二次注入

二次注入是SQL注入的一种,是在输入的字符串之中注入SQL指令,在设计不良的程序当中忽略了检查,那么这些注入进去的指令会被数据库服务器误认为是正常的SQL指令而运行,因此遭到破坏。

那为什么需要二次注入,因为在字符型注入一般都有单引号的存在,首先构造注入闭合单引号,再通过第二次构造语句,在第一次注入的基础上进行注入。

步骤1:代码审计

在之前的审计课程中我们已经对网站的大部分功能进行了审计,因而本次审计从messageSub.php入手,它是留言板的页面,我们首先查看其源码:

if (isset($_POST['submit']) && !empty($_POST['message']) && isset($_SESSION['username'])) {
 $clean_message = clean_input($_POST['message']); 
 $query = "INSERT INTO comment(user_name,comment_text,pub_date) VALUES ('{$_SESSION['username']}','$clean_message',now())";
 mysql_query($query, $conn) or die(mysql_error());
 mysql_close($conn);
 header('Location: message.php');

可以看到,在处理POST过来的变量时,没有用到sqlwaf,只是对输入的字符串加上了单引号,然后直接就带入了SQL语句进行查询。

在上述中的这种查询语句是双条件、或者多条件的。

我们查询语句并不仅仅指select,条件也并不仅仅指where后面的条件。只要输入的内容,有一定的输入关系和顺序,就可以了。

看这个双条件,分别为:$_SESSION['username']$clean_message。

我们可以构造如下语句:

$query = "INSERT INTO comment(user_name,comment_text,pub_date) VALUES ('xxx\',',(),1)#',now())

首先用用户名截断掉后面的单引号,那么闭合的单引号就会到第二个字符串的前面,可以看到,在comment后查询了三个内容,我们再在values中放入任意的查询内容:1。

这样就达到了截断单引号的目的,再将后面的数据修改为payload,这样就理论上达到了二次注入的条件。

因此payload为:

,(select admin_pass from admin limit 0,1),1);#

当然这一切的前提就是用户名后面有一个\,如果没有\,就不能转义掉单引号,也就无从谈起了,因此我们需要控制用户名。那么如何控制呢?

可以新注册一个用户,在注册用户名时,添加一个\

因此我们找到设置用户名的地方:也就是注册的地方:regCheck.php。

$clean_name = clean_input($_POST['user']);
$clean_pass = clean_input($_POST['passwd']);

可以看到,它使用clean_input函数对我们输入的用户名进行了过滤

我们自然要查看一下如何过滤的,在sys/lib.php中找到了过滤函数:


function clean_input( $dirty ) {
 return mysql_real_escape_string( stripslashes( $dirty ) );
}

它先将我们输入的字符自动转移,再进行反转义,也就是说,比如我们输入xxx\,它会转义成为xxx\\。但进入数据库的时候,他会是一个\还是两个呢?

我们来进行测试,注册账号nice\,点击注册:

Alt text

我们点击注册后,进入用户界面,这时发现账号为nice\\,我们再查看数据数据库,却发现是nice\

Alt text

这是为什么呢?这是因为函数的特性。它是使用mysql的函数进行过滤,因此到数据库就变成了单斜杠,既然是单斜杠,那么我们就可以利用了。

但是在网页上还是nice\,因此我们需要重新登录,刷新Session值,因为网页上的名称是以数据库为准的,因此重新登陆即可。

再将我们之前构造好的语句,在留言板提交,理论上是可以将管理员的密码爆出来的。

修复代码示例

//过滤输入变量
 $clean_name = clean_input($_POST['user']);
 if (!preg_match("/^[a-zA-Z0-9]+$/",$clean_name)) {
  die('用户名只允许\w+');
 }
 $clean_pass = clean_input($_POST['passwd']);
 $avatar = '../images/default.jpg';

在注册的地方regcheck.php加限制,使用正则匹配,只允许注册用户时输入英文和数字,不允许输入特殊字符,从而就修复了这个漏洞


  • 3
    点赞
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值