شرح أداة SQLninja
تقييم المستخدمين: / 10
عاديممتاز 
الكاتب زيد القريشي   
السبت, 01 مايو 2010 16:37

تعد ثغرات SQL Injection من أخطر الثغرات المعرضة لها تطبيقات الويب بالوقت الحالي. هذا المقال هو تعريف بأداة Sqlninja التي تهدف لمساعدة الـ Penetration Tester في استغلال ثغرات SQL Injection في المواقع التي تستعمل Microsoft SQL Server مما يمكنهم بالنهاية من اختراق السيرفر المصاب عن بعد والحصول على تحكم كامل به.

SQLninja

 

مميزات الأداة:

  • عمل Remote Fingerprint ومشاهدة المعلومات الخاصة بالـ SQL Server: لتنفبذ هجوم فعال نحتاج الى بعض المعلومات التي ستساعدنا في تنفيذ الهجوم كاصدار سيرفر SQL, معرفة اسم المستخدم للخادم وصلاحياته ومعرفة اذا كانت xp_cmdshell مفعلة ام لا.
  • تنفيذ هجوم Bruteforce لكلمة مرور مستخدم sa.
  • عمل Privilege escalation الذي يمكننا من تحويل صلاحيات المستخدم الى Sysadmin Group في حالة الحصول على كلمة مرور sa.
  • تفعيل xp_cmdshell لنتمكن من تنفيذ اوامر النظام على السيرفر. (هذا الخيار يعد من أهم الخيارات نظراً لخطورة هذه الدالة و ما تتيحه للمهاجم. لنجاح هذه التقنية يجب ان نملك صلاحيات sa وهناك طريقتين لتفعيل xp_cmdshell:
    1. استخدام استعلام sp_addextendedproc في SQL Server 2000 او sp_configure في خوادم SQL Server 2005 حيث تتطلب هذه التقنية وجود ملف xplog70.dll على السيرفر.
    2. تكوين استعلام خاص باستخدام sp_oacreate , sp_oamethod و sp_oadestroy وهذه التقنية لا تتطلب وجود الملف xplog70.dll.
  • امكانية رفع اي ملف تنفيذي باستخدام طلبات HTTP فقط دون الحاجة الى استخدام بروتكول FTP.
  • عمل TCP/UDP port scanning: لمعرفة المنافذ المفتوحة و الغير مفلترة من قبل الجدار الناري من أجل ستخدامها للحصول على remote shell على السيرفر.
  • امكانية استخدام اتصال مباشر او عكسي للحصول على shell على السيرفر الهدف.
  • تنفيذ DNS-tunneled shell اذا لم تتوفر منافذ TCP/UDP.
  • استعمال مشروع Metasploit لاستخدام Meterpreter كباك دور او استخدام VNC Server للحصول على VNC Access للسيرفر المستهدف.
  • وجود عدة تقنيات لتخطي الـ IDS أو IPS و هي:
    1. Query hex-encoding: حيث يتم تشفير كل استعلام بالـHEX قبل تنفيذه (هذه التقنية مفيدة جدا في حالة وجود فلترة لعلامة التنصيص ' و حقن الصفحات التي تسمح باستخدام الارقام فقط).
    2. Comments as separators: حيث يتم استخدام اشارة التعليق /**/ بدلا من المسافة في الاستعلامات.
    3. Random case
    4. Random URL encoding: حيث يتم تشفير الاستعلامات باستخدام url encoding.

 

اعدادت البرنامج:

يتم تخزين البيانات في ملف اعدادات خاص بالاداة. في حالة تحديد ملف اعدادت غير موجود فسيتم تكوين الملف بشكل اوتماتيكي و سيقوم البرنامج بأخذ الاعدادات الأساسية مثل الطريقة المشروحة في الفيديو الاول في الأسفل.

