mysql api 宽字符串_MYSQL宽字节注入漏洞详解

大 家都知道PHP在开启magic_quotes_gpc或者使用addslashes、iconv等函数的时候，单引号(')会被转义成\'。比如字 符%bf在满足上述条件的情况下会变成%bf\'。其中反斜杠(\)的十六进制编码是%5C，单引号(')的十六进制编码是%27，那么就可以得出%bf \'=%bf%5c%27。如果程序的默认字符集是GBK等宽字节字符集，则MySQL会认为%bf%5c是一个宽字符，也就是“縗”。也就是说%bf \'=%bf%5c%27=縗'。%bf并不是唯一的一个字符，应该是%81-%FE之间的任意一个都可以。不太好理解，我们用小葵写的一个字符转换的小 工具来转换一下，如图1。

说 到这里好像还没有看出来到底有什么用。了解PHP+MySQL注入的朋友应该都明白，单引号在注入里绝对是个好东西。尤其是，很多程序员都过分依赖于 magic_quotes_gpc或者addslashes、iconv等函数的转义。理论上说，只要数据库连接代码设置了GBK编码，或者是默认编码就 是GBK，那现在的程序里到处都是注入漏洞。事实上，这种变换在XSS等领域也发挥了巨大的作用，在PHP+Linux后台程序结合的时候，还可能造成命 令注入，也就是说能可以在注入点直接执行Linux系统命令。比如登录文件login.php的代码如下：

$conn=mysql_connect("localhost","root","hackest");

mysql_query("SET NAMES 'GBK'");

mysql_select_db("test",$conn);

$user=mysql_escape_string($_GET['user']);

$pass=mysql_escape_string($_GET['pass']);

$sql="select * from cms_user where username='$user' and password='$pass'";

$result=mysql_query($sql,$conn);

while ($row=mysql_fetch_array($result, MYSQL_ASSOC)) {

$rows[]=$row;

}

?>

则可以通过构造以下语句进行注入：

http://www.hackest.cn/login.php?user=%df'%20or%201=1%20limit%201,1%23&pass=

%20是空格的URL编码，%23是#的URL编码，Mysql注释符之一。对应的SQL语句是：

select * from cms_user where username='運'or 1=1 limit 1,1#' and password="

---------------------------------------------------------------------------------------

以上内容摘自网络，经过分析整理后用以说明问题，来源不详，感谢前辈们。^-^

---------------------------------------------------------------------------------------

二、实践

理论准备得差不多了，该来点实际的了，这次就拿帝国CMS做例子吧。帝国CMS是号称最安全、最稳定的开源CMS(内容管理系统)。帝国CMS的留言本文件部分代码如下：

//权限

if($gbr['groupid'])

{