搜索

[26564] 2021-07-13_从PDO下的注入思路到获得GIT2000star项目0day(文末0day福利)

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-19
2021-07-13_从PDO下的注入思路到获得GIT2000star项目0day(文末0day福利) 从 P D O 下 的 注 入 思 路 到 获 得 G I T   2 0 0 0 s t a r 项 目 0 d a y ( 文 末 0 d a y 福 利 ) J 0 o 1 e y   M 7 8 安 全 团 队   2 0 2 1 - 0 7 - 1 3 b y p a s s 部 分 部 分             温 馨 提 示             本 文 章 仅 供 学 习 交 流 使 用 ， 本 文 章 仅 供 学 习 交 流 使 用 ， 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 0 x 0 1   P D O 简 介 简 介 P D O 全 名 P H P   D a t a   O b j e c t P D O 扩 展 为 P H P 访 问 数 据 库 定 义 了 一 个 轻 量 级 的 一 致 接 口 。 P D O 提 供 了 一 个 数 据 访 问 抽 象 层 ， 这 意 味 着 ， 不 管 使 用 哪 种 数 据 库 ， 都 可 以 使 用 相 同 的 函 数 （ 方 法 ） 来 查 询 和 获 取 数 据 。 P H P 连 接 M y S Q L 数 据 库 有 三 种 方 式 （ M y S Q L 、 M y s q l i 、 P D O ） ， 列 表 性 比 较 如 下 ： M y s q l i P D O M y S Q L 引 入 的 P H P 版 本 5 . 0 5 . 0 3 . 0 之 前 P H P 5 . x 是 否 包 含 是 是 是 服 务 端 p r e p a r e 语 句 的 支 持 情 况 是 是 否 客 户 端 p r e p a r e 语 句 的 支 持 情 况 否 是 否 存 储 过 程 支 持 情 况 是 是 否 多 语 句 执 行 支 持 情 况 是 大 多 数 否 如 需 在 p h p 中 使 用 p d o 扩 展 ， 需 要 在 p h p . i n i 文 件 中 进 行 配 置 0 x 0 2   P D O 防 范 防 范 S Q L 注 入 注 入 ① 调 用 方 法 转 义 特 殊 字 符 ① 调 用 方 法 转 义 特 殊 字 符 q u o t e ( ) 方 法 方 法 ( 这 种 方 法 的 原 理 跟 这 种 方 法 的 原 理 跟 a d d s l a s h e s 差 不 多 ， 都 是 转 义 差 不 多 ， 都 是 转 义 ) P D O 类 库 的 q u a t e ( ) 方 法 会 将 输 入 字 符 串 （ 如 果 需 要 ） 周 围 加 上 引 号 ， 并 在 输 入 字 符 串 内 转 义 特 殊 字 符 。 E G ① : 输 出 E G ② t e s t . s q l < ? p h p $ c o n n   =   n e w   P D O ( ' s q l i t e : / h o m e / l y n n / m u s i c . s q l 3 ' ) ; / *   D a n g e r o u s   s t r i n g   * / $ s t r i n g   =   ' N a u g h t y   '   s t r i n g ' ; p r i n t   " U n q u o t e d   s t r i n g :   $ s t r i n g n " ; p r i n t   " Q u o t e d   s t r i n g : "   .   $ c o n n - > q u o t e ( $ s t r i n g )   .   " n " ; ? > U n q u o t e d   s t r i n g :   N a u g h t y   '   s t r i n g Q u o t e d   s t r i n g :   ' N a u g h t y   ' '   s t r i n g ' S E T   N A M E S   u t f 8 m b 4 ; S E T   F O R E I G N _ K E Y _ C H E C K S   =   0 ; - -   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   T a b l e   s t r u c t u r e   f o r   u s e r - -   - - - - - - - - - - - - - - - - - - - - - - - - - - - -
