PHP代码审计笔记--SQL注入

Posted 2020-10-12 专注于网络安全

　　　

0X01 普通注入

SQL参数拼接，未做任何过滤

<?php
$con = mysql_connect("localhost","root","root");
if (!$con){die(\'Could not connect: \' . mysql_error());}
mysql_select_db("test", $con);
$id = stripcslashes($_REQUEST[ \'id\' ]);
$query  = "SELECT * FROM users WHERE id = $id ";
$result = mysql_query($query)or die(\'<pre>\'.mysql_error().\'</pre>\');
while($row = mysql_fetch_array($result))
  {
  echo $row[\'0\'] . " " . $row[\'1\'];
  echo "<br />";
  }
echo "<br/>";
echo $query;
mysql_close($con);
?>

测试语句：id=1 UNION SELECT user(),2,3,4 from users

0x02 宽字节注入

A、MYSQL中的宽字符注入

示例代码：

<?php
$con = mysql_connect("localhost","root","root");
mysql_query("SET NAMES \'gbk\'");
mysql_select_db("test", $con);
$id = isset($_GET[\'id\']) ? addslashes($_GET[\'id\']) : 1;
$query  = "SELECT * FROM users WHERE id =\'{$id}\' ";
$result = mysql_query($query)or die(\'<pre>\'.mysql_error().\'</pre>\');
while($row = mysql_fetch_array($result))
  {
  echo $row[\'0\'] . " " . $row[\'1\'];
  echo "<br />";
  }
echo "<br/>";
echo $query;
mysql_close($con);
?>

测试语句：%df%27

mysql的特性，因为gbk是多字节编码，两个字节代表一个汉字，所以%df和后面的\\也就是%5c变成了一个汉字“運”，而’逃逸了出来。

根据gbk编码，第一个字节ascii码大于128，基本上就可以了。比如我们不用%df，用%a1也可以.

gb2312编码的取值范围。它的高位范围是0xA1~0xF7，低位范围是0xA1~0xFE，而\\是0x5c，是不在低位范围中的。所以，0x5c根本不是gb2312中的编码，所以不会造成宽字节注入。扩展到世界上所有多字节编码，只要低位的范围中含有0x5c的编码，就可以进行宽字符注入。

宽字符注入的修复：

方案一：指定php连接mysql的字符集

mysql_set_charset(\'gbk\',$conn);

$id =mysql_real_escape_string($_GET[\'id\']);

方案二：将character_set_client设置为binary（二进制）

mysql_query("SET character_set_connection=gbk, character_set_results=gbk,character_set_client=binary", $conn); 

将character_set_client设置成binary，就不存在宽字节或多字节的问题了，所有数据以二进制的形式传递，就能有效避免宽字符注入。

 

B、PHP 编码转换

示例代码：

<?php
$con = mysql_connect("localhost","root","root");
mysql_query("SET NAMES \'gbk\'");
mysql_select_db("test", $con);
mysql_query("SET character_set_connection=gbk, character_set_results=gbk,character_set_client=binary", $con); 
$id = isset($_GET[\'id\']) ? addslashes($_GET[\'id\']) : 1;
$id=iconv(\'utf-8\',\'gbk\',$id);
$query  = "SELECT * FROM users WHERE id =\'{$id}\' ";
$result = mysql_query($query)or die(\'<pre>\'.mysql_error().\'</pre>\');

while($row = mysql_fetch_array($result))
  {
  echo $row[\'0\'] . " " . $row[\'1\'];
  echo "<br />";
  }
echo "<br/>";
echo $query;

mysql_close($con);

?>

测试语句： 錦\'

錦这个字：它的utf-8编码是%e9%8c%a6，它的gbk编码是%e5%5c

錦被iconv从utf-8转换成gbk后，变成了%e5%5c，而后面的’被addslashes变成了%5c%27，这样组合起来就是%e5%5c%5c%27，两个%5c就是\\\\，正好把反斜杠转义了，导致’逃逸出单引号，产生注入。

$id=iconv(\'gbk\',\'utf-8\',$id);  //使用%df%27来测试

一个gbk汉字2字节，utf-8汉字3字节，如果我们把gbk转换成utf-8，则php会每两个字节一转换。所以，如果\\’前面的字符是奇数的话，势必会吞掉\\，’逃出限制。

其他函数：

mb_convert_encoding($id,\'utf-8\',\'gbk\')  //GBK To UTF-8与 iconv(\'gbk\',\'utf-8\',$id)一样

参考文章：

　　PHP字符编码绕过漏洞总结   http://www.cnblogs.com/Safe3/archive/2008/08/22/1274095.html

　　浅析白盒审计中的字符编码及SQL注入 　　 http://www.freebuf.com/articles/web/31537.html

 

0x03 编码解码

找一些编码解码的函数来绕过防护,，如urldecode() 、rawurldecode()、base64_decode()

