搜索

[20806] 2017-06-30_sql宽字节注入详解

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-06-30_sql宽字节注入详解 s q l 宽 字 节 注 入 详 解 L e m o n S e c   2 0 1 7 - 0 6 - 3 0 尽 管 现 在 呼 吁 所 有 的 程 序 都 使 用 尽 管 现 在 呼 吁 所 有 的 程 序 都 使 用 u n i c o d e 编 码 ， 所 有 的 网 站 都 使 用 编 码 ， 所 有 的 网 站 都 使 用 u t f - 8 编 码 ， 来 一 个 统 一 的 国 际 规 范 。 但 仍 然 有 很 多 ， 包 括 国 内 及 国 外 （ 特 别 是 非 英 语 国 家 ） 的 一 些 编 码 ， 来 一 个 统 一 的 国 际 规 范 。 但 仍 然 有 很 多 ， 包 括 国 内 及 国 外 （ 特 别 是 非 英 语 国 家 ） 的 一 些 c m s ， 仍 ， 仍 然 使 用 着 自 己 国 家 的 一 套 编 码 ， 比 如 然 使 用 着 自 己 国 家 的 一 套 编 码 ， 比 如 g b k ， 作 为 自 己 默 认 的 编 码 类 型 。 ， 作 为 自 己 默 认 的 编 码 类 型 。 也 有 一 些 c m s 为 了 考 虑 老 用 户 ， 所 以 出 了 g b k 和 u t f - 8 两 个 版 本 。 我 们 就 以 g b k 字 符 编 码 为 示 范 ， 拉 开 帷 幕 。 g b k 是 一 种 多 字 符 编 码 ， 具 体 定 义 自 行 百 度 。 但 有 一 个 地 方 尤 其 要 注 意 ： 通 常 来 说 ， 一 个 g b k 编 码 汉 字 ， 占 用 2 个 字 节 。 一 个 u t f - 8 编 码 的 汉 字 ， 占 用 3 个 字 节 。 在 p h p 中 ， 我 们 可 以 通 过 输 出 e c h o   s t r l e n ( " 和 " ) ; 来 测 试 。 当 将 页 面 编 码 保 存 为 g b k 时 输 出 2 ， u t f - 8 时 输 出 3 。 除 了 g b k 以 外 ， 所 有 A N S I 编 码 都 是 2 个 字 节 。 a n s i 只 是 一 个 标 准 ， 在 不 用 的 电 脑 上 它 代 表 的 编 码 可 能 不 相 同 ， 比 如 简 体 中 文 系 统 中 A N S I 就 代 表 是 G B K 。 以 上 是 一 点 关 于 多 字 节 编 码 的 小 知 识 ， 只 有 我 们 足 够 了 解 它 的 组 成 及 特 性 以 后 ， 才 能 更 好 地 去 分 析 它 身 上 存 在 的 问 题 。 说 了 这 么 多 废 话 ， 现 在 来 研 究 一 下 在 S Q L 注 入 中 ， 字 符 编 码 带 来 的 各 种 问 题 。 0 × 0 1   M Y S Q L 中 的 宽 字 符 注 入   这 是 一 个 老 话 题 了 ， 也 被 人 玩 过 无 数 遍 。 但 作 为 我 们 这 篇 文 章 的 序 幕 ， 也 是 基 础 ， 是 必 须 要 提 的 。 我 们 先 搭 建 一 个 实 验 环 境 。 暂 且 称 之 为 p h i t h o n 内 容 管 理 系 统 v 1 . 0 ， 首 先 先 新 建 一 个 数 据 库 ， 把 如 下 压 缩 包 中 的 s q l 文 件 导 入 ： 之 后 的 p h i t h o n 内 容 管 理 系 统 会 逐 步 完 善 ， 但 会 一 直 使 用 这 个 数 据 表 。 源 码 很 简 单 （ 注 意 先 关 闭 自 己 p h p 环 境 的 m a g i c _ q u o t e s _ g p c ） ：
