mysql decs倒叙查询_MySql字符研究

最新推荐文章于 2024-04-29 09:20:48 发布

weixin_39693950

最新推荐文章于 2024-04-29 09:20:48 发布

阅读量361

点赞数

文章标签： mysql decs倒叙查询

本文链接：https://blog.csdn.net/weixin_39693950/article/details/113426471

版权

0x01 字符集和字符序

http://www.laruence.com/2008/01/05/12.html

字符集 character set

针对给定的字符赋予一个数值，这个数值就是这个字符的编码，多个字符以及对应的编码，就组成了字符集

eg: A->1 B->2 A的字符编码是1 B的字符编码是2 当给定的字符是AB的时候，{A->1 B->2}就是字符集

no.1 查看字符集

mysql支持的字符集

mysql> SHOW CHARACTER SET;

+----------+-----------------------------+---------------------+--------+

+----------+-----------------------------+---------------------+--------+

| big5 | Big5 Traditional Chinese | big5_chinese_ci | 2 |

| dec8 | DEC West European | dec8_swedish_ci | 1 |

| cp850 | DOS West European | cp850_general_ci | 1 |

| hp8 | HP West European | hp8_english_ci | 1 |

no.2 查看指定的字符集

mysql> SHOW CHARACTER SET WHERE Charset="utf8";

+---------+---------------+-------------------+--------+

+---------+---------------+-------------------+--------+

| utf8 | UTF-8 Unicode | utf8_general_ci | 3 |

+---------+---------------+-------------------+--------+

或者

mysql> SHOW CHARACTER SET LIKE "utf8%";

+---------+---------------+--------------------+--------+

+---------+---------------+--------------------+--------+

| utf8 | UTF-8 Unicode | utf8_general_ci | 3 |

+---------+---------------+--------------------+--------+

no.3 查看指定库的字符集字符序

切换到要查看的数据库

mysql> SELECT @@character_set_database, @@collation_database;

+--------------------------+----------------------+

| @@character_set_database | @@collation_database |

+--------------------------+----------------------+

| gbk | gbk_chinese_ci |

+--------------------------+----------------------+

或者通过创建库的语句

mysql> SHOW CREATE DATABASE security;

+----------+------------------------------------------------------------------+

| Database | Create Database |

+----------+------------------------------------------------------------------+

| security | CREATE DATABASE `security` /*!40100 DEFAULT CHARACTER SET gbk */ |

+----------+------------------------------------------------------------------+

no.4 查看指定表的字符集

通过查询创建表的语句

mysql> SHOW CREATE TABLE users;

+-------+------------------------------------------------------------------------------

| Table | Create Table |

+-------+------------------------------------------------------------------------------

| users | CREATE TABLE `users` (

`id` int(3) NOT NULL AUTO_INCREMENT,

`username` varchar(20) NOT NULL,

`password` varchar(20) NOT NULL,

PRIMARY KEY (`id`)

) ENGINE=MyISAM AUTO_INCREMENT=15 DEFAULT CHARSET=gbk |

字符序 collation

是指同一字符集中，各字符之间的比较规则，确定了字符序之后，就可以比较字符集中字符的大小关系

在数据的存储上，MySQL提供了不同的字符集

在数据的比较上，MySQL提供了不同的字符序

no.1 查看指定表的字符序

SELECT TABLE_COLLATION FROM information_schema.TABLES WHERE TABLE_SCHEMA = "security" AND TABLE_NAME = "users";

+-----------------+

| TABLE_COLLATION |

+-----------------+

| gbk_chinese_ci |

+-----------------+

no.2 查看指定列的字符序

mysql> SELECT CHARACTER_SET_NAME, COLLATION_NAME FROM information_schema.COLUMNS WHERE TABLE_SCHEMA="security" AND TABLE_NAME="users" AND COLUMN_NAME="username";

