Декодирование T-SQL CAST в C # / VB.NET - PullRequest
Новая
       121

Декодирование T-SQL CAST в C # / VB.NET

56 голосов
/ 01 августа 2008

Недавно наш сайт был захвачен всплеском атаки Asprox ботнет SQL-инъекция . Не вдаваясь в подробности, атака пытается выполнить код SQL путем кодирования команд T-SQL в строку BINARY в кодировке ASCII. Это выглядит примерно так: 

DECLARE%20@S%20NVARCHAR(4000);SET%20@S=CAST(0x44004500...06F007200%20AS%20NVARCHAR(4000));EXEC(@S);--

Мне удалось декодировать это в SQL, но я немного опасался делать это, так как не знал точно, что происходило в то время.

Я пытался написать простой инструмент декодирования, чтобы можно было декодировать этот тип текста, даже не касаясь SQL Server . Основная часть, которую мне нужно декодировать: 

CAST(0x44004500...06F007200 AS
NVARCHAR(4000))

Я безуспешно пробовал все следующие команды: 

txtDecodedText.Text =
    System.Web.HttpUtility.UrlDecode(txtURLText.Text);
txtDecodedText.Text =
    Encoding.ASCII.GetString(Encoding.ASCII.GetBytes(txtURLText.Text));
txtDecodedText.Text =
    Encoding.Unicode.GetString(Encoding.Unicode.GetBytes(txtURLText.Text));
txtDecodedText.Text =
    Encoding.ASCII.GetString(Encoding.Unicode.GetBytes(txtURLText.Text));
txtDecodedText.Text =
    Encoding.Unicode.GetString(Convert.FromBase64String(txtURLText.Text));

Как правильно перевести эту кодировку без использования SQL Server? Является ли это возможным? Я возьму код VB.NET, так как я тоже с этим знаком.

Хорошо, я уверен, что что-то здесь упускаю, так что вот где я нахожусь.

Поскольку мой ввод является базовой строкой, я начал с фрагмента закодированной части - 4445434C41 (что переводится как DECLA) - и первой попыткой было сделать это ... 

txtDecodedText.Text = Encoding.UTF8.GetString(Encoding.UTF8.GetBytes(txtURL.Text));

... и все, что он сделал, это вернул то же самое, что я вставил, поскольку он преобразовал каждый символ в байт.

Я понял, что мне нужно разбирать каждые два символа в байт вручную, поскольку я пока не знаю ни одного метода, который бы это делал, поэтому теперь мой маленький декодер выглядит примерно так: 

while (!boolIsDone)
{
    bytURLChar = byte.Parse(txtURLText.Text.Substring(intParseIndex, 2));
    bytURL[intURLIndex] = bytURLChar;
    intParseIndex += 2;
    intURLIndex++;

    if (txtURLText.Text.Length - intParseIndex < 2)
    {
        boolIsDone = true;
    }
}

txtDecodedText.Text = Encoding.UTF8.GetString(bytURL);

Все выглядит хорошо для первой пары пар, но затем цикл останавливается, когда он попадает в пару "4C", и говорит, что строка имеет неправильный формат.

Интересно, что когда я перехожу отладчик к методу GetString в байтовом массиве, который мне удалось проанализировать до этого момента, я получаю ", - +" в результате.

Как мне выяснить, чего мне не хватает - нужно ли делать «прямое приведение» для каждого байта вместо попытки его проанализировать?

Ответы [ 2 ]

21 голосов
/ 05 августа 2008

Я вернулся к должности Майкла, сделал еще несколько попыток и понял, что мне нужно сделать двойное преобразование, и в конце концов разработал этот маленький самородок: 

Convert.ToString(Convert.ToChar(Int32.Parse(EncodedString.Substring(intParseIndex, 2), System.Globalization.NumberStyles.HexNumber)));

Оттуда я просто сделал цикл, чтобы пройти все символы 2 на 2, получить их «шестнадцатеричные» и затем перевести в строку.

Нику и всем, кто заинтересовался, я пошел дальше и разместил свое маленькое приложение в CodePlex . Не стесняйтесь использовать / изменять по мере необходимости.

7 голосов
/ 02 августа 2008

Попробуйте сначала удалить 0x, а затем вызвать Encoding.UTF8.GetString. Я думаю, что это может сработать.

По существу: 0x44004500

Удалите 0x, и тогда всегда два байта будут одним символом: 

44 00 = D

45 00 = E

6F 00 = o

72 00 = r

Так что это определенно Unicode / UTF формат с двумя байтами / символ.

...