S Q L 语 句 是 S E L E C T   *   F R O M   n e w s   W H E R E   t i d = ' { $ i d } ' ， 就 是 根 据 文 章 的 i d 把 文 章 从 n e w s 表 中 取 出 来 。 在 这 个 s q l 语 句 前 面 ， 我 们 使 用 了 一 个 a d d s l a s h e s 函 数 ， 将 $ i d 的 值 转 义 。 这 是 通 常 c m s 中 对 s q l 注 入 进 行 的 操 作 ， 只 要 我 们 的 输 入 参 数 在 单 引 号 中 ， 就 逃 逸 不 出 单 引 号 的 限 制 ， 无 法 注 入 ， 如 下 图 ： 0 1     < ? p h p 0 2   / / 连 接 数 据 库 部 分 ， 注 意 使 用 了 g b k 编 码 ， 把 数 据 库 信 息 填 写 进 去 0 3   $ c o n n =   m y s q l _ c o n n e c t ( ' l o c a l h o s t ' , ' r o o t ' , ' t o o r ! @ # $ ' ) o r d i e ( ' b a d ! ' ) ; 0 4     m y s q l _ q u e r y ( " S E T   N A M E S   ' g b k ' " ) ; 0 5     m y s q l _ s e l e c t _ d b ( ' t e s t ' , $ c o n n )   O R   e m M s g ( " 连 接 数 据 库 失 败 ， 未 找 到 您 填 写 的 数 据 库 " ) ; 0 6   / / 执 行 s q l 语 句 0 7   $ i d =   i s s e t ( $ _ G E T [ ' i d ' ] )   ? a d d s l a s h e s ( $ _ G E T [ ' i d ' ] )   :   1 ; 0 8   $ s q l = " S E L E C T   *   F R O M   n e w s   W H E R E   t i d = ' { $ i d } ' " ; 0 9   $ r e s u l t =   m y s q l _ q u e r y ( $ s q l , $ c o n n ) o r d i e ( m y s q l _ e r r o r ( ) ) ; / / s q l 出 错 会 报 错 ， 方 便 观 察 1 0     ? > 1 1     < ! D O C T Y P E   h t m l > 1 2     < h t m l > 1 3     < h e a d > 1 4     < m e t a   c h a r s e t = " g b k " / > 1 5     < t i t l e > 新 闻 < / t i t l e > 1 6     < / h e a d > 1 7     < b o d y > 1 8     < ? p h p 1 9   $ r o w =   m y s q l _ f e t c h _ a r r a y ( $ r e s u l t ,   M Y S Q L _ A S S O C ) ; 2 0   e c h o " < h 2 > { $ r o w [ ' t i t l e ' ] } < / h 2 > < p > { $ r o w [ ' c o n t e n t ' ] } < p > n " ; 2 1     m y s q l _ f r e e _ r e s u l t ( $ r e s u l t ) ; 2 2     ? > 2 3     < / b o d y > 2 4     < / h t m l >
那 么 怎 么 逃 过 a d d s l a s h e s 的 限 制 ？ 众 所 周 知 a d d s l a s h e s 函 数 产 生 的 效 果 就 是 ， 让 ’ 变 成 ’ ， 让 引 号 变 得 不 再 是 “ 单 引 号 ” ， 只 是 一 撇 而 已 。 一 般 绕 过 方 式 就 是 ， 想 办 法 处 理 ’ 前 面 的 ： 1 . 想 办 法 给 前 面 再 加 一 个 （ 或 单 数 个 即 可 ） ， 变 成 ’ ， 这 样 被 转 义 了 ， ’ 逃 出 了 限 制 2 . 想 办 法 把 弄 没 有 。 