考点:SQL约束攻击
漏洞原理
- 在INSERT中,SQL会根据varchar(n)来限制字符串的最大长度。如果字符串的长度大于“n”个字符的话,那么仅使用字符串的前“n”个字符。
mysql> insert into user_test(username, password) values("admin x", "my_pass");
Query OK, 1 row affected, 1 warning (0.00 sec)
mysql> select * from user_test;
+----+-----------------+----------+
| id | username | password |
+----+-----------------+----------+
| 1 | admin | pass |
| 2 | admin | pass |
| 3 | admin | my_pass |
+----+-----------------+----------+
3 rows in set (0.00 sec)
- 在SQL中执行字符串处理时,字符串末尾的空格符将会被删除。
SELECT * FROM users_test WHERE username='admin ';
SELECT * FROM users_test WHERE username='admin';
两者查询结果相同
- 验证用户名和密码的代码
<?php
$username = mysql_real_escape_string($_GET['username']);
$password = mysql_real_escape_string($_GET['password']);
$query = "SELECT username FROM users
WHERE username='$username'
AND password='$password' ";
$res = mysql_query($query, $database);
if($res) {
if(mysql_num_rows($res) > 0){
$row = mysql_fetch_assoc($res);
return $row['username'];
}
}
当登陆时使用admin与my_pass 登陆,数据库将返回我们自己注册的账户信息,但是注意此处的return $row['username'];
,虽然此时查询出来的是我们自己的用户信息,但是返回的用户名则是目标的用户名。如果此后的业务逻辑直接以该用户名为准,则我们就达到了水平越权的目的。
攻击方法
1.在注册时,你使用同样的名称+一大段空格+1
2.在查询操作时,是不会缩短字符的,也就是说,你可以绕过重复问题。
3.插入操作仅会缩短至规定字符数,一般25左右,这样就造成了碰撞,出现了这样的情况:
1 vampire | password
2 vampire | hackpass
(第二个后面有很多看不见的空格)
4.使用去空格的名称+hackpass进行登录,这样就会返回第一个数据记录。
5.你就可以使用别人的账号登录了。
解题
题目
注册
登录