سأقوم بشرح كيفية تغيير أهم الاعدادات بشكل يدوي لأننا لن نتمكن من تعديل كل ما نريد من الطريقة السابقة. لتفرض أن لدينا صفحة مصابة بثغرة SQL Injection على هذا الرابط ولنفرض ان الباراميتر id هو المصاب بالثغرة:

http://www.example.com/index.asp?=id=1&nid=2

نفتح ملف sqlninja.conf الموجود في مجلد البرنامج ونعدّل على الخيارات:

host: اي بي الخاص بالهدف مثال:

host = 192.168.1.3

method: لاختيار طريقة الطلب طبعا بالنسبة لمثالي ستكون GET. نستخدم POST في حالة وجود الحقنة في ملف ادخال مثل مربع بحث.

method = GET

Vulnerable page: هنا نقوم بوضع مسار الصفحة المصابة بالثغيرة:

page = /index.asp

Start of the exploit string: هنا نضع الباراميتر المصاب بالثغرة و نضع بعده ';' حسب الحقنة.

stringstart = param=1;

stringend: في حالة وجود براميتر اضافي بعد الباراميتر المصاب (اتركها فارغة في حالة عدم وجود اي باراميتر بعد الباراميتر المصاب).في حالتي:

stringend = &nid = 2

Local Host: اي بي جهازنا اذا اردنا استخدام اتصال عكسي للحصول على شيل.

lhost = 192.168.1.2

Evasion: لاختيار تقنيات التشفير التي تم شرحها في الاعلى. بالامكان اختيار استخدام جميع التقنيات في وقت واحد  عن طريق وضع

evasion = 1234

بالنسبة لي سأقوم بوضع الخيار 1 ليتم التشفير باستخدام الهيكس لاتمكن من حقن numrical parameter و اتخطى الفلترة.

evasion = 1

Path to metasploit: مسار مجلد الميتاسبلويت.

msfpath = /opt/metasploit3/msf3/

Name of the procedure: اسم الاستعلام الذي سيتم تكوينه ليقوم محل xp_cmdshell اذا كان الاخير معطل في السيرفر. فائدة هذا الخيار هو تخطي الفلاتر التي قد تمنعتا من استخدام هذا الاستعلام حتى بعد تفعيله , فما سنقوم به هنا هو تغيير اسم هذا الاستعلام الى اي اسم اخر حتى لا تتم فلترته. مثال:

xp_name = sp_sqlbackup


طبعا أنا اردت عمل شرح فيديو للأداة في البداية و لكني وجد أن مبرمجها قام بشرحها بشكل كامل في الموقع لذلك قمت بشرح ما لم يقم بشرحه و سأضع شروحاته هنا.

1. الاستخدامات الاساسية للاداة:

  • اعداد الاداة حسب الطريقة الاولى.
  • جمع بعض المعلومات عن السيرفر.
  • عمل brute force لكلمة مرور حساب sa.
  • رفع ملف تنفيذي و الحصول على شيل.

 

2. الحصول على GUI ACCESS: شرح البداية من ثغرة sql injection و حتى الاتصال بالسيرفر بعد حقن VNC Server للحصول على GUI Access فيه باستخدام الميتاسبلويت.

 

الأداة مبرمجة باستخدام لغة Perl وتستخدم رخصة GPLv2 و تعمل على كل من Linux, FreeBSD و MAC OS X.

لمزيد من المعلومات: موقع sqlninja - صفحة التحميل



عن الكاتب:

‫زيد القريشي, Ethical Hacker مهتم في مجال الحماية والـ Penetration Testing. يملك خبرة في اختراق شبكات الوايرلس والبرمجة بلغة Python.