我 们 这 里 的 宽 字 节 注 入 是 利 用 m y s q l 的 一 个 特 性 ， m y s q l 在 使 用 G B K 编 码 的 时 候 ， 会 认 为 两 个 字 符 是 一 个 汉 字 （ 前 一 个 a s c i i 码 要 大 于 1 2 8 ， 才 到 汉 字 的 范 围 ） 。 如 果 我 们 输 入 % d f ’ 看 会 怎 样 ： 我 们 可 以 看 到 ， 已 经 报 错 了 。 我 们 看 到 报 错 ， 说 明 s q l 语 句 出 错 ， 看 到 出 错 说 明 可 以 注 入 了 。 为 什 么 从 刚 才 到 现 在 ， 只 是 在 ’ 也 就 是 % 2 7 前 面 加 了 一 个 % d f 就 报 错 了 ？ 而 且 从 图 中 可 以 看 到 ， 报 错 的 原 因 就 是 多 了 一 个 单 引 号 ， 而 单 引 号 前 面 的 反 斜 杠 不 见 了 。 这 就 是 m y s q l 的 特 性 ， 因 为 g b k 是 多 字 节 编 码 ， 他 认 为 两 个 字 节 代 表 一 个 汉 字 ， 所 以 % d f 和 后 面 的 也 就 是 % 5 c 变 成 了 一 个 汉 字 “ 運 ” ， 而 ’ 逃 逸 了 出 来 。 因 为 两 个 字 节 代 表 一 个 汉 字 ， 所 以 我 们 可 以 试 试 “ % d f % d f % 2 7 ” ： 不 报 错 了 。 因 为 % d f % d f 是 一 个 汉 字 ， % 5 c % 2 7 不 是 汉 字 ， 仍 然 是 ’ 。 那 么 m y s q l 怎 么 判 断 一 个 字 符 是 不 是 汉 字 ， 根 据 g b k 编 码 ， 第 一 个 字 节 a s c i i 码 大 于 1 2 8 ， 基 本 上 就 可 以 了 。 比 如 我 们 不 用 % d f ， 用 % a 1 也 可 以 ： % a 1 % 5 c 他 可 能 不 是 汉 字 ， 但 一 定 会 被 m y s q l 认 为 是 一 个 宽 字 符 ， 就 能 够 让 后 面 的 % 2 7 逃 逸 了 出 来 。 于 是 我 可 以 构 造 一 个 e x p 出 来 ， 查 询 管 理 员 账 号 密 码 ： 0 × 0 2   G B 2 3 1 2 与 与 G B K 的 不 同 的 不 同 曾 经 有 一 个 问 题 一 直 困 扰 我 很 久 。 g b 2 3 1 2 和 g b k 应 该 都 是 宽 字 节 家 族 的 一 员 。 但 我 们 来 做 个 小 实 验 。 把 p h i t h o n 内 容 管 理 系 统 中 s e t   n a m e s 修 改 成 g b 2 3 1 2 : 结 果 就 是 不 能 注 入 了 ： 有 些 同 学 不 信 的 话 ， 也 可 以 把 数 据 库 编 码 也 改 成 g b 2 3 1 2 ， 也 是 不 成 功 的 。 为 什 么 ， 这 归 结 于 g b 2 3 1 2 编 码 的 取 值 范 围 。 它 的 高 位 范 围 是 0 x A 1 ~ 0 x F 7 ， 低 位 范 围 是 0 x A 1 ~ 0 x F E ， 而 是 0 x 5 c ， 是 不 在 低 位 范 围 中 的 。 所 以 ， 0 x 5 c 根 本 不 是 g b 2 3 1 2 中 的 编 码 ， 所 以 自 然 也
是 不 会 被 吃 掉 的 。 所 以 ， 把 这 个 思 路 扩 展 到 世 界 上 所 有 多 字 节 编 码 ， 我 们 可 以 这 样 认 为 ： 只 要 低 位 的 范 围 中 含 有 0 x 5 c 的 编 码 ， 就 可 以 进 行 宽 字 符 注 入 。 0 × 0 3   m y s q l _ r e a l _ e s c a p e _ s t r i n g 解 决 问 题 ？ 解 决 问 题 ？ 部 分 c m s 对 宽 字 节 注 入 有 所 了 解 ， 于 是 寻 求 解 决 方 案 。 在 p h p 文 档 中 ， 大 家 会 发 现 一 个 函 数 ， m y s q l _ r e a l _ e s c a p e _ s t r i n g ， 文 档 里 说 了 ， 考 虑 到 连 接 的 当 前 字 符 集 。 