Sqllibs-Less18-19

18.Less18-Header Injection-Error Based

18.1、注入分析

正常输入，产生如下显示：

从源码我们可以看出本关卡对于输入的username和password都进行了过滤，因此我们无法进行对输入的参数进行注入。

继续分析源码我们可以发现含有如下insert语句，将(‘$uagen{t}^{\prime }{,}^{\prime }$IP’, $uname)三个参数插入到了数据库中，由于uname无法注入，因此我们可以尝试对IP和uagent进行构造产生注入。

$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";

首先我们查看IP和uagent的来源，如下

18.1.1、_SERVER

$_SERVER 是一个包含了诸如头信息(header)、路径(path)、以及脚本位置(script locations)等等信息的数组。这个数组中的项目由 Web 服务器创建。不能保证每个服务器都提供全部项目；服务器可能会忽略一些，或者提供一些没有在这里列举出来的项目。

注意: PHP 5.4.0 之前，$HTTP_SERVER_VARS 包含着相同的信息，但它不是一个超全局变量。 (注意 $HTTP_SERVER_VARS 与 $_SERVER 是不同的变量，PHP处理它们的方式不同)

$_SERVER[‘HTTP_USER_AGENT’] //当前请求的 User_Agent: 头部的内容。
$_SERVER[‘REMOTE_ADDR’] //当前用户 IP 。

其余用法请参考：$_SERVER详解

对于IP和uagent这两个参数，数据库并还没有对过滤措施，因此我们可以用burp拦包修改进行注入。
由于会输出数据库的相关错误信息，因此我们可以利用报错注入。

在user-agent中输入以下语句时，

‘ 【单引号，报错】
’ # 【单引号+注释，报错】
’ and ‘1’='1 【单引号+and+等式，正常显示】

那么可以判断useragent的闭合方式为单引号闭合，并且还会输出数据库的相关报错信息，因此可以利用报错进行注入。

User-Agent: ' and extractvalue(1,concat(0x7e,(select version()),0x7e)) and'1'='1

如上图，我们得到了数据库版本号，其他的payload以此类推，自由发挥啦！

18.2、代码分析

	/*获取用户相关信息，包括用户浏览器、操作系统等信息*/
	$uagent = $_SERVER['HTTP_USER_AGENT'];
	/*获取浏览网页用户的IP*/
	$IP = $_SERVER['REMOTE_ADDR'];
	
	
	/*对用户名和密码进行过滤。*/
	$uname = check_input($_POST['uname']);
	$passwd = check_input($_POST['passwd']);


	$sql="SELECT  users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";
	$result1 = mysql_query($sql);/*返回sql语句的查询结果集*/
	$row1 = mysql_fetch_array($result1);/*在查询结果集中取需要的一行作为数组*/
		if($row1)
			{
			echo '<font color= "#FFFF00" font size = 3 >';
			$insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";
			mysql_query($insert);
			//echo 'Your IP ADDRESS is: ' .$IP;
			echo "</font>";
			//echo "<br>";
			echo '<font color= "#0000ff" font size = 3 >';			
			echo 'Your User Agent is: ' .$uagent;
			echo "</font>";
			echo "<br>";
			print_r(mysql_error());			
			echo "<br><br>";
			echo '<img src="../images/flag.jpg"  />';
			echo "<br>";
			
			}

19.Less19-Header Injection-Referer-Error Based

19.1、注入分析

正常输入，产生如下显示：

类似于less18，只不过我们是在拦包后的referer中不断的进行注入，在这里给出一个paylaod，其他的任由读者自行发挥啦！

报错产生mysql数据库的路径：

Referer: ' and extractvalue(1,concat(0x7e,(select @@basedir),0x7e)) and '1'='1

如下，显示了数据库的路径：

19.2、代码分析

	
	/*将很容易得到链接到当前页面的前一页面的地址。*/
	$uagent = $_SERVER['HTTP_REFERER'];
	/*获取浏览网页用户的IP*/
	$IP = $_SERVER['REMOTE_ADDR'];
	…………………………………………………………
	
	$uname = check_input($_POST['uname']);
	$passwd = check_input($_POST['passwd']);
	
	…………………………………………………………

	$sql="SELECT  users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";
	$result1 = mysql_query($sql);
	$row1 = mysql_fetch_array($result1);
		if($row1)
			{
			echo '<font color= "#FFFF00" font size = 3 >';
			$insert="INSERT INTO `security`.`referers` (`referer`, `ip_address`) VALUES ('$uagent', '$IP')";
			mysql_query($insert);
			//echo 'Your IP ADDRESS is: ' .$IP;
			echo "</font>";
			//echo "<br>";
			echo '<font color= "#0000ff" font size = 3 >';			
			echo 'Your Referer is: ' .$uagent;
			echo "</font>";
			echo "<br>";
			print_r(mysql_error());			
			echo "<br><br>";
			echo '<img src="../images/flag.jpg" />';
			echo "<br>";
			
			}