【转】宽字节注入详解
前言
在mysql中，用于转义的函数有addslashes，mysql_real_escape_string，mysql_escape_string等，还有一种情况是magic_quote_gpc，不过高版本的PHP将去除这个特性。
首先，宽字节注入与HTML页面编码是无关的，笔者曾经看到
<meta charset=utf8>
就放弃了尝试，这是一个误区，SQL注入不是XSS。虽然他们中编码的成因相似，不过发生的地点不同。
很多网上的材料都说程序使用了宽字节来处理程序，却又不指出具体是指什么程序。本文就介绍一下具体漏洞发生的原理与简单的利用。在这里我们限定使用的语言是PHP5.4，数据库MYSQL5.6。
涉及到的一些概念
字符、字符集与字符序
字符（character）是组成字符集（character set）的基本单位。对字符赋予一个数值（encoding）来确定这个字符在该字符集中的位置。
字符序（collation）指同一字符集内字符间的比较规则。
UTF8
由于ASCII表示的字符只有128个，因此网络世界的规范是使用UNICODE编码，但是用ASCII表示的字符使用UNICODE并不高效。因此出现了中间格式字符集，被称为通用转换格式，及UTF（Universal Transformation Format）。
宽字节
GB2312、GBK、GB18030、BIG5、Shift_JIS等这些都是常说的宽字节，实际上只有两字节。宽字节带来的安全问题主要是吃ASCII字符（一字节）的现象。
MYSQL的字符集转换过程
1. MySQL Server收到请求时将请求数据从character_set_client转换为character_set_connection；
2. 进行内部操作前将请求数据从character_set_connection转换为内部操作字符集，其确定方法如下：
• 使用每个数据字段的CHARACTER SET设定值；
• 若上述值不存在，则使用对应数据表的DEFAULT CHARACTER SET设定值(MySQL扩展，非SQL标准)；
• 若上述值不存在，则使用对应数据库的DEFAULT CHARACTER SET设定值；
• 若上述值不存在，则使用character_set_server设定值。
- 将操作结果从内部操作字符集转换为character_set_results。
重点：宽字节注入发生的位置就是PHP发送请求到MYSQL时字符集使用character_set_client设置值进行了一次编码。
PHP测试代码：
<!DOCTYPE html> <meta charset="gbk"><!--仅用于基础的显示，换成utf8也行就是不好看--> <?php error_reporting(0); $conn = mysql_connect('127.0.0.1','root',''); mysql_select_db('mysql',$conn); mysql_query("set names gbk"); //不安全的编码设置方式 $res = mysql_query("show variables like 'character%';"); //显示当前数据库设置的各项字符集 while($row = mysql_fetch_array($res)){ var_dump($row); } $user = addslashes($_GET['sql']); //mysql_real_escape_string() magic_quote_gpc=On addslashes() mysql_escape_string()功能类似 $sql = "SELECT host,user,password FROM user WHERE user='{$user}'"; echo $sql.'</br>'; if($res = mysql_query($sql)){ while($row = mysql_fetch_array($res)){ var_dump($row); } } else{ echo "Error".mysql_error()."<br/>"; } ?>
http://localhost/xl.php?sql=root%df%27%20or%201=1%23
是可以执行成功的！
URL解码sql=rootß’ or 1=1#
解析过程：
$_GET[‘sql’] 经过 addslashes编码之后带入了‘\’ 1、root%df%5C%27%20or%201=1%23 2、带入mysql处理时使用了gbk字符集 %df%5c -> 運 成功的吃掉了%5c %27 -> ‘ 单引号成功闭合
执行了插入的sql语句。
怎么吃的：
GBK编码，它的编码范围是0x8140~0xFEFE（不包括xx7F），在遇到%df(ascii(223)) >ascii(128)时自动拼接%5c，因此吃掉‘\’，而%27、%20小于ascii(128)的字符就保留了。
补充：
GB2312是被GBK兼容的，它的高位范围是0xA1~0xF7，低位范围是0xA1~0xFE（0x5C不在该范围内），因此不能使用编码吃掉%5c。
其它的宽字符集也是一样的分析过程，要吃掉%5c，只需要低位中包含正常的0x5c就行了。
安全过滤
上文中代码使用了mysql_query(“set names gbk”)来设置编码，其实在mysql中是推荐mysql_set_charset(“gbk”);函数来进行编码设置的，这两个函数大致的功能相似，唯一不同之处是后者会修改mysql对象中的mysql->charset属性为设置的字符集。