+--------------------+----------------+

| CHARACTER_SET_NAME | COLLATION_NAME |

+--------------------+----------------+

| gbk | gbk_chinese_ci |

+--------------------+----------------+

针对字符集和字符序的详情参考

https://www.cnblogs.com/chyingp/p/mysql-character-set-collation.html

0x02 字符集存在的问题

MySQL字符集设置

– character_set_server：默认的内部操作字符集

– character_set_client：客户端来源数据使用的字符集

– character_set_connection：连接层字符集

– character_set_results：查询结果字符集

– character_set_database：当前选中数据库的默认字符集

– character_set_system：系统元数据(字段名等)字符集

查看MySQL字符集设置

mysql> SHOW VARIABLES LIKE 'character_set_%';

+--------------------------+-----------------------------------------------+

| Variable_name | Value |

+--------------------------+-----------------------------------------------+

| character_set_client | utf8 |

| character_set_connection | utf8 |

| character_set_database | latin1 |

| character_set_filesystem | binary |

| character_set_results | utf8 |

| character_set_server | utf8 |

| character_set_system | utf8 |

no.1 宽字节注入

https://www.leavesongs.com/PENETRATION/mutibyte-sql-inject.html

utf8编码处理一个汉字用3个字节表示，gbk编码处理一个汉字用2个字节表示

查看php中使用的是那种编码

echo strlen("和");

输出是2 就是gbk

输出是3 就是utf8

大多数程序会使用addslashes来转义单引号 ' == '

两种方式绕过

1 转义掉这种 \' 单引号就可以逃逸出来

2 把弄没有

利用宽字节就可以把弄没有 MySQL使用GBK编码时，会认为两个字符表示一个汉字，不过第一个字符的ascii值要大于128(%80)，才能达到汉字的范围

把上面的代码稍微改动一下

$mysqli->query("set names gbk");$username = addslashes($_GET['username']);

测试一下

加上单引号试一下

不行

加上%df试一下

payload

?username=admin%df%27%20or%201=1%23

ok了

这里%df还可以换成%a1 %81 等等大于%80的都可以

gb2312

gb23112编码就不存在宽字节的问题，因为gb2312编码的取值范围。它的高位范围是0xA1~0xF7，低位范围是0xA1~0xFE，而是0x5c，是不在低位范围中的。所以，0x5c根本不是gb2312中的编码，自然就不会存在宽字节注入的问题啦

mysqlrealescape_string

转义单引号的函数不只有addslashes 还有 mysqlrealescape_string

该函数会考虑到当前使用的字符集，是不是就不存在宽字节注入的问题啦

试试看

char.php写入

payload还是能打通

指定一下php连接MySQL的字符集，

mysql_set_charset('gbk',$conn);

返回bool(flase)

结论

如果不加上mysqlsetcharset('gbk',$conn); 这一行代码依旧存在

还有另外一个解决方案通过设置客户来源字符集为binary 把数据保存为二进制，以二进制的形式传递，就不存在宽字节的问题了

SET character_set_connection=gbk, character_set_results=gbk,character_set_client=binary

iconv转换编码

iconv('utf-8', 'gbk', $_GET['word']);

很多网站为了避免乱码，把utf8转成了gbk

后端代码

@$conn = mysql_connect('localhost','root','root');

mysql_query("SET NAMES 'gbk'");

mysql_select_db('lianxi',$conn);

mysql_query('SET character_set_connection=gbk, character_set_results=gbk,character_set_client=binary');

$username = addslashes($_GET['username']);

$username = iconv('utf-8', 'gbk', $username);

$sql = "SELECT * FROM `user` WHERE name='{$username}'";

$result=mysql_query($sql,$conn);

$row=mysql_fetch_array($result);var_dump($row);

mysql_free_result($result);

连接层字符集设置了binary 并且转义了单引号

上面的payload已经不行了

再试一下第二种方法转义掉

汉字錦 utf8编码为 0xe98ca6 gbk编码为 0xe55c

试一下

可以打通，payload被转为gbk编码后，出现了5c 两个5c放到一起，就变成了这个字符，失去了转义的作用

如果是gbk转为utf8呢是不是同样存在问题

修改一下代码

$username = iconv('gbk', 'utf-8', $username);

