[bugku]-login1-sql约束攻击

考点：SQL约束攻击

漏洞原理

1. 在INSERT中，SQL会根据varchar(n)来限制字符串的最大长度。如果字符串的长度大于“n”个字符的话，那么仅使用字符串的前“n”个字符。

mysql> insert into user_test(username, password) values("admin            x", "my_pass");
Query OK, 1 row affected, 1 warning (0.00 sec)

mysql> select * from user_test;
+----+-----------------+----------+
| id | username        | password |
+----+-----------------+----------+
|  1 | admin           | pass     |
|  2 | admin           | pass     |
|  3 | admin           | my_pass  |
+----+-----------------+----------+
3 rows in set (0.00 sec)

2. 在SQL中执行字符串处理时，字符串末尾的空格符将会被删除。

SELECT * FROM users_test WHERE username='admin    ';
SELECT * FROM users_test WHERE username='admin';
两者查询结果相同

3. 验证用户名和密码的代码

<?php
$username = mysql_real_escape_string($_GET['username']);
$password = mysql_real_escape_string($_GET['password']);
$query = "SELECT username FROM users
          WHERE username='$username'
              AND password='$password' ";
$res = mysql_query($query, $database);
if($res) {
  if(mysql_num_rows($res) > 0){
      $row = mysql_fetch_assoc($res);
      return $row['username'];
  }
}

当登陆时使用admin与my_pass 登陆，数据库将返回我们自己注册的账户信息，但是注意此处的return $row['username'];，虽然此时查询出来的是我们自己的用户信息，但是返回的用户名则是目标的用户名。如果此后的业务逻辑直接以该用户名为准，则我们就达到了水平越权的目的。

攻击方法

1.在注册时，你使用同样的名称+一大段空格+1
2.在查询操作时，是不会缩短字符的，也就是说，你可以绕过重复问题。
3.插入操作仅会缩短至规定字符数，一般25左右，这样就造成了碰撞，出现了这样的情况：

1  vampire   | password
2  vampire   | hackpass
(第二个后面有很多看不见的空格）

4.使用去空格的名称+hackpass进行登录，这样就会返回第一个数据记录。
5.你就可以使用别人的账号登录了。

解题

题目

注册
登录