التعليقات (12)Add Comment
H4kr3m
بارك الله فيك
أرسلت بواسطة: H4kr3m في May 02, 2010
السلام عليكم ، بارك الله فيكـ زيد علىـ شرح هذه اداة مهمة لكـ Pentest وايضا اصحاب windows
يستعملوا اداة SqlHelper وهي بالفعل اداة فعالة وقمت بتجربتها ...جزاك الله خيرا فيما تحبه وترضى ، اخوكـ H4kr3m اكرمــ
hamza_hack_dz
مشكور
أرسلت بواسطة: hamza_hack_dz في May 02, 2010
السلام عليكم اخي زيد القريشي
مشكور على شرح جميل وبرنامج رائع في هذا مجال دائما مبدع واصل إبداعك
بول معوشي
مشكوررررررررررر بس مساعدة صغيرة
أرسلت بواسطة: بول معوشي في May 03, 2010
عندما اطبق الامر perl sqlninja
بيعطيني
dude, the filename MUST be "sqlninja". Use the proper name and try again
و عندما اطبق ./sqlninja
بيعطيني
Seems that some module is missing...:
Can't locate NetPacket/UDP.pm in @INC (@INC contains: /etc/perl /usr/local/lib/perl/5.10.0 /usr/local/share/perl/5.10.0 /usr/lib/perl5 /usr/share/perl5 /usr/lib/perl/5.10 /usr/share/perl/5.10 /usr/local/lib/site_perl .) at (eval 11) line 2.
BEGIN failed--compilation aborted at (eval 11) line 2.

شو الحل برأيك
كيف ممكن نعالج هذه الحالة؟؟
زيد القريشي
...
أرسلت بواسطة: زيد القريشي في May 03, 2010
مشكورين اخوان على المرور
بزل معوشي: ماهي نسخة اللنكس التي تستخدمها
و تأكد من تنصيب هذه الموديولات
NetPacket
Net-Pcap
Net-DNS
Net-RawIP
IO-Socket-SSL
بول معوشي
...
أرسلت بواسطة: بول معوشي في May 03, 2010
توزيعة اللينكس الي عندي هي باااك ترااك 4
كيف ممكن اتأكد من تنصيب دول؟؟
زيد القريشي
بول معوشي
أرسلت بواسطة: زيد القريشي في May 03, 2010
في باك تراك 4 الاداة منصبة و جاهزة و ستجدها في قائمة الbacktrack ثم Vulnerability Identification
ابو عبد الرحمن
دوره
أرسلت بواسطة: ابو عبد الرحمن في May 11, 2010
ياليت يا استاذنا ...تكمل في الايام القادمه شرح متوصل للاده لي يكون مثل الدوره

وفقك الله...يا الغالي
Own3r
...
أرسلت بواسطة: Own3r في May 16, 2010
يعطيك العافية اخوي زيد القريشي
مواضيعك دايم مميزة

مسلم
تنصيب؟؟
أرسلت بواسطة: مسلم في May 23, 2010
السلام عليكم ورحمة الله وبركاته
مشكوور على الشرح الجميل
لكن تنصيب هذه الموديلات كيف؟؟
NetPacket
Net-Pcap
Net-DNS
Net-RawIP
IO-Socket-SSL
مسلم
????
أرسلت بواسطة: مسلم في May 28, 2010
بسم الله
السلام عليكم
هل لا يوجد رد؟؟
عبدالمهيمن الآغا
رد: مسلم
أرسلت بواسطة: عبدالمهيمن في May 29, 2010
اقرأ التعليقات وستجد رد الأخ زيد.

اذا كنت تستخدم توزيعة غير باك تراك ابحث عن الموديولات في مدير الحزم أو استخدم CPAN

http://perl.about.com/od/packagesmodules/qt/perlcpan.htm
مسلم
شكرا
أرسلت بواسطة: مسلم في May 31, 2010
السلام عليكم
شكرا لك اخ عبد المهيمن لكن اني استخدم توزيعة اوبتنو 10
وقد بحثت في
Applications==>Logithéque Ubuntu
وكتبت اسماء الموديلات او البرامج التي يجب تنصيبها لكن لم يجدها
ارجوا المساعدة والرد لاني لم افهم كيفية CPAN???
ملاحظة:: اني جديد في عالم اللينكس ولقد قررت الدخول والعمل به كنظام اساسي مند شهر,

أضف تعليق
يجب عليك الاشتراك بالموقع لتتمكن من كتابة التعليقات, الاشتراك مجاني ويستغرق بضع ثوان فقط!
اذا كنت مشترك مسبقا في الموقع فضلاً قم بتسجيل الدخول.

busy