于 是 ， 有 的 c m s 就 把 a d d s l a s h e s 替 换 成 m y s q l _ r e a l _ e s c a p e _ s t r i n g ， 来 抵 御 宽 字 符 注 入 。 我 们 继 续 做 试 验 ， p h i t h o n 内 容 管 理 系 统 v 1 . 2 : ， 就 用 m y s q l _ r e a l _ e s c a p e _ s t r i n g 来 过 滤 输 入 ： 我 们 来 试 试 能 不 能 注 入 ： 一 样 没 压 力 注 入 。 为 什 么 ， 明 明 我 用 了 m y s q l _ r e a l _ e s c a p e _ s t r i n g ， 但 却 仍 然 不 能 抵 御 宽 字 符 注 入 。 原 因 就 是 ， 你 没 有 指 定 p h p 连 接 m y s q l 的 字 符 集 。 我 们 需 要 在 执 行 s q l 语 句 之 前 调 用 一 下 m y s q l _ s e t _ c h a r s e t 函 数 ， 设 置 当 前 连 接 的 字 符 集 为 g b k 。 就 可 以 避 免 这 个 问 题 了 ： 0 × 0 4   宽 字 符 注 入 的 修 复 宽 字 符 注 入 的 修 复 在 3 中 我 们 说 到 了 一 种 修 复 方 法 ， 就 是 先 调 用 m y s q l _ s e t _ c h a r s e t 函 数 设 置 连 接 所 使 用 的 字 符 集 为 g b k ， 再 调 用 m y s q l _ r e a l _ e s c a p e _ s t r i n g 来 过 滤 用 户 输 入 。 这 个 方 式 是 可 行 的 ， 但 有 部 分 老 的 c m s ， 在 多 处 使 用 a d d s l a s h e s 来 过 滤 字 符 串 ， 我 们 不 可 能 去 一 个 一 个 把 a d d s l a s h e s 都 修 改 成 m y s q l _ r e a l _ e s c a p e _ s t r i n g 。 我 们 第 二 个 解 决 方 案 就 是 ， 将 c h a r a c t e r _ s e t _ c l i e n t 设 置 为 b i n a r y （ 二 进 制 ） 。 只 需 在 所 有 s q l 语 句 前 指 定 一 下 连 接 的 形 式 是 二 进 制 ： m y s q l _ q u e r y ( " S E T   c h a r a c t e r _ s e t _ c o n n e c t i o n = g b k ,   c h a r a c t e r _ s e t _ r e s u l t s = g b k , c h a r a c t e r _ s e t _ c l i e n t = b i n a r y " ,   $ c o n n ) ;   这 几 个 变 量 是 什 么 意 思 ？ 当 我 们 的 m y s q l 接 受 到 客 户 端 的 数 据 后 ， 会 认 为 他 的 编 码 是 c h a r a c t e r _ s e t _ c l i e n t ， 然 后 会 将 之 将 换 成 c h a r a c t e r _ s e t _ c o n n e c t i o n 的 编 码 ， 然 后 进 入 具 体 表 和 字 段 后 ， 再 转 换 成 字 段 对 应 的 编 码 。 然 后 ， 当 查 询 结 果 产 生 后 ， 会 从 表 和 字 段 的 编 码 ， 转 换 成 c h a r a c t e r _ s e t _ r e s u l t s 编 码 ， 返 回 给 客 户 端 。 所 以 ， 我 们 将 c h a r a c t e r _ s e t _ c l i e n t 设 置 成 b i n a r y ， 就 不 存 在 宽 字 节 或 多 字 节 的 问 题 了 ， 所 有 数 据 以 二 进 制 的 形 式 传 递 ， 就 能 有 效 避 免 宽 字 符 注 入 。 比 如 ， 我 们 的 p h i t h o n 内 容 管 理 系 统 v 2 . 0 版 本 更 新 如 下 ：