p d o . p h p 访 问 h t t p : / / l o c a l h o s t / p d o . p h p ? u s e r n a m e = a d m i n & p a s s w o r d = a d m i n 当 我 们 使 用 单 引 号 探 测 注 入 时 如 图 ， 单 引 号 已 被 反 斜 线 转 义 ② ② 预 编 译 语 句 预 编 译 语 句 1 、 占 位 符 、 占 位 符 - 通 过 命 名 参 数 防 止 注 入 通 过 命 名 参 数 防 止 注 入 通 过 命 名 参 数 防 止 注 入 的 方 法 会 使 得 程 序 在 执 行 S Q L 语 句 时 ， 将 会 把 参 数 值 当 成 一 个 字 符 串 整 体 来 进 行 处 理 ， 即 使 参 数 值 中 包 含 单 引 号 ， 也 会 把 单 引 号 当 成 单 引 号 字 符 ， 而 不 是 字 符 串 的 起 止 符 。 这 样 就 在 某 种 程 度 上 消 除 了 S Q L 注 入 攻 击 的 条 件 。 将 原 来 的 S Q L 查 询 语 句 改 为 p r e p a r e 方 法 进 行 S Q L 语 句 预 编 译 最 后 通 过 调 用 r o w C o u n t ( ) 方 法 ， 查 看 返 回 受 s q l 语 句 影 响 的 行 数 返 回 0 语 句 执 行 失 败 ， 大 于 等 于 1 ， 则 表 示 语 句 执 行 成 功 。 A l l   c o d e D R O P   T A B L E   I F   E X I S T S   ` u s e r ` ; C R E A T E   T A B L E   ` u s e r `     (     ` i d `   i n t ( 1 0 )   N O T   N U L L ,     ` u s e r n a m e `   v a r c h a r ( 2 5 5 )   C H A R A C T E R   S E T   u t f 8   C O L L A T E   u t f 8 _ u n i c o d e _ c i   N U L L   D E F A U L T   N U L L ,     ` p a s s w o r d `   v a r c h a r ( 2 5 5 )   C H A R A C T E R   S E T   u t f 8   C O L L A T E   u t f 8 _ u n i c o d e _ c i   N U L L   D E F A U L T   N U L L )   E N G I N E   =   M y I S A M   C H A R A C T E R   S E T   =   u t f 8   C O L L A T E   =   u t f 8 _ u n i c o d e _ c i   R O W _ F O R M A T   =   D y n a m i c ; - -   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   R e c o r d s   o f   u s e r - -   - - - - - - - - - - - - - - - - - - - - - - - - - - - - I N S E R T   I N T O   ` u s e r `   V A L U E S   ( 0 ,   ' a d m i n ' ,   ' a d m i n ' ) ; I N S E R T   I N T O   ` u s e r `   V A L U E S   ( 1 ,   ' u s e r ' ,   ' u s e r ' ) ; S E T   F O R E I G N _ K E Y _ C H E C K S   =   1 ; < ? p h p h e a d e r ( ' c o n t e n t - t y p e = t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ; t r y {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;           $ u s e r n a m e = $ p d o - > q u o t e ( $ u s e r n a m e ) ;           $ p a s s w o r d = $ p d o - > q u o t e ( $ p a s s w o r d ) ;         $ s q l = " s e l e c t   *   f r o m   u s e r   w h e r e   u s e r n a m e = { $ u s e r n a m e }   a n d   p a s s w o r d = { $ p a s s w o r d } " ;         e c h o   $ s q l . " < / b r > " ;         $ r o w = $ p d o - > q u e r y ( $ s q l ) ;         f o r e a c h   ( $ r o w   a s   $ k e y   = >   $ v a l u e )   {                 p r i n t _ r ( $ v a l u e ) ;         } } c a t c h ( P O O E x c e p t i o n   $ e ) {         e c h o   $ e - > g e t M e s s a g e ( ) ; } S e l e c t   *   f r o m   w h e r e   n a m e = : u s e r n a m e   a n d   p a s s w o r d = : p a s s w o r d < ? p h p h e a d e r ( ' c o n t e n t - t y p e : t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ;
