SQLi(injection) com Reverse Shell no Kiotprix4

Este é um simples artigo só para mostrar algumas possibilidades que aprendi sobre como escrever arquivos em um servidor MySQL utilizando SQLi.

Tudo passa pelo "comando" INTO OUTFILE no caso do MySQL.

O que ele diz a grosso modo é : escreva o resultado desse SQL em um arquivo no filesystem. 😮😮😮😮😮😮😮. Pois é. Pois é. Pois é.

Então, se temos uma possibilidade de SQLi e através dela podemos escrever arquivos no servidor, as possibilidades e a porta da esperança se abrem, concordam ?

Para este artigo utilizaremos como base uma aplicação vulnerável a SQLinjection. O formulário de login do LigGoat da máquina Kiotprix 4.

Objetivo: Escrever um script php que contenha o web shell reverso do pentest monkey, que já vem na distro Kali. Chamaremos o arquivo de meu-lindo-shell.php.

Dentro do Kali vamos copiar o webshell para nosso diretório raiz e customizar ele. Precisamos inserir qual é o nosso IP que esperamos receber o shell.

Opcionalmente recomendável, vamos remover tudo que é comentário do nosso webshell. Por que ? Para economizar espaço. :D Com o comando abaixo tou pedindo para o sed remover (/d no final) tudo que começar com (ˆ) zero ou mais espaços (\s*) seguido de // (\/\/ — Parecem chifres mas são / "escapadas" \ pois a barra é caracter especial) , que é comentário do php.

Bem, vamos a primeira forma, que é como o SQLMap faz! Ele se utiliza "da construção" LINES TERMINATED BYpara inserir o conteúdo do arquivo desejado em formato Hexadecimal.

Precisamos então converter nosso código para Hexa. Para isso podemos usar o excelente site canivete suíço CyberChef ou então direto na linha de comando com o xxd:

Qual a construção utilizada no SQLi então ?

<sql injection> LIMIT 0,1 INTO OUTFILE '<nome-do-arquivo>' LINES TERMINATED BY 0x<seu-codigo-hexa-aqui>-- -

Como fica para o nosso caso ? No caso do Knoptrix 4 o campo vulnerável é o mypassword e existe um usuário de nome john.

SQLi montado e pronto para ser injetado!

Para nos ajudar usaremos o Repeater do Burp conforme imagem abaixo. Vejam que estamos mandando para o checklogin.php todo o nosso SQLi.

Injetando tudo pelo Burp Suite

Observe que o resultado é um erro ! 😮

Mas vamos testar! Localmente no kali, em um terminal:

E no browser vamos chamar o nosso lindo shell.

E olha o que retorna no nosso Net Gatinho ;D

Uma consideração em relação a esse método.

Pelo que andei lendo é necessário que o resultado do SQLi , ou seja, do select inicial traga algum resultado. Ele confia nisso e limita o resultado a apenas uma linha (limit 0,1). Caso o select não traga nenhum resultado, nada será escrito no arquivo e ele será criado com tamanho 0 bytes. A explicação para mim é que a instrução tá dizendo:

Outra consideração.

Como o select trará um resultado e inserirá o código que você passou em hexa ao final, fica evidente que o arquivo conterá um "lixo" inicial. Para scripts php isso não importa, afinal eles foram feitos para serem mesclados com texto puro que represente códigos html, por exemplo:

Observe como ficou o conteúdo do meu-lindo-shell.php no servidor. Olha o "lixo" na primeira linha correspondente ao resultado do select que a aplicação executou quando mandamos o SQLi:

Mas se você precisa que o arquivo não possua nenhum lixo inicial, pois isso pode gerar erro de interpretação do comando que o lerá, por exemplo, então teremos que usar outro método.

Uma dificuldade desse método é que não dá para, por exemplo, colocar o código em hexadecimal como fizemos acima e ai precisaremos embutir o código em texto aberto direto no campo da instrução sql, e ai começam os problemas com abre e fechar aspas simples, duplas, etc.

O que preciso fazer, qual será nosso "payload" do SQLi, qual será a instrução?

<seu sql injection> limit 0,0 union all select "<codigo1>","<codigo2>","<codigo3>" INTO OUTFILE '<nome-do-arquivo>' -- -

A diferença deste método para o anterior é que agora eu não quero nada que venha do select (limit 0,0) e com esse nada eu faço uma união para os campos que eu quero, ou seja, eu mesclo nada com o texto que eu quero que vá parar no arquivo. ;D

Vocês podem se perguntar ? Porque três campos e não dois ou um, ou dez, ou duzentos ? Quando você faz uma união de tabelas (tabela que o sistema ta consultando nesse select mas a nossa "tabela" de , nesse caso, 3 campos) a quantidade de campos tem que ser exatas! E ainda, dependendo da versão do MySQL, pelo que me contaram, de tipo igual. Então, para o nosso caso exemplo, no kioptrix 4, são 3 campos.

E eu preciso dividir o código em três campos ? Rapaz, precisa não. você pode colocar nada em um, tudo no meio, nada no final, ou nada, nada e tudo, e por ai vai.

Mas bem, viu que preciso colocar o código php dentro de um destes campos que é delimitado por aspas duplas, correto ? Poderia ser simples ? poderia, tanto faz. Se pegarmos o código do web shell do pentest monkey, olha só:

Teria que modificar o código todo para tentar deixar só um tipo de aspas, fazer escape onde não puder, remover espaços e quebras de linha para ficar como se fosse uma linha única, para no final, colocar tudo dentro de um dos campos.

Dureza. Masss podemos transformar todo esse código em base64 e usar as funções eval() e base64_decode() do php, para "descriptografar" o código e executá-lo on-the-fly ;D Marromenos assim:

Por exigência da função eval, temos que elimiar o <?php do início e o ?> do final do script.

Depois é só usar o comando base64 e salvar o código gerado em algum lugar para usar na nossa instrução

Agora precisamos só juntar o SQL que iremos passar, com o código php que descriptografa e executa e o shell em base64, ficando assim :

E ai , mandando pelo Burp , Colocando o nc para escutar, acessando o aquiro via browser, vmaos parar no mesmo lugar: Shell no Net Gatinho ! ;D

Massa, dá pra fazer também. Usa o Cyberchef em vez do base64 ou qualquer outra forma que você conhecer, converte para Hexa tudo e depois usa em vez da função base64_decode() a função hex2bin().

Ah, olha que interessante desta máquina:

O arquivo que subimos o usuário dele é root e o grupo root.

Até.