SQL注入（宽字节注入）

最新推荐文章于 2024-08-13 11:12:46 发布

夏了茶糜

最新推荐文章于 2024-08-13 11:12:46 发布

阅读量241

点赞数

分类专栏： SQL注入文章标签： SQL注入

本文链接：https://blog.csdn.net/qin9800/article/details/115280486

版权

SQL注入专栏收录该内容

19 篇文章 1 订阅

订阅专栏

文章目录

前言
一、环境
二、宽字节注入漏洞代码
三、宽字节注入原理
四、宽字节注入漏洞测试

前言

在注入时通常会使用单引号、双引号等特殊字符。在应用中，通常为了安全，开发者会开启php的magic_quotes_gpc，或者使用addslashes、mysql_real_escape_string等函数对客户端传入的参数进行过滤，则注入的单引号或双引号就会被"\"转义，但是，如果服务端的数据库使用的是GB2312、GBK、GB18030等宽字节的编码时，则依然会造成注入。

一、环境

PHP 5.4.45
MySQL 5.7.26

数据库脚本

/*
Navicat MySQL Data Transfer

Source Server         : 127.0.0.1
Source Server Version : 50726
Source Host           : localhost:3306
Source Database       : user

Target Server Type    : MYSQL
Target Server Version : 50726
File Encoding         : 65001

Date: 2021-03-28 15:09:26
*/

SET FOREIGN_KEY_CHECKS=0;

-- ----------------------------
-- Table structure for `user`
-- ----------------------------
DROP TABLE IF EXISTS `user`;
CREATE TABLE `user` (
  `pass` char(10) COLLATE gbk_bin DEFAULT NULL,
  `user` char(5) COLLATE gbk_bin DEFAULT NULL,
  `id` int(10) unsigned NOT NULL AUTO_INCREMENT,
  PRIMARY KEY (`id`)
) ENGINE=MyISAM AUTO_INCREMENT=4 DEFAULT CHARSET=gbk COLLATE=gbk_bin;

-- ----------------------------
-- Records of user
-- ----------------------------
INSERT INTO `user` VALUES ('root', 'root', '1');
INSERT INTO `user` VALUES ('admin', 'admin', '2');

二、宽字节注入漏洞代码

<!DOCTYPE html>
<meta charset="GBK"><!--仅用于基础的显示，换成utf8也行就是不好看-->
<?php
error_reporting(0);
$conn = mysql_connect('127.0.0.1', 'root', 'root');
mysql_select_db('user', $conn); //连接指定数据库
mysql_query("set names gbk");  //不安全的编码设置方式
$id = addslashes($_GET['id']); //转义特殊字符 mysql_real_escape_string() magic_quote_gpc=On addslashes() mysql_escape_string()功能类似
$sql = "SELECT user,pass FROM user WHERE id='{$id}'";
echo $sql . '</br>';
if ($res = mysql_query($sql, $conn)) {
    $row = mysql_fetch_array($res);
    echo "user: " . $row[0];
    echo "</br>";
    echo "pass: " . $row[1];
} else {
    echo "Error" . mysql_error() . "<br/>";
}
?>
</html>

三、宽字节注入原理

在这里插入图片描述
单引号会被addslashes函数转义，但是数据库服务端的编码被设置为gbk，所以存在宽字节注入漏洞。

当MySQL使用的是GBK编码时，0xbf5c会被当做一个字符(双字节字符)，其中5c是\。其原理是一个gbk汉字占两个字节，取值范围是（编码位数）：第一个字节是（129-254），第二个字节（64-254）
当设置gbk编码后，遇到连续两个字节，都符合gbk取值范围，会自动解析为一个汉字
gbk 两个字节 gb2312两个字节 utf-8 三个字节

四、宽字节注入漏洞测试

在这里插入图片描述
可以看到%df和反斜杠被识别成了運。这条SQL语句被构造成了
SELECT user,pass FROM user WHERE id='1運' -- '，放到数据库中数据库只会执行SELECT user,pass FROM user WHERE id='1運'。
接下来就可以按照常规方法进行利用了。
在这里插入图片描述