查 询 成 功 注 入 失 败 2 、 占 位 符 、 占 位 符 - 通 过 问 号 占 位 符 防 止 注 入 通 过 问 号 占 位 符 防 止 注 入 把 S Q L 语 句 再 进 行 修 改 同 上 ， p r e p a r e 方 法 进 行 S Q L 语 句 预 编 译 最 后 调 用 r o w C o u n t ( ) 方 法 ， 查 看 返 回 受 s q l 语 句 影 响 的 行 数 效 果 同 上 查 询 成 功 注 入 失 败 h e a d e r ( ' c o n t e n t - t y p e : t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ; t r y {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         $ s q l = ' s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = : u s e r n a m e   a n d   p a s s w o r d = : p a s s w o r d ' ;         $ s t m t = $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > e x e c u t e ( a r r a y ( " : u s e r n a m e " = > $ u s e r n a m e , " : p a s s w o r d " = > $ p a s s w o r d ) ) ;         e c h o   $ s t m t - > r o w C o u n t ( ) ; } c a t c h ( P D O E x c e p t i o n   $ e ) {         e c h o   $ e - > g e t M e s s a g e ( ) ; } ? > s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = ?   a n d   p a s s w o r d = ? < ? h e a d e r ( ' c o n t e n t - t y p e : t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ; t r y {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         $ s q l = " s e l e c t   *   f r o m   u s e r   w h e r e   u s e r n a m e = ?   a n d   p a s s w o r d = ? " ;         $ s t m t = $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > e x e c u t e ( a r r a y ( $ u s e r n a m e , $ p a s s w o r d ) ) ;         e c h o   $ s t m t - > r o w C o u n t ( ) ; } c a t c h ( P D O E x c e p t i o n   $ e ) {         e c h o   $ e - > g e t M e s s a g e ( ) ; } ? >
3 . 通 过 通 过 b i n d P a r a m ( ) 方 法 绑 定 参 数 防 御 方 法 绑 定 参 数 防 御 S Q L 注 入 注 入 修 改 语 句 部 分 解 释 ： 解 释 ：   a ) ： : u s e r n a m e   和   : p a s s w o r d 为 命 名 参 数   b ) ： $ u s e r n a m e ; $ p a s s w o r d 为 获 取 的 变 量 ， 即 用 户 名 和 密 码 。 c ) ： P D O : : P A R A M _ S T R , 表 示 参 数 变 量 的 值 一 定 要 为 字 符 串 ， 即 绑 定 参 数 类 型 为 字 符 串 。 在 b i n d p a r a m ( ) 方 法 中 ， 默 认 绑 定 的 参 数 类 型 就 是 字 符 串 。 当 你 要 接 受 i n t 型 数 据 的 时 候 可 以 绑 定 参 数 为 P D O : : P A R A M _ I N T . 查 询 成 功 注 入 失 败 这 只 是 总 结 了 一 部 分 P D O 防 范 S Q L 注 入 的 方 法 ， 仍 有 方 法 请 见 下 文 其 他 手 法 还 有 很 多 ， 大 家 感 兴 趣 的 话 可 以 自 行 研 究 $ s q l = ' s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = : u s e r n a m e   a n d   p a s s w o r d = : p a s s w o r d ' ;         $ s t m t = $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > b i n d P a r a m ( " : u s e r n a m e " , $ u s e r n a m e , P D O : : P A R A M _ S T R ) ;         $ s t m t - > b i n d P a r a m ( " : p a s s w o r d " , $ p a s s w o r d , P D O : : P A R A M _ S T R ) ; < ? p h p h e a d e r ( ' c o n t e n t - t y p e : t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T T [ ' p a s s w o r d ' ] ; t r y {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         $ s q l = ' s e l e c t   *   f r o m   u s e r   w h e r e   n a m e = : u s e r n a m e   a n d   p a s s w o r d = : p a s s w o r d ' ;         $ s t m t = $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > b i n d P a r a m ( " : u s e r n a m e " , $ u s e r n a m e , P D O : : P A R A M _ S T R ) ;         $ s t m t - > b i n d P a r a m ( " : p a s s w o r d " , $ p a s s w o r d , P D O : : P A R A M _ S T R ) ;         $ s t m t - > e x e c u t e ( ) ;         e c h o   $ s t m t - > r o w C o u n t ( ) ; } c a t c h ( P D O E x c e p t i o n   $ e ) {         e c h o   $ e - > g e t M e s s a g e ( ) ; } ? >
0 x 0 3   P D O 下 的 注 入 手 法 与 思 考 下 的 注 入 手 法 与 思 考 读 完 前 文 后 ， 读 者 们 可 能 不 由 感 叹 ， 真 狠 啊 ， 什 么 都 t m d 转 义 ， 什 么 语 句 都 预 编 译 了 ， 这 我 t m d 注 入 个 毛 . . . 北 宋 宰 相 王 安 石 有 言 “ 看 似 寻 常 最 奇 崛 看 似 寻 常 最 奇 崛 , 成 如 容 易 却 艰 辛 成 如 容 易 却 艰 辛 ” 让 我 们 抽 丝 剥 茧 来 探 寻 P D O 下 的 注 入 手 法 目 前 在 P D O 下 ， 比 较 通 用 的 手 法 主 要 有 如 下 两 种 ① 宽 字 节 注 入 ① 宽 字 节 注 入 注 入 的 原 理 就 不 讲 了 ， 相 信 大 家 都 知 道 一 张 图 ， 清 晰 明 了 当 M y s q l 数 据 库 m y . i n i 文 件 中 设 置 编 码 为 g b k 时 ， 我 们 的 P H P 程 序 哪 怕 使 用 了 a d d s l a s h e s ( ) ， P D O : : q u o t e ， m y s q l _ r e a l _ e s c a p e _ s t r i n g ( ) 、 m y s q l _ e s c a p e _ s t r i n g ( ) 等 函 数 、 方 法 ， 或 配 置 了 m a g i c _ q u o t e s _ g p c = o n ， 依 然 可 以 通 过 构 造 % d f ' 的 方 法 绕 过 转 义 ② 堆 叠 注 入 与 报 错 注 入 ② 堆 叠 注 入 与 报 错 注 入 P D O 分 为 模 拟 预 处 理 模 拟 预 处 理 和 非 模 拟 预 处 理 非 模 拟 预 处 理 。 模 拟 预 处 理 是 防 止 某 些 数 据 库 不 支 持 预 处 理 而 设 置 的 ， 也 是 众 多 注 入 的 元 凶 模 拟 预 处 理 是 防 止 某 些 数 据 库 不 支 持 预 处 理 而 设 置 的 ， 也 是 众 多 注 入 的 元 凶 在 初 始 化 P D O 驱 动 时 ， 可 以 设 置 一 项 参 数 ， P D O : : A T T R _ E M U L A T E _ P R E P A R E S ， 作 用 是 打 开 模 拟 预 处 理 ( t r u e ) 或 者 关 闭 ( f a l s e ) , 默 认 为 t r u e 。 P D O 内 部 会 模 拟 参 数 绑 定 的 过 程 ， S Q L 语 句 是 在 最 后 e x e c u t e ( ) 的 时 候 才 发 送 给 数 据 库 执 行 。 非 模 拟 预 处 理 则 是 通 过 数 据 库 服 务 器 来 进 行 预 处 理 动 作 ， 主 要 分 为 两 步 ： 非 模 拟 预 处 理 则 是 通 过 数 据 库 服 务 器 来 进 行 预 处 理 动 作 ， 主 要 分 为 两 步 ： 第 一 步 是 第 一 步 是 p r e p a r e 阶 段 ， 发 送 阶 段 ， 发 送 S Q L 语 句 模 板 到 数 据 库 服 务 器 ； 语 句 模 板 到 数 据 库 服 务 器 ； 第 二 步 通 过 第 二 步 通 过 e x e c u t e ( ) 函 数 发 送 占 位 符 参 数 给 数 据 库 服 务 器 执 行 。 函 数 发 送 占 位 符 参 数 给 数 据 库 服 务 器 执 行 。 P D O 产 生 安 全 问 题 的 主 要 设 置 如 下 ： 产 生 安 全 问 题 的 主 要 设 置 如 下 ： P D O : : A T T R _ E M U L A T E _ P R E P A R E S   / / 模 拟 预 处 理 ( 默 认 开 启 P D O : : A T T R _ E R R M O D E   / / 报 错
