基于Websocket接口的SQL注入利用

昨天在测某项目的时候发现前端中使用的Websocket协议(以下简称WS)传参,因为刚好那天群的某*行的老哥也在测内网的一个使用Websocket协议的应用，所以特意去了解了一下,研究测试后发现存在SQL注入,当时问表哥们sqlmap是否支持该注入,答案是否定的,但表哥给出了解决方案,我们后面讲。

Websocket是什么?

WebSocket是H5开始提供的一种在单个TCP连接上进行全双工通讯的协议,它使得client与server之间的数据交换变得更加简单,在websocketAPI 中浏览器和服务器只需做一个握手,两者之间就可以进行互相传送数据。

模拟环境搭建

因为测试目标的敏感,我将采用PHP模拟存在注入的环境并进行测试。

PHP 使用 Websocket可以用第三方的扩展来实现如:

workerman，swoole

因为 workerman搭建起来比较简单且支持 Linux和 Windows 环境所以使用 Workerman来搭建。

去workerman官网下载好内核的包: https://www.workerman.net/download

下载后放入 PHP项目下查看官方的 demo 代码

<?php
use Workerman\Worker;
require_once'./Workerman/Autoloader.php';
//创建一个Worker监听2346端口，使用websocket协议通
$ws_worker= new Worker("websocket://0.0.0.0:2346");
//启动4个进程对外提供服务
$ws_worker->count= 4;
//当收到客户端发来的数据后返回hello$data给客户端
$ws_worker->onMessage= function($connection,$data)
{
//向客户端发送hello$data
$connection->send('hello'. $data);
};
//运行
Worker::runAll();

因为Workerman只支持 phpcli模式下运行且官方文档中提示在Windows中只能单进程运行所以 $ws_worker->count= 4;

这一行代码可以删除

新建一个 php 文件将代码填入测试

在命令行输入 php -f server.php测试

这样说明我们的 WS服务端就已经搭建好了

使用我下载的 Websocket客户端工具测试

成功交互

根据 demo 写一个与数据库交互的并存在 SQL Inject 的代码

ws 库 info 表结构

<?php
use Workerman\Worker;
require_once'./Workerman/Autoloader.php';
//数据库连接字符串
$username="root";
$password="root";
$add= "mysql:host=localhost;dbname=ws";
$cdb= new PDO($add,$username,$password);//实例化PDO
//创建一个Worker监听6666端口，使用websocket协议通讯
$ws_worker= new Worker("websocket://0.0.0.0:6666");
$ws_worker->onMessage= function($connection,$data){
global $cdb;//设置$cdb为全局变量
$res= '';
$result=$cdb->query("SELECT email FROM info WHERE user = '$data'");
while($row=$result->fetch()){
$res= $row['email'];
}
$connection->send('YourSQL is: SELECT email FROM info WHERE user ='.$data);
$connection->send('Recevieddata:'.$res);
};
Worker::runAll();
?>