已 经 不 能 够 注 入 了 ： 在 我 审 计 过 的 代 码 中 ， 大 部 分 c m s 是 以 这 样 的 方 式 来 避 免 宽 字 符 注 入 的 。 这 个 方 法 可 以 说 是 有 效 的 ， 但 如 果 开 发 者 画 蛇 添 足 地 增 加 一 些 东 西 ， 会 让 之 前 的 努 力 前 功 尽 弃 。 0 × 0 5   i c o n v 导 致 的 致 命 后 果 很 多 c m s ， 不 止 一 个 ， 我 就 不 提 名 字 了 ， 他 们 的 g b k 版 本 都 存 在 因 为 字 符 编 码 造 成 的 注 入 。 但 有 的 同 学 说 ， 自 己 测 试 了 这 些 c m s 的 宽 字 符 注 入 ， 没 有 效 果 呢 ， 难 道 是 自 己 姿 势 不 对 ？ 当 然 不 是 。 实 际 上 ， 这 一 章 说 的 已 经 不 再 是 宽 字 符 注 入 了 ， 因 为 问 题 并 不 是 出 在 m y s q l 上 ， 而 是 出 在 p h p 中 了 。 很 多 c m s （ 真 的 很 多 哦 ， 不 信 大 家 自 己 网 上 找 找 ） 会 将 接 收 到 数 据 ， 调 用 这 样 一 个 函 数 ， 转 换 其 编 码 ： i c o n v ( ‘ u t f - 8 ’ ,   ‘ g b k ’ ,   $ _ G E T [ ‘ w o r d ’ ] ) ; 目 的 一 般 是 为 了 避 免 乱 码 ， 特 别 是 在 搜 索 框 的 位 置 。 比 如 我 们 的 p h i t h o n 内 容 管 理 系 统 v 3 . 0 我 们 可 以 看 到 ， 它 在 s q l 语 句 执 行 前 ， 将 c h a r a c t e r _ s e t _ c l i e n t 设 置 成 了 b i n a r y ， 所 以 可 以 避 免 宽 字 符 注 入 的 问 题 。 但 之 后 其 调 用 了 i c o n v 将 已 经 过 滤 过 的 参 数 $ i d 给 转 换 了 一 下 。 那 我 们 来 试 试 此 时 能 不 能 注 入 ： 居 然 报 错 了 。 说 明 可 以 注 入 。 而 我 只 是 输 入 了 一 个 “   錦 ‘   ” 。 这 是 什 么 原 因 ？ 我 们 来 分 析 一 下 。 “ 錦 ” 这 个 字 ， 它 的 u t f - 8 编 码 是 0 x e 9 8 c a 6 ， 它 的 g b k 编 码 是 0 x e 5 5 c 。 有 的 同 学 可 能 就 领 悟 了 。 的 a s c i i 码 正 是 5 c 。 那 么 ， 当 我 们 的 錦 被 i c o n v 从 u t f - 8 转 换 成 g b k 后 ， 变 成 了 % e 5 % 5 c ， 而 后 面 的 ’ 被 a d d s l a s h e s 变 成 了 % 5 c % 2 7 ， 这 样 组 合 起 来 就 是 % e 5 % 5 c % 5 c % 2 7 ， 两 个 % 5 c 就 是 ， 正 好 把 反 斜 杠 转 义 了 ， 导 致 ’ 逃 逸 出 单 引 号 ， 产 生 注 入 。 这 正 利 用 了 我 之 前 说 的 ， 绕 过 a d d s l a s h e s 的 两 种 方 式 的 第 一 种 ： 将 转 义 掉 。 那 么 ， 如 果 我 是 用 i c o n v 将 g b k 转 换 成 u t f - 8 呢 ？
我 们 来 试 试 ： 果 然 又 成 功 了 。 这 次 直 接 用 宽 字 符 注 入 的 姿 势 来 的 ， 但 实 际 上 问 题 出 在 p h p 而 不 是 m y s q l 。 我 们 知 道 一 个 g b k 汉 字 2 字 节 ， u t f - 8 汉 字 3 字 节 ， 如 果 我 们 把 g b k 转 换 成 u t f - 8 ， 则 p h p 会 每 两 个 字 节 一 转 换 。 所 以 ， 如 果 ’ 前 面 的 字 符 是 奇 数 的 话 ， 势 必 会 吞 掉 ， ’ 逃 出 限 制 。 