P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S   / / 允 许 多 句 执 行 ( 默 认 开 启 ) P D O 默 认 是 允 许 多 句 执 行 和 模 拟 预 编 译 的 ， 在 用 户 输 入 参 数 可 控 的 情 况 下 ， 会 导 致 堆 叠 注 入 。 2 . 1   没 有 过 滤 的 堆 叠 注 入 情 况 没 有 过 滤 的 堆 叠 注 入 情 况 因 为 在 $ p d o > q u e r y ( ) 执 行 之 前 ， 我 们 便 可 以 对 $ s q l 进 行 非 法 操 作 ， 那 P D O 相 当 于 没 用 如 果 想 禁 止 多 语 句 执 行 ， 可 在 创 建 P D O 实 例 时 将 P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S 设 置 为 f a l s e 但 是 哪 怕 禁 止 了 多 语 句 执 行 ， 也 只 是 防 范 了 堆 叠 注 入 而 已 ， 直 接 u n i o n 即 可 < ? p h p h e a d e r ( ' c o n t e n t - t y p e = t e x t / h t m l ; c h a r s e t = u t f - 8 ' ) ; $ u s e r n a m e = $ _ G E T [ ' u s e r n a m e ' ] ; $ p a s s w o r d = $ _ G E T [ ' p a s s w o r d ' ] ; t r y {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         $ s q l = " s e l e c t   *   f r o m   u s e r   w h e r e   u s e r n a m e = ' { $ u s e r n a m e } '   a n d   p a s s w o r d = ' { $ p a s s w o r d } ' " ;         e c h o   $ s q l . " < / b r > " ;         $ r o w = $ p d o - > q u e r y ( $ s q l ) ;         f o r e a c h   ( $ r o w   a s   $ k e y   = >   $ v a l u e )   {                 p r i n t _ r ( $ v a l u e ) ;         } } c a t c h ( P O O E x c e p t i o n   $ e ) {         e c h o   $ e - > g e t M e s s a g e ( ) ; } n e w   P D O ( $ d s n ,   $ u s e r ,   $ p a s s ,   a r r a y ( P D O : : M Y S Q L _ A T T R _ M U L T I _ S T A T E M E N T S   = >   f a l s e ) )
2 . 2   模 拟 预 处 理 的 情 况 模 拟 预 处 理 的 情 况 $ r o l e 是 可 控 的 ， 导 致 可 实 现 堆 叠 注 入 和 i n l i n e   q u e r y 2 . 3 当 设 置 当 设 置 P D O : : A T T R _ E R R M O D E 和 和 P D O : : E R R M O D E _ E X C E P T I O N 开 启 报 错 时 开 启 报 错 时 设 置 方 法 无 论 是 否 开 启 P D O : : A T T R _ E M U L A T E _ P R E P A R E S - 模 拟 预 处 理 此 时 S Q L 语 句 如 果 产 生 报 错 ， P D O 则 会 将 报 错 抛 出 < ? p h p t r y   {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         / / $ p d o - > s e t A t t r i b u t e ( P D O : : A T T R _ E M U L A T E _ P R E P A R E S ,   f a l s e ) ;         $ u s e r n a m e   =   $ _ G E T [ ' u s e r n a m e ' ] ;         $ s q l   =   " s e l e c t   i d , " . $ _ G E T [ ' r o l e ' ] . "   f r o m   u s e r   w h e r e   u s