搜索

[14722] 2019-10-20_从宽字节注入认识PDO的原理和正确使用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-10-20_从宽字节注入认识PDO的原理和正确使用 从 宽 字 节 注 入 认 识 P D O 的 原 理 和 正 确 使 用 A n y l i k e   F r e e B u f   2 0 1 9 - 1 0 - 2 0 前 言 前 言 随 着 数 据 库 参 数 化 查 询 的 方 式 越 来 越 普 遍 ， 随 着 数 据 库 参 数 化 查 询 的 方 式 越 来 越 普 遍 ， S Q L 注 入 漏 洞 较 之 于 以 前 也 大 大 减 少 ， 而 注 入 漏 洞 较 之 于 以 前 也 大 大 减 少 ， 而 P D O 作 为 作 为 p h p 中 最 典 型 的 中 最 典 型 的 预 编 译 查 询 方 式 ， 使 用 越 来 越 广 泛 。 预 编 译 查 询 方 式 ， 使 用 越 来 越 广 泛 。 众 所 周 知 ， 众 所 周 知 ， P D O 是 是 p h p 中 防 止 中 防 止 S Q L 注 入 最 好 的 方 式 ， 但 并 不 是 注 入 最 好 的 方 式 ， 但 并 不 是 1 0 0 % 杜 绝 杜 绝 S Q L 注 入 的 方 式 ， 关 键 还 要 看 如 何 使 注 入 的 方 式 ， 关 键 还 要 看 如 何 使 用 。 用 。 之 前 在 一 篇 文 章 中 了 解 到 P D O 场 景 下 参 数 可 控 导 致 的 多 句 执 行 等 问 题 （ h t t p s : / / x z . a l i y u n . c o m / t / 3 9 5 0 ） 于 是 对 P D O 场 景 下 的 S Q L 注 入 又 进 行 了 一 些 探 究 。 P D O 查 询 语 句 可 控 存 在 的 安 全 问 题 ： 查 询 语 句 可 控 存 在 的 安 全 问 题 ： 首 先 在 本 地 新 建 一 个 库 和 表 ， 随 便 写 点 东 西 。 然 后 写 一 个 t e s t . p h p ， 用 P D O 进 行 简 单 的 查 询 ： < ? p h p   t r y {     $ d b   =   n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = p d o t e s t ' , ' r o o t ' , ' ' ) ; }   c a t c h ( E x c e p t i o n   $ e ) {     e c h o   $ e - > g e t M e s s a g e ( ) ; } i f ( i s s e t ( $ _ G E T [ ' i d ' ] ) ) {     $ i d   =   $ _ G E T [ ' i d ' ] ; } e l s e {     $ i d = 1 ; } $ q u e r y   =   " s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? " ; e c h o   " i d : " . $ i d . " < / b r > " ; $ r o w   =   $ d b - > p r e p a r e ( $ q u e r y ) ; $ r o w - > b i n d P a r a m ( 1 , $ i d ) ; $ r o w - > e x e c u t e ( ) ; $ r e s u l t   =   $ r o w - > f e t c h ( P D O : : F E T C H _ A S S O C ) ; i f ( $ r e s u l t )
将 输 入 的 内 容 和 得 到 的 结 果 打 印 在 页 面 上 ： P D O 与 安 全 问 题 相 关 的 主 要 的 设 置 有 下 面 三 个 : P D O : : A T T R _ E M U L A T E _ P R E P A R E S P D O : : A T T R _ E R R M O D E P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S 分 别 与 模 拟 预 编 译 、 报 错 和 多 句 执 行 有 关 。 P D O 默 认 是 允 许 多 句 执 行 和 模 拟 预 编 译 的 ， 在 之 前 的 很 多 文 章 中 已 经 写 到 ， 在 参 数 可 控 的 情 况 下 ， 会 导 致 堆 叠 注 入 。 例 如 我 们 把 查 询 语 句 改 成 ： 则 在 $ d b - > q u e r y ( ) 这 一 步 执 行 之 前 ， 我 们 便 可 以 对 $ q u e r y 进 行 非 法 操 作 ， 那 P D O 相 当 于 没 用 ： P D O 默 认 设 置 存 在 的 安 全 隐 患 ： 默 认 设 置 存 在 的 安 全 隐 患 ： 如 果 我 们 在 查 询 语 句 中 没 有 可 控 的 参 数 ， 并 把 输 入 的 参 数 按 照 p r e p a r e - > b i n d P a r a m - > e x e c u t e 的 方 式 去 写 就 一 定 没 有 问 题 了 吗 ？ 我 们 按 如 下 语 句 进 行 查 询 ： {     e c h o   " 结 果 为 ： " ;     p r i n t _ r ( $ r e s u l t ) ;     e c h o   " < / b r > " ; } $ q u e r y   =   " s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = { $ i d } " ; $ r o w   =   $ d b - > q u e r y ( $ q u e r y ) ; $ q u e r y   =   " s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? " ;
