搜索

[318] 2020-03-15_过滤不全导致的SQL注入

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-16
2020-03-15_过滤不全导致的SQL注入 过 滤 不 全 导 致 的 S Q L 注 入 阿 发   a F a 攻 防 实 验 室   2 0 2 0 - 0 3 - 1 5 在 使 用 一 个 网 站 时 ， 提 供 了 一 个 搭 建 分 站 的 功 能 ， P H P 的 ， 可 以 下 载 类 似 的 源 码 自 己 搭 建 ， 简 单 看 了 下 ， 只 是 部 分 框 架 性 代 码 ， 核 心 的 没 有 提 供 。 后 台 登 录 有 一 个 S Q L 注 入 ， 参 数 过 滤 ， 然 后 拼 接 ， 一 看 就 是 好 几 年 前 小 企 业 的 写 法 ， 问 题 提 给 他 修 复 了 已 经 ， 下 面 看 下 写 法 。 h t m l ： 常 规 的 登 录 表 单 ， 代 码 就 不 看 了 ， 转 到 处 理 的 p h p 文 件 中 ， 获 取 用 户 名 和 密 码 的 写 法 如 下 ： 定 位 到 g _ x y R e p l a c e s t r i n g 函 数 ， 查 看 过 滤 内 容 。 看 g _ x y R e p l a c e s t r i n g 前 先 看 下 以 前 开 发 常 用 的 过 滤 方 式 。 在 以 前 的 p h p 开 发 中 ， 过 滤 常 用 的 有 两 种 方 式 ， 一 种 是 s t r _ r e p l a c e 函 数 替 换 ， 一 种 是 正 则 匹 配 。 s t r _ r e p l a c e 函 数 替 换 也 有 两 种 方 式 ， 一 种 将 敏 感 字 符 替 换 为 空 ， 一 种 是 替 换 成 其 他 字 符 ， 例 如 a a a 、 b b b 。 替 换 为 空 是 可 以 绕 过 的 ， 让 单 引 号 逃 逸 出 来 ， 造 成 s q l 注 入 ， 这 里 举 一 个 常 见 的 例 子 ， 代 码 如 下 。 $ u s e r n a m e   =   t r i m (   $ _ R E Q U E S T [ " u s e r n a m e " ]   ) ; $ u s e r n a m e   =   g _ x y R e p l a c e s t r i n g (   $ u s e r n a m e   ) ; / / 获 取 用 户 名 $ p a s s w o r d = m d 5 ( $ _ R E Q U E S T [ " p a s s w o r d " ] ) ; / / 获 取 密 码 f u n c t i o n   s a f e _ r e p l a c e ( $ s t r i n g ) {
如 果 输 入 的 是 % { 2 7 ， 则 { 被 替 换 为 空 ， 剩 余 % 2 7 ， 造 成 单 引 号 逃 逸 。 这 次 测 试 的 g _ x y R e p l a c e s t r i n g 函 数 是 将 特 殊 字 符 替 换 成 了 字 符 a ， 上 述 方 法 不 适 用 ， 但 由 于 开 发 的 疏 忽 ， 造 成 单 引 号 可 以 生 效 ， 看 下 代 码 。 这 个 过 滤 函 数 挺 全 的 ， 第 一 个 就 要 过 滤 单 引 号 ， 但 实 际 上 它 用 了 转 义 ， 注 意 的 是 ， 双 引 号 是 可 以 包 含 单 引 号 的 ， 单 引 号 也 可 以 包 含 双 引 f u n c t i o n   s a f e _ r e p l a c e ( $ s t r i n g ) {         $ s t r i n g   =   s t r _ r e p l a c e ( ' % 2 0 ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' % 2 7 ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' % 2 5 2 7 ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' * ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' " ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( " ' " ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' ; ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' < ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' > ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' { ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' } ' ,   ' ' ,   $ s t r i n g ) ;         $ s t r i n g   =   s t r _ r e p l a c e ( ' ' ,   ' ' ,   $ s t r i n g ) ;         r e t u r n   $ s t r i n g ; } f u n c t i o n   g _ x y R e p l a c e s t r i n g ( $ q ) {       $ q   =   s t r _ r e p l a c e ( " ' " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " " " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " / " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " ; " , " a " , $ q ) ; / /   $ q   =   s t r _ r e p l a c e ( "   " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " % " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " # " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " ( " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " ) " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " * " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " & " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " | " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " < " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " > " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " , " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " $ " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " ^ " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " { " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " } " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " [ " , " a " , $ q ) ;       $ q   =   s t r _ r e p l a c e ( " ] " , " a " , $ q ) ;       r e t u r n   $ q ; }
号 ， 单 引 号 包 含 单 引 号 需 要 转 义 ， 双 引 号 包 含 双 引 号 也 需 要 转 义 。 g _ x y R e p l a c e s t r i n g 这 个 函 数 是 双 引 号 包 含 ， 所 以 只 需 要 转 义 双 引 号 就 可 以 了 ， 单 引 号 转 义 ， 过 滤 实 际 上 就 变 成 了 ' ， 而 不 是 ' 。 而 且 可 以 发 现 ， 过 滤 的 很 全 ， 但 没 有 - 杠 符 号 ， 这 个 符 号 在 M y s q l 中 是 可 以 达 到 注 释 作 用 的 。 登 录 的 查 询 语 句 就 不 贴 争 端 代 码 了 ， 直 接 看 下 S q l 语 句 ， 写 法 也 是 常 规 的 拼 接 写 法 ： 注 入 很 简 单 ， 直 接 1 '   o r   ' 1 ' = ' 1 '   - - 就 可 以 ， 实 际 测 试 中 登 录 失 败 ， 原 因 是 ： M y s q l 中 的 注 释 有 三 种 ： # 单 行 注 释 ， / * * / 多 行 注 释 ， 和 - - 空 格 注 释 ， 也 就 是 使 用 - - 注 释 后 面 需 要 有 一 个 空 格 ， 这 里 我 们 空 格 是 不 行 的 ， 因 为 用 户 名 接 收 时 用 t r i m 处 理 过 了 ， 所 以 注 入 语 句 就 变 成 了 ： 1 '   o r   ' 1 ' = ' 1 '   - - a . 上 面 就 是 本 次 注 入 的 审 计 和 测 试 过 程 ， 难 度 不 大 ， 重 要 的 是 有 耐 心 和 细 心 。 s e l e c t   *   f r o m   x x x   w h e r e   N a m e   = ' { $ u s e r n a m e } '   a n d   P a s s w o r d   =   ' { $ p a s s w o r d } ' ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理