那 么 为 什 么 之 前 u t f - 8 转 换 成 g b k 的 时 候 ， 没 有 使 用 这 个 姿 势 ？ 这 跟 u t f - 8 的 规 则 有 关 ， U T F - 8 的 编 码 规 则 很 简 单 ， 只 有 二 条 ： 1 ） 对 于 单 字 节 的 符 号 ， 字 节 的 第 一 位 设 为 0 ， 后 面 7 位 为 这 个 符 号 的 u n i c o d e 码 。 因 此 对 于 英 语 字 母 ， U T F - 8 编 码 和 A S C I I 码 是 相 同 的 。 2 ） 对 于 n 字 节 的 符 号 （ n > 1 ） ， 第 一 个 字 节 的 前 n 位 都 设 为 1 ， 第 n + 1 位 设 为 0 ， 后 面 字 节 的 前 两 位 一 律 设 为 1 0 。 剩 下 的 没 有 提 及 的 二 进 制 位 ， 全 部 为 这 个 符 号 的 u n i c o d e 码 。 从 2 我 们 可 以 看 到 ， 对 于 多 字 节 的 符 号 ， 其 第 2 、 3 、 4 字 节 的 前 两 位 都 是 1 0 ， 也 就 是 说 ， （ 0 x 0 0 0 0 0 0 5 c ） 不 会 出 现 在 u t f - 8 编 码 中 ， 所 以 u t f - 8 转 换 成 g b k 时 ， 如 果 有 则 p h p 会 报 错 ： 但 因 为 g b k 编 码 中 包 含 了 ， 所 以 仍 然 可 以 利 用 ， 只 是 利 用 方 式 不 同 罢 了 。         总 而 言 之 ， 在 我 们 处 理 了 m y s q l 的 宽 字 符 注 入 以 后 ， 也 别 认 为 就 可 以 高 枕 无 忧 了 。 调 用 i c o n v 时 千 万 要 小 心 ， 避 免 出 现 不 必 要 的 麻 烦 。   0 × 0 6   总 结 在 逐 渐 国 际 化 的 今 天 ， 推 行 u t f - 8 编 码 是 大 趋 势 。 如 果 就 安 全 性 来 说 的 话 ， 我 也 觉 得 使 用 u t f - 8 编 码 能 够 避 免 很 多 多 字 节 造 成 的 问 题 。         不 光 是 g b k ， 我 只 是 习 惯 性 地 把 g b k 作 为 一 个 典 型 的 例 子 在 文 中 与 大 家 说 明 。 世 界 上 的 多 字 节 编 码 有 很 多 ， 特 别 是 韩 国 、 日 本 及 一 些 非 英 语 国 家 的 c m s ， 都 可 能 存 在 由 字 符 编 码 造 成 的 安 全 问 题 ， 大 家 应 该 有 扩 展 性 的 思 维 。 总 结 一 下 全 文 中 提 到 的 由 字 符 编 码 引 发 的 安 全 问 题 及 其 解 决 方 案 ： 1 . g b k 编 码 造 成 的 宽 字 符 注 入 问 题 ， 解 决 方 法 是 设 置 c h a r a c t e r _ s e t _ c l i e n t = b i n a r y 。 2 . 矫 正 人 们 对 于 m y s q l _ r e a l _ e s c a p e _ s t r i n g 的 误 解 ， 单 独 调 用 s e t   n a m e = g b k 和 m y s q l _ r e a l _ e s c a p e _ s t r i n g 是 无 法 避 免 宽 字 符 注 入 问 题 的 。 还 得 调 用 m y s q l _ s e t _ c h a r s e t 来 设 置 一 下 字 符 集 。 3 . 谨 慎 使 用 i c o n v 来 转 换 字 符 串 编 码 ， 很 容 易 出 现 问 题 。 只 要 我 们 把 前 端 h t m l / j s / c s s 所 有 编 码 设 置 成 g b k ， m y s q l / p h p 编 码 设 置 成 g b k ， 就 不 会 出 现 乱 码 问 题 。 不 用 画 蛇 添 足 地 去 调 用 i c o n v 转 换 编 码 ， 造 成 不 必 要 的 麻 烦 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理