我 们 在 U R L 中 随 便 输 入 一 个 参 数 ： ? i d = a s d a s d ， 然 后 通 过 设 置 S E T   G L O B A L   G E N E R A L _ L O G = O N ， 从 . l o g 里 实 时 监 控 ， 看 看 s q l 语 句 到 底 执 行 了 什 么 ： 我 们 发 现 模 拟 预 编 译 的 请 求 发 送 方 式 和 以 往 的 m y s q l i 并 没 有 什 么 区 别 ， 但 我 们 注 意 到 ， 在 原 有 的 查 询 语 句 中 对 参 数 并 没 有 用 单 引 号 包 裹 ， 而 在 此 却 用 单 引 号 进 行 了 包 裹 ， 于 是 我 们 可 以 尝 试 输 入 一 些 特 殊 字 符 ， 比 如 单 引 号 ： 发 现 单 引 号 被 转 义 了 ， 这 时 我 们 不 由 得 想 到 如 果 设 置 了 g b k 编 码 会 怎 么 样 ： 我 们 会 发 现 s e l e c t   *   f r o m   t a b l e 1 成 功 执 行 了 ， 尽 管 P D O 只 会 返 回 一 个 结 果 ， 但 是 它 的 的 确 确 执 行 了 。 也 就 是 说 ， 即 使 查 询 语 句 里 没 有 可 控 参 数 ， 只 有 ? 或 者 : i d 这 类 被 绑 定 的 参 数 ， 依 然 可 以 进 行 堆 叠 注 入 。 那 如 果 把 多 句 执 行 关 掉 呢 ？ 我 们 把 P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S 设 为 f a l s e ， 重 复 上 述 操 作 ： 发 现 已 经 行 不 通 了 。 实 际 也 只 执 行 了 设 置 g b k 这 一 条 语 句 但 是 这 样 就 结 束 了 吗 ？ 为 什 么 不 试 试 u n i o n 注 入 等 其 他 方 式 呢 ？ $ q u e r y   =   " s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? " ; $ r o w   =   $ d b - > p r e p a r e ( $ q u e r y ) ; $ r o w - > b i n d P a r a m ( 1 , $ _ G E T [ ‘ i d ’ ] ) ; $ r o w - > e x e c u t e ( ) ;
经 过 尝 试 ， 发 现 u n i o n 注 入 也 是 可 以 的 ！ 根 本 不 需 要 进 行 多 句 执 行 ！ 实 际 上 ， 在 模 拟 预 编 译 的 情 况 下 ， P D O 对 于 S Q L 注 入 的 防 范 （ P D O : : q u e t o ( ) ） ， 无 非 就 是 将 数 字 型 的 注 入 转 变 为 字 符 型 的 注 入 ， 又 用 类 似 m y s q l _ r e a l _ e s c a p e _ s t r i n g ( ) 的 方 法 将 单 引 号 、 双 引 号 、 反 斜 杠 等 字 符 进 行 了 转 义 。 这 种 防 范 方 法 在 G B K 编 码 的 情 况 下 便 可 用 宽 字 节 进 行 绕 过 ， 而 在 非 G B K 编 码 的 情 况 下 ， 若 存 在 二 次 注 入 的 情 况 ， 是 否 能 利 用 呢 ？ 答 案 是 否 定 的 。 二 次 注 入 是 由 于 对 添 加 进 数 据 库 中 的 数 据 没 有 再 次 处 理 和 转 义 而 导 致 的 ， 而 预 编 译 对 每 次 查 询 都 进 行 转 义 ， 则 不 存 在 二 次 注 入 的 情 况 。 上 述 安 全 隐 患 ， 是 由 于 未 正 确 设 置 P D O 造 成 的 ， 在 P D O 的 默 认 设 置 中 ， P D O : : A T T R _ E M U L A T E _ P R E P A R E S 和 P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S 都 是 t r u e ， 意 味 着 模 拟 预 编 译 和 多 句 执 行 是 默 认 开 启 的 。 而 在 非 模 拟 预 编 译 的 情 况 下 ， 若 语 句 中 没 有 可 控 参 数 ， 是 否 还 能 这 样 做 呢 ？ 答 案 是 否 定 的 。 我 们 将 P D O : : A T T R _ E M U L A T E _ P R E P A R E S 设 为 f a l s e ， 来 看 看 s q l 语 句 到 底 执 行 了 什 么 ： 它 对 每 一 句 s q l 语 句 都 进 行 了 预 编 译 和 执 行 两 个 操 作 ， 在 执 行 s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? 这 句 时 ， 如 果 是 G B K 编 码 ， 那 么 它 将 会 把 ? 