直接用第一种方法就行

gbk编码 2个字节一组直接吞掉%5c

Note: 说明一下 utf8编码不是3个字节一组嘛为什么a%E9%8C没有放在一起转码，因为3个字节一组的是汉字对于ASCII 是单字节 a被单独解码后面的%E9满足大于128的条件被当作汉字解码，3个一组

而gbk编码当第一个字节大于128的时候表示的就是汉字所以%df%5c才会放到一起

no.2 字符集转换

https://www.leavesongs.com/PENETRATION/mysql-charset-trick.html

MySQL默认的字符集是Latin1

Latin1是ISO-8859-1的别名，有些环境下写作Latin-1。ISO-8859-1编码是单字节编码，向下兼容ASCII，其编码范围是0x00-0xFF，0x00-0x7F之间完全和ASCII一致，0x80-0x9F之间是控制字符，0xA0-0xFF之间是文字符号。

客户端输入一个字符，经过的编码过程如下

character_set_client -> character_set_connection -> character_set_server

这里三个编码都设置为了utf8

mysql> SHOW VARIABLES LIKE 'character_set_%';

+--------------------------+-----------------------------------------------+

| Variable_name | Value |

+--------------------------+-----------------------------------------------+

| character_set_client | utf8 |

| character_set_connection | utf8 |

| character_set_database | utf8 |

| character_set_filesystem | binary |

| character_set_results | utf8 |

| character_set_server | utf8 |

| character_set_system | utf8 |

输入

admin%e4

admin%e4%db

admin%e4%bd%ac

只有第一个能绕过第二个和第三个都不行貌似应该是凑不成一个字符会被丢掉，

0x03 字符序存在的问题

MySQL中的字符序名称遵从命名惯例：以字符序对应的字符集名称开头；以_ci(表示大小写不敏感)、_cs(表示大小写敏感)或_bin(表示按编码值比较)结尾。

utf8unicodeci 和 utf8generalci

utf8generalci不区分大小写, 对于法语和德语校对有问题，例如

Ä/ä = AÖ/ö = OÜ/ü = UA=a这几种条件都成立,

对于utf8generalci下面的等式成立：ß = s ，但是，对于utf8unicodeci下面等式才成立：ß = ss 。

http://collation-charts.org/mysql60/mysql604.utf8generalci.european.html

验证一下

在数据库中插入一条admin的记录

mysql> insert `user` values(212,'admin','sex',20190102,'programer');

Query OK, 1 row affected (0.00 sec)

连接数据库

<?php $mysqli = new mysqli("localhost", "root", "root", "lianxi");/* check connection */if ($mysqli->connect_errno) {printf("Connect failed: %sn", $mysqli->connect_error);exit();

}

$mysqli->query("set names utf8");$username = $_GET['username'];/* Select queries return a resultset */$sql = "SELECT * FROM `user` WHERE name='{$username}'";if ($result = $mysqli->query( $sql )) {printf("Select returned %d rows.n", $result->num_rows);while ($row = $result->fetch_array(MYSQLI_ASSOC)){var_dump($row);}/* free result set */$result->close();} else {var_dump($mysqli->error);}$mysqli->close();

德语测试

%C3%84是Ä的url编码

%C3%A4是ä的url编码

大小写测试

ADMIN = admin

utf8unicodeci和utf8generalci对中、英文来说没有实质的差别。

utf8generalci校对速度快，但准确度稍差。

utf8unicodeci准确度高，但校对速度稍慢。

如果你的应用有德语、法语或者俄语，请一定使用utf8unicodeci

weixin_39693950

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
mysql decs倒叙查询_MySql字符研究

0x01 字符集和字符序http://www.laruence.com/2008/01/05/12.html字符集 character set针对给定的字符赋予一个数值，这个数值就是这个字符的编码，多个字符以及对应的编码，就组成了字符集eg: A->1 B->2 A的字符编码是1 B的字符编码是2 当给定的字符是AB的时候，{A->1 B->2}就是字符集...
复制链接

扫一扫