e r n a m e   =   ? " ;         $ s t m t   =   $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > b i n d P a r a m ( 1 , $ u s e r n a m e ) ;         $ s t m t - > e x e c u t e ( ) ;         w h i l e ( $ r o w = $ s t m t - > f e t c h ( P D O : : F E T C H _ A S S O C ) )         {                 v a r _ d u m p ( $ r o w ) ;                 e c h o   " < b r > " ;         } }   c a t c h   ( P D O E x c e p t i o n   $ e )   {         e c h o   $ e ; } $ p d o - > s e t A t t r i b u t e ( P D O : : A T T R _ E R R M O D E ,   P D O : : E R R M O D E _ E X C E P T I O N ) ;
除 设 置 错 误 码 之 外 ， P D O   还 将 抛 出 一 个   P D O E x c e p t i o n   异 常 类 并 设 置 它 的 属 性 来 反 射 错 误 码 和 错 误 信 息 。 此 设 置 在 调 试 期 间 也 非 常 有 用 ， 因 为 它 会 有 效 地 放 大 脚 本 中 产 生 错 误 的 点 ， 从 而 可 以 非 常 快 速 地 指 出 代 码 中 有 问 题 的 潜 在 区 域 在 这 种 情 况 下 可 以 实 现 e r r o r - b a s e d   S Q L   I n j e c t i o n 使 用 G T I D _ S U B S E T 函 数 进 行 报 错 注 入 2 . 4   非 模 拟 预 处 理 的 情 况 非 模 拟 预 处 理 的 情 况 此 时 堆 叠 注 入 已 经 歇 逼 但 i n l i n e   q u e r y ， 报 错 注 入 依 然 坚 挺 可 用 h t t p : / / 1 9 2 . 1 6 8 . 1 . 3 / p d o . p h p ? r o l e = i d   O R   G T I D _ S U B S E T ( C O N C A T ( ( M I D ( ( I F N U L L ( C A S T ( C U R R E N T _ U S E R ( )   A S   N C H A R ) , 0 x 2 0 ) ) , 1 , 1 9 0 ) ) ) , 6 7 0 0 ) & u s e r n a m e = a d m i n & u s e r n a m e = a d m i n < ? p h p t r y   {         $ p d o = n e w   P D O ( ' m y s q l : h o s t = l o c a l h o s t ; d b n a m e = t e s t ' , ' r o o t ' , ' r o o t ' ) ;         $ p d o - > s e t A t t r i b u t e ( P D O : : A T T R _ E R R M O D E ,   P D O : : E R R M O D E _ E X C E P T I O N ) ;         $ p d o - > s e t A t t r i b u t e ( P D O : : A T T R _ E M U L A T E _ P R E P A R E S ,   f a l s e ) ;         $ u s e r n a m e   =   $ _ G E T [ ' u s e r n a m e ' ] ;         $ s q l   =   " s e l e c t   i d , " . $ _ G E T [ ' r o l e ' ] . "   f r o m   u s e r   w h e r e   u s e r n a m e   =   ? " ;         $ s t m t   =   $ p d o - > p r e p a r e ( $ s q l ) ;         $ s t m t - > b i n d P a r a m ( 1 , $ u s e r n a m e ) ;         $ s t m t - > e x e c u t e ( ) ;         w h i l e ( $ r o w = $ s t m t - > f e t c h ( P D O : : F E T C H _ A S S O C ) )         {                 v a r _ d u m p ( $ r o w ) ;                 e c h o   " < b r > " ;         } }   c a t c h   ( P D O E x c e p t i o n   $ e )   {         e c h o   $ e ; }