绑 定 的 参 数 转 化 成 1 6 进 制 ， 这 样 无 论 输 入 什 么 样 的 东 西 都 无 法 再 进 行 注 入 了 。 如 果 不 是 G B K 编 码 ， 如 上 面 所 说 ， 也 不 存 在 二 次 注 入 的 情 况 ， 故 可 以 避 免 S Q L 注 入 漏 洞 。 相 同 原 理 的 相 同 原 理 的 P r e p a r e   S t a t e m e n t 方 法 方 法 P D O 的 原 理 ， 与 M y s q l 中 p r e p a r e 语 句 是 一 样 的 。 上 面 P D O 所 执 行 的 S Q L 语 句 ， 用 如 下 的 方 式 可 以 等 效 替 代 ： S e t   @ x = 0 x 3 1 P r e p a r e   a   f r o m   “ s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? ” E x e c u t e   a   u s i n g   @ x
我 们 可 以 手 动 将 输 入 的 参 数 设 置 为 @ x ， 并 将 其 转 化 为 1 6 进 制 ， 随 后 预 编 译 ， 再 执 行 也 就 是 说 ， 不 用 P D O 也 可 以 仿 照 其 原 理 手 动 设 置 预 编 译 ： 得 到 的 结 果 和 使 用 P D O 是 一 样 的 ： 这 样 设 置 不 用 担 心 没 有 合 理 地 设 置 P D O ， 或 是 用 了 G B K 编 码 等 情 况 。 P r e p a r e   S t a t e m e n t 在 在 S Q L 注 入 中 的 利 用 注 入 中 的 利 用 P r e p a r e 语 句 在 防 范 S Q L 注 入 方 面 起 到 了 非 常 大 的 作 用 ， 但 是 对 于 S Q L 注 入 攻 击 却 也 提 供 了 新 的 手 段 。 P r e p a r e 语 句 最 大 的 特 点 就 是 它 可 以 将 1 6 进 制 串 转 为 语 句 字 符 串 并 执 行 。 如 果 我 们 发 现 了 一 个 存 在 堆 叠 注 入 的 场 景 ， 但 过 滤 非 常 严 格 ， 便 可 以 使 用 p r e p a r e 语 句 进 行 绕 过 。 例 如 我 们 将 c r e a t e t a b l e   t a b l e 2   l i k e   t a b l e 1 转 化 成 1 6 进 制 ， 然 后 执 行 ： $ d b   =   n e w   m y s q l i ( ' l o c a l h o s t ' , ' r o o t ' , ' ' , ' p d o t e s t ' ) ; i f ( i s s e t ( $ _ G E T [ ' i d ' ] ) ) {         $ i d   =   " 0 x " . b i n 2 h e x ( $ _ G E T [ ' i d ' ] ) ; } e l s e {         $ i d = 1 ; } e c h o   " i d : " . $ i d . " < / b r > " ; $ d b - > q u e r y ( " s e t   n a m e s   g b k " ) ; $ d b - > q u e r y ( " s e t   @ x = { $ i d } " ) ; $ d b - > q u e r y ( " p r e p a r e   a   f r o m   ' s e l e c t   b a l a b a l a   f r o m   t a b l e 1   w h e r e   1 = ? ' " ) ; $ r o w   =   $ d b - > q u e r y ( " e x e c u t e   a   u s i n g   @ x " ) ; $ r e s u l t   =   $ r o w - > f e t c h _ a s s o c ( ) ; i f ( $ r e s u l t ) {         e c h o   " 结 果 为 ： " ;         p r i n t _ r ( $ r e s u l t ) ;         e c h o   " < / b r > " ; }
我 们 发 现 数 据 库 中 已 经 多 了 一 个 表 t a b l e 2 。 则 语 句 成 功 执 行 了 。 总 结 总 结 对 于 此 类 问 题 的 防 范 ， 主 要 有 以 下 三 个 方 面 ： 1 .   合 理 、 安 全 地 使 用 g b k 编 码 。 即 使 采 用 P D O 预 编 译 的 方 式 ， 如 若 配 置 不 当 ， 依 然 可 造 成 宽 字 节 注 入 1 .   使 用 P D O 时 ， 一 定 要 将 模 拟 预 编 译 设 为 f a l s e 2 .   可 采 用 使 用 P r e p a r e   S t a t e m e n t 手 动 预 编 译 ， 杜 绝 S Q L 注 入 参 考 链 接 参 考 链 接 h t t p s : / / x z . a l i y u n . c o m / t / 3 9 5 0 * 本 文 作 者 ： 本 文 作 者 ： A n y l i k e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理