高校战“疫”网络安全分享赛 攻防世界 sqlcheckin

sqlcheckin

查看源码

<?php 
    // ...
    $pdo = new PDO('mysql:host=localhost;dbname=sqlsql;charset=utf8;', 'xxx', 'xxx');
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);//设置查询数据返回的类型，这样不用每次都写fetchAll(PDO::FETCH_ASSOC)
    $stmt = $pdo->prepare("SELECT username from users where username='${_POST['username']}' and password='${_POST['password']}'");
    $stmt->execute();
    $result = $stmt->fetchAll();
    if (count($result) > 0) {
        if ($result[0]['username'] == 'admin') {
            include('flag.php');
            exit();
    // .... 

PHP的PDO，可以防止sql注入，原理https://www.jianshu.com/p/6b021e4bec10。setAttribute（）这一行是强制性的，它会告诉 PDO 禁用模拟预处理语句，并使用 real parepared statements 。这可以确保SQL语句和相应的值在传递到mysql服务器之前是不会被PHP解析的（禁止了所有可能的恶意SQL注入攻击）。

PDO是封装好的数据库操作类，封装了自己的转义方法quote，quote() 为SQL语句中的字符串添加引号或者转义特殊字符串。sql指令中，串的分界符是单引号，所以需要对串的单引号作转义处理。但转义不是过滤

源码已经给出用户名为admin了，可以尝试使用万能密码登录。
1.用户名admin#，密码123，失败，所以#被过滤，同理–也被过滤
2.用户名admin，密码’1 or 1=1’，失败，所以or被过滤，同理and，&，|，^被过滤。
3.用户名admin，密码’=’，失败，所以=被过滤
4.用户名admin，密码‘+1-1-’，成功
https://wenku.baidu.com/view/d55f60e4c281e53a5902ff0d.html万能密码字典。