<?php
$con = mysql_connect("localhost","root","root");
mysql_select_db("test", $con);
$id = addslashes($_REQUEST[\'id\']);
$id = urldecode($id);//$id = base64_decode($id);
$query  = "SELECT * FROM users WHERE id = \'{$id}\'";
$result = mysql_query($query)or die(\'<pre>\'.mysql_error().\'</pre>\');

while($row = mysql_fetch_array($result))
  {
  echo $row[\'0\'] . " " . $row[\'1\'];
  echo "<br />";
  }
echo "<br/>";
echo $query;
mysql_close($con);
?>

测试语句：

　　1\'union select 1,2,3,4%23    单引号Urlencode           1%2527union select 1,2,3,4%23

　　1\'union select 1,2,3,4#　Base64 Encode　MSd1bmlvbiBzZWxlY3QgMSwyLDMsNCM=

0x04 二次注入

　　入库后转义符就会消失，变成hack\',查询出库的就是hack\'，如果拼接到SQL语句，成功引入了单引号闭合前面字符，导致注入。

测试：

　　 CREATE TABLE  test (user VARCHAR(20) NOT NULL)；

　　INSERT INTO test values(\'hack\\\'\');

　　

示例代码：

//测试数据
create table test(
id INT NOT NULL,
user VARCHAR(100) NOT NULL,
pass VARCHAR(100) NOT NULL
)
INSERT INTO test values(1,\'hack\',\'hack\');

//测试代码
<?php
$con = mysql_connect("localhost","root","root");
mysql_select_db("test", $con);
mysql_query("SET character_set_connection=gbk, character_set_results=gbk,character_set_client=binary", $con); 
//update入库
if (isset($_GET[\'key\'])){
    $key=addslashes($_REQUEST[\'key\']);
    $query ="update test set user=\'{$key}\' where id=1";
    echo "INSERT SQL: ".$query."<br/>";
    $result = mysql_query($query);
}
//select 出库，并带入查询
$query  = "SELECT * FROM test WHERE id = 1";
$result = mysql_query($query);
$row = mysql_fetch_row($result);
echo "<br/>";
$query  = "SELECT * FROM test WHERE user = \'{$row[1]}\'";
print_r(\'SELECT SQL: \'.$query.\'<br/>\');
$result = mysql_query($query)or die(\'<pre>\'.mysql_error().\'</pre>\');;
echo "<br/>";
print_r(mysql_fetch_row($result));
mysql_close($con);
?>

测试截图：

0x05 全局防护盲点

1、str_replace函数  过滤单引号等，可能造成注入；

2、stripslashes() 函数删除由 addslashes() 函数添加的反斜杠。stripslashes函数使用不当，可能造成注入；

①注入点类似id=1这种整型的参数就会完全无视GPC的过滤；
②注入点包含键值对的，那么这里只检测了value，对key的过滤就没有防护；
③有时候全局的过滤只过滤掉GET、POST和COOKIE，但是没过滤SERVER。

①FILES注入，全局只转义掉GET、POST等传来的参数，遗漏了FILES；
②变量覆盖，危险函数：extract()、parse_str()、$$。

  

0X06 漏洞防护

　　基本思路：输入（解决数字型注入）-------转义处理（解决字符型注入）-------输出（解决数据库报错）

1、检查输入的数据是否具有所期望的数据格式。PHP 有很多可以用于检查输入的函数，从简单的变量函数和字符类型函数（比如 is_numeric()，ctype_digit()）到复杂的 Perl 兼容正则表达式函数都可以完成这个工作。如果程序等待输入一个数字，可以考虑使用 is_numeric() 来检查，或者直接使用 settype() 来转换它的类型，也可以用 sprintf() 把它格式化为数字。

2、PHP内置转义函数

 

Addslashes()   http://php.net/manual/zh/function.addslashes.php

magic_quote_gpc http://php.net/manual/zh/info.configuration.php#ini.magic-quotes-gpc

mysql_real_escape_string()  http://php.net/manual/zh/function.mysql-real-escape-string.php

mysql_escape_string()      http://php.net/manual/zh/function.mysql-escape-string.php

3、数据库报错信息泄露防范：

　　把php.ini文件display_errors = Off

　　数据库查询函数前面加一个@字符

 

最有效可预防SQL注入攻击的防御方式：预处理技术进行数据库查询：

代码示例：

<?php
$mysqli = new MySQLi("localhost","root","root","test");
if(!$mysqli){
 die($mysqli->error);
}
$sql = "select id,username,password from users where id=?";////创建一个预定义的对象 ?占位
$mysqli_stmt = $mysqli->prepare($sql);
$id=$_REQUEST[\'id\'];
$mysqli_stmt->bind_param("i",$id);////绑定参数
$mysqli_stmt->bind_result($id,$username,$password);////绑定结果集
$mysqli_stmt->execute();//执行
while($mysqli_stmt->fetch()){   //取出绑定的结果集
 echo $id." ".$username ." ". $password;
}
echo  "<br/>";
echo $sql;
$mysqli_stmt->free_result(); ////关闭结果集
$mysqli_stmt->close();
$mysqli->close();
?>

 

关于我：一个网络安全爱好者，致力于分享原创高质量干货，欢迎关注我的个人微信公众号：Bypass--，浏览更多精彩文章。