Рис.6.7. Результаты быстрого поиска на сайте Hashtoolkit.com найденного хеша пароля со значением "summer17"

Построение выводов на основе анализа данных

Давайтерассмотримболеепростойсценарий–когдаприложениенеобрабаты- вает полезную нагрузку асинхронно. Это гораздо более распространенный вариант. Как правило, при использовании инъекции вслепую можно применять условные операторы во внедряемом запросе, чтобы сделать какой-либо вывод на основе анализа данных из базы данных. Если уязвимость в предыдущем примере не была асинхронной, мы могли бы ввести значительную задержку в ответе. Объедините это с традиционным условием if-then-else, и мы сможем сделать предположения касательно данных,которые пытаемся получить.

Высокоуровневый псевдокод,который мы использовали бы для данноготипа атаки, выглядиттак:

if password starts with 'a' delay(5 seconds)

if password starts with 'aa' delay(5 seconds)

else

return true

if password starts with 'ab' delay(5 seconds)

else

return false

[...]

Можно было бы неоднократно проверять содержимое поля password для конкретного пользователя, просто наблюдая за временем отклика сервера. В предыдущем псевдокоде, после первых трех итераций, можно было бы сделать вывод,что значение password начинается с ab.

Чтобы сгенерировать наблюдаемую задержку, в MS SQL можно попросить сервер повторно выполнить произвольную операцию, используя функцию BENCHMARK(). Если используем функцию с интенсивной вычислительной нагрузкойнацентральныйпроцессор,такуюкакMD5(),мывведемзначительную и измеримую задержку при возврате запроса.

Приведенную ниже функцию MS SQL можно использовать, чтобы вызвать задержку в ответе сервера.

BENCHMARK(5000000,MD5(CHAR(99)))

С помощью данной операции вычислим MD5-хеш символа "c" в нижнем регистре, обозначенного как CHAR(99), 5 млн раз. Возможно, нам придется поэкспериментировать­ с количеством итераций, если сервер действительно мощный или очень медленный.

Если число итераций слишком мало,сервер быстро вернетрезультат,поэтому будет труднее определить, была ли инъекция успешной. Также не нужно вводить слишком много задержек,поскольку перечисление записей базы данных может занять несколько дней.

В заключение объединим оператор IF и операцию, где используется функ-

ция BENCHMARK().

Также будем использоватьключевое слово UNION для объединения результатов существующего оператора SELECT с нашим собственным.

' UNION SELECT IF(SUBSTRING(password,1,1) = CHAR(97),BENCHMARK(5000000,MD5(CHAR(99))),null) FROM users WHERE role = 'admin';--