и латинские буквы от A до F. Значения чисел от 0 до 9 обычны, как и в десятичной системе, далее, от 10 до 16 используются буквы A-F, т.е. буква F = 16, далее 11 = 17, 12 = 18 и т.д и т.п.

 

[iBragimoff]

Потому что это уже не строка. Вот выдержка:

Что такое HEX?
Шестнадцатеричная система счисления (HEX) – это позиционная система счисления по целочисленному основанию 16. В качестве шестнадцатеричных чисел используются цифры от 0 до 9 и латинские буквы от A до F. Значения чисел от 0 до 9 обычны, как и в десятичной системе, далее, от 10 до 16 используются буквы A-F, т.е. буква F = 16, далее 11 = 17, 12 = 18 и т.д и т.п.

И ещё один вопрос, как обойти экранирование символа =

 

[explorer]

И ещё один вопрос, как обойти экранирование символа =

А пока не скажу, это в следующей задаче ) Она чуток поинтереснее.

 

[iBragimoff]

А пока не скажу, это в следующей задаче ) Она чуток поинтереснее.

И правильно делаешь) Пойду дальше мучаться xD

 

[explorer]

И правильно делаешь) Пойду дальше мучаться xD

мучаться учиться ) Удачи! Задача не сложная, но первый опыт более существенной фильтрации, чем просто кавычек получишь.

 

[iBragimoff]

мучаться учиться ) Удачи! Задача не сложная, но первый опыт более существенной фильтрации, чем просто кавычек получишь.

Спасибо. Пойду учиться

 

[explorer]

Вот тебе подсказка blind sql injection Гугли, разбирайся. Именно на этом принципе строится решение.
P.S. Это для 8-го таска, сначала 7-й конечно сделай.

 

[iBragimoff]

Вот тебе подсказка blind sql injection Гугли, разбирайся. Именно на этом принципе строится решение.
P.S. Это для 8-го таска, сначала 7-й конечно сделай.

Благодарю сэнсэй

 

[Citizen0]

Объясню что такое экранирование символов, как я понимаю.
Экранирование символов - когда вы вводите в запросе символ, который экранируется
в нашем случае это символ апострофа и кавычки, а при отправке эти символы удаляются из текста.

Не верно понимаете. При экранировании перед указанными символами будет стоять backslash.

 

[iBragimoff]

Не верно понимаете. При экранировании перед указанными символами будет стоять backslash.

Хорошо, что исправили, теперь буду иметь ввиду))

 

[explorer]

Также в задании теперь экранируются символы (' и ").

Не верно понимаете. При экранировании перед указанными символами будет стоять backslash.

В задании написано, что кавычки фильтруются. Это не значит что они экранируются. Вариантов хватает - кроме экранирования бэкслэшем есть например функция преобразования спецсимволов в HTML-сущности.
Чаще всего там просто функция preg_replace которая выполняет поиск и замену по регулярному выражению. Сейчас таск с фильтрацией написал, как раз функцией preg_replace воспользовался. Функция удаляет слова/спецсимволы по чёрному списку, если точнее то заменяет на пустое место, или на что угодно, то что прогер укажет.

 

[Citizen0]

В задании написано, что кавычки фильтруются. Это не значит что они экранируются.

Я где-то написал, что кавычки экранируются?
Всего лишь написал, что такое экранирование без привязки к заданию.
Фильтрация и экранирование - разные вещи.

 

[explorer]

Я где-то написал, что кавычки экранируются?
Всего лишь написал, что такое экранирование без привязки к заданию.
Фильтрация и экранирование - разные вещи.

Нет, мой пост для iBragimoff который это написал, ибо ответ про экранирование может дать неверное/неполное представление о фильтрации. Чтобы человек понимал, что это не только backslash.