③ 一 个 安 全 的 ③ 一 个 安 全 的 c a s e 只 要 语 句 内 存 在 有 用 户 非 纯 字 符 可 控 部 分 ， 便 不 够 安 全 ； 那 我 们 就 用 非 模 拟 预 处 理 s q l 写 法 它 会 告 诉   P D O   禁 用 模 拟 预 处 理 语 句 ， 并 使 用   r e a l   p a r e p a r e d   s t a t e m e n t s   。 这 可 以 确 保 S Q L 语 句 和 相 应 的 值 在 传 递 到 m y s q l 服 务 器 之 前 是 不 会 被 P H P 解 析 的 （ 禁 止 了 所 有 可 能 的 恶 意 S Q L 注 入 攻 击 ） 。 如 下 为 一 个 安 全 使 用 P D O 的 c a s e 当 调 用   p r e p a r e ( )   时 ， 查 询 语 句 已 经 发 送 给 了 数 据 库 服 务 器 ， 此 时 只 有 占 位 符 发 送 过 去 ， 没 有 用 户 提 交 的 数 据 ； 当 调 用 到   e x e c u t e ( ) 时 ， 用 户 提 交 过 来 的 值 才 会 传 送 给 数 据 库 ， 它 们 是 分 开 传 送 的 ， 两 者 独 立 的 ， S Q L 注 入 攻 击 者 没 有 一 点 机 会 0 x 0 4   案 例 剖 析 案 例 剖 析 - T h i n k P H P 5 中 中 P D O 导 致 的 一 个 鸡 肋 注 入 导 致 的 一 个 鸡 肋 注 入 ( 来 自 来 自 P h i t h o n 师 傅 师 傅 ) 我 们 来 看 P h i t h o n 师 傅 几 年 前 博 客 发 的 一 个 c a s e h t t p s : / / w w w . l e a v e s o n g s . c o m / P E N E T R A T I O N / t h i n k p h p 5 - i n - s q l i n j e c t i o n . h t m l 如 上 述 代 码 ， 如 果 我 们 控 制 了 i n 语 句 的 值 位 置 ， 即 可 通 过 传 入 一 个 数 组 ， 来 造 成 S Q L 注 入 漏 洞 。 文 中 已 有 分 析 ， 我 就 不 多 说 了 ， 但 说 一 下 为 什 么 这 是 一 个 S Q L 注 入 漏 洞 。 I N 操 作 代 码 如 下 ： $ d b h - > s e t A t t r i b u t e ( P D O : : A T T R _ E M U L A T E _ P R E P A R E S ,   f a l s e ) ;   $ p d o   =   n e w   P D O ( ' m y s q l : d b n a m e = t e s t d a t a b a s e ; h o s t = l o c a l h o s t ; c h a r s e t = u t f 8 ' ,   ' r o o t ' ,   ' r o o t ' ) ; $ p d o - > s e t A t t r i b u t e ( P D O : : A T T R _ E M U L A T E _ P R E P A R E S ,   f a l s e ) ; $ s t m t   =   $ p d o - > p r e p a r e ( ' S E L E C T   *   F R O M   w z _ a d m i n   W H E R E   i d   =   : i d ' ) ; $ s t m t - > e x e c u t e ( a r r a y ( ' i d '   = >   $ i d ) ) ; p r i n t _ r ( $ s t m t   - >   f e t c h A l l   ( ) ) ; e x i t ( ) ; < ? p h p n a m e s p a c e   a p p i n d e x c o n t r o l l e r ; u s e   a p p i n d e x m o d e l U s e r ; c l a s s   I n d e x {         p u b l i c   f u n c t i o n   i n d e x ( ) {                 $ i d s   =   i n p u t ( ' i d s / a ' ) ;                 $ t   =   n e w   U s e r ( ) ;                 $ r e s u l t   =   $ t - > w h e r e ( ' i d ' ,   ' i n ' ,   $ i d s ) - > s e l e c t ( ) ;         } } < ? p h p . . . $ b i n d N a m e   =   $ b i n d N a m e   ? :   ' w h e r e _ '   .   s t r _ r e p l a c e ( [ ' . ' ,   ' - ' ] ,   ' _ ' ,   $ f i e l d ) ; i f   ( p r e g _ m a t c h ( ' / W / ' ,   $ b i n d N a m e ) )   {         / /   处 理 带 非 单 词 字 符 的 字 段 名         $ b i n d N a m e   =   m d 5 ( $ b i n d N a m e ) ; } . . .
