【DVWA】SQL Injection-medium

SQL注入——中安全级别

【SQL注入分类】

按照所传递的数据类型可以分为：

• 数字型注入
• 字符型注入

【源码分析】

<?php

if (isset($_GET['Submit'])) {

    // Retrieve data

    $id = $_GET['id'];
    $id = mysql_real_escape_string($id);

    $getid = "SELECT first_name, last_name FROM users WHERE user_id = $id";

    $result = mysql_query($getid) or die('<pre>' . mysql_error() . '</pre>' );
    
    $num = mysql_numrows($result);

    $i=0;

    while ($i < $num) {

        $first = mysql_result($result,$i,"first_name");
        $last = mysql_result($result,$i,"last_name");
        
        echo '<pre>';
        echo 'ID: ' . $id . '<br>First name: ' . $first . '<br>Surname: ' . $last;
        echo '</pre>';

        $i++;
    }
}
?>

观察medium安全级别下的源码，也就比low级别下的源码多一行代码：

 $id = mysql_real_escape_string($id); 

将接受到的id进行了过滤，就是使用 mysql_real_escape_string()这个函数来进行过滤的。

mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响：
\x00
\n
\r

’
"
\x1a
如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。
也就是说PHP解释器会 ' -> \'
注：PHP中还有一个与此功能类似的函数 addslashes()

【进行注入】

那么这种如何去注入呢？

既然安全等级是中级那么就可以去进行sql的注入。
再次对比Low SQL Injection Source与Medium SQL Injection Source，还能够发现在构造sql查询语句的时候有一点点不同。

//Low
$getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'"; 

//Medium
$getid = "SELECT first_name, last_name FROM users WHERE user_id = $id";

可以发现在最后where限定中的$id一个有引号，一个没引号。也就是说一个是字符型的一个是数字类型的，那么就考虑数字型注入。