可 见 ， 在 前 边 进 行 了 一 次 检 测 ， 正 常 来 说 是 不 会 出 现 漏 洞 的 。 但 如 果 是 一 个 数 组 的 情 况 下 ， 这 里 会 遍 历 ， 并 将 拼 接 进 。 也 就 是 说 ， 我 们 控 制 了 预 编 译 S Q L 语 句 中 的 键 名 ， 也 就 说 我 们 控 制 了 预 编 译 的 S Q L 语 句 ， 这 理 论 上 是 一 个 S Q L 注 入 漏 洞 。 那 么 ， 为 什 么 原 文 中 说 测 试 S Q L 注 入 失 败 呢 ？ 这 就 是 涉 及 到 预 编 译 的 执 行 过 程 了 。 通 常 ， P D O 预 编 译 执 行 过 程 分 三 步 ： 1 .   编 译 S Q L 语 句 2 .   将 v a l u e 绑 定 到 p a r a m 的 位 置 上 3 .   执 行 这 个 漏 洞 实 际 上 就 是 控 制 了 第 二 步 的 变 量 ， 这 个 变 量 如 果 是 一 个 S Q L 语 句 的 话 ， 那 么 在 第 二 步 的 时 候 是 会 抛 出 错 误 的 ： 所 以 ， 这 个 错 误 “ 似 乎 ” 导 致 整 个 过 程 执 行 不 到 第 三 步 ， 也 就 没 法 进 行 注 入 了 。 但 实 际 上 ， 在 预 编 译 的 时 候 ， 也 就 是 第 一 步 即 可 利 用 。 我 们 可 以 做 有 一 个 实 验 。 编 写 如 下 代 码 ： }   e l s e i f   ( i n _ a r r a y ( $ e x p ,   [ ' N O T   I N ' ,   ' I N ' ] ) )   {         / /   I N   查 询         i f   ( $ v a l u e   i n s t a n c e o f   C l o s u r e )   {                 $ w h e r e S t r   . =   $ k e y   .   '   '   .   $ e x p   .   '   '   .   $ t h i s - > p a r s e C l o s u r e ( $ v a l u e ) ;         }   e l s e   {                 $ v a l u e   =   i s _ a r r a y ( $ v a l u e )   ?   $ v a l u e   :   e x p l o d e ( ' , ' ,   $ v a l u e ) ;                 i f   ( a r r a y _ k e y _ e x i s t s ( $ f i e l d ,   $ b i n d s ) )   {                         $ b i n d     =   [ ] ;                         $ a r r a y   =   [ ] ;                         f o r e a c h   ( $ v a l u e   a s   $ k   = >   $ v )   {                                 i f   ( $ t h i s - > q u e r y - > i s B i n d ( $ b i n d N a m e   .   ' _ i n _ '   .   $ k ) )   {                                         $ b i n d K e y   =   $ b i n d N a m e   .   ' _ i n _ '   .   u n i q i d ( )   .   ' _ '   .   $ k ;                                 }   e l s e   {                                         $ b i n d K e y   =   $ b i n d N a m e   .   ' _ i n _ '   .   $ k ;                                 }                                 $ b i n d [ $ b i n d K e y ]   =   [ $ v ,   $ b i n d T y p e ] ;                                 $ a r r a y [ ]                 =   ' : '   .   $ b i n d K e y ;                         }                         $ t h i s - > q u e r y - > b i n d ( $ b i n d ) ;                         $ z o n e   =   i m p l o d e ( ' , ' ,   $ a r r a y ) ;                 }   e l s e   {                         $ z o n e   =   i m p l o d e ( ' , ' ,   $ t h i s - > p a r s e V a l u e ( $ v a l u e ,   $ f i e l d ) ) ;                 }                 $ w h e r e S t r   . =   $ k e y   .   '   '   .   $ e x p   .   '   ( '   .   ( e m p t y ( $ z o n e )   ?   " ' ' "   :   $ z o n e )   .   ' ) ' ;         } $ b i n d N a m e $ v a l u e $ v a l u e $ k $ b i n d N a m e p r e p a r e ( $ S Q L ) b i n d V a l u e ( $ p a r a m ,   $ v a l u e ) e x e c u t e ( ) $ p a r a m < ? p h p $ p a r a m s   =   [         P D O : : A T T R _ E R R M O D E                       = >   P D O : : E R R M O D E _ E X C E P T I O N ,
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理