同时配套的过滤函数为mysql_real_escape_string()。上面代码中列出了几个过滤的函数，他们之间的区别就是mysql_real_escape_string()会根据mysql对象中的mysql->charset属性来对待传入的字符串，因此可以根据当前字符集来进行过滤。
具体差别可参考：http://www.laruence.com/2010/04/12/1396.html
同理可得
由上文可得宽字节注入是由于转编码而形成的，那具有转编码功能的函数也成了漏洞的成因。
转码函数
mb_convert_encoding()
iconv()
以下用iconv()来演示，修改上面的代码：
<!DOCTYPE html> <meta charset="gbk"> <?php error_reporting(0); $conn = mysql_connect('127.0.0.1','root',''); mysql_select_db('mysql',$conn); mysql_set_charset("utf8"); //推荐的安全编码 $user = mysql_real_escape_string(($_GET['sql'])); //推荐的过滤函数 $user = iconv('GBK', 'UTF-8',$user); $sql = "SELECT host,user,password FROM user WHERE user='{$user}'"; echo $sql.'</br>'; $res = mysql_query($sql); while($row = mysql_fetch_array($res)){ var_dump($row); } ?>
http://localhost/xl.php?sql=root%e5%27or%201=1%23
同样可以执行成功，编码解析的过程依然如上。
总结一下漏洞成因：
代码一
1、使用了不安全的字符集设置函数与过滤函数。
2、漏洞发生在PHP请求mysql时使用character_set_client值进行一次转码。
代码二
1、使用了推荐的设置函数与过滤函数。
2、解析错误发生在iconv()函数转码时，GBK转向UTF8吃掉了“\”
3、PHP请求mysql时转码安全。
另外：
当改变编码方向时$user = iconv(‘UTF-8’, ‘gbk’,$user);
通过访问http://localhost/xl.php?sql=root%e9%8c%a6可以带入一个\，进而注释掉单引号。
这种情况下需要两个参数来配合注入。
例如：
http://localhost/xl.php?sql=root%e9%8c%a6¶=%20or%201=1%23
总结：
宽字节注入跟HTML页面编码无关。
Mysql编码与过滤函数推荐使用mysql_real_escape_string()，mysql_set_charset()。
转编码函数同样会引起宽字节注入，即使使用了安全的设置函数。
参考文献
mysql字符集的设置：http://www.laruence.com/2008/01/05/12.html
您可以考虑给博主来个小小的打赏以资鼓励，您的肯定将是我最大的动力。thx.
微信打赏
支付宝打赏
作 者： Angel_Kitty
出 处：http://www.cnblogs.com/ECJTUACM-873284962/
关于作者：潜心机器学习以及信息安全的综合研究。如有问题或建议，请多多赐教！
版权声明：本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文链接。
特此声明：所有评论和私信都会在第一时间回复。也欢迎园子的大大们指正错误，共同进步。或者直接私信我
声援博主：如果您觉得文章对您有帮助，可以点击右下角【推荐】推荐一下该博文。您的鼓励是作者坚持原创和持续写作的最大动力！
关注公众号 低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有，本站原创内容转载请注明来源。
- 上一篇
在Android手机上搭建一个http服务器
看到标题是不是有点懵，在Android手机上搭建一个http服务器？？？ 你TM在逗我 没错，我们就是要在Android手机上搭建一个http服务器。提到http服务器一般第一反应是Apache，nginx Android上也能运行Apache，nginx了？？？ Android手机上当然不能运行这些服务器了，这次在Android上运行的是用Golang写的一个简单的http服务器。因为Golang可以跨平台编译，我尝试着把系统选择成Linux，CPU架构选择arm，然后在手机上运行，然后Android手机上真的运行起了一个http服务器 惊喜 回到正题，要想开发编写golang，首先要配置好golang的开发环境，golang的配置 传送门 我是在Ubuntu下开发的，新建service.go文件 1 package main 2 3 import ( 4 "net/http" 5 ) 6 7 func main() { 9 http.HandleFunc("/",myResponse) 10 http.ListenAndServe("127.0.0.1:8888",nil) 11 ...
- 下一篇
Spring Boot入门（2）使用MySQL数据库
介绍 本文将介绍如何在Spring项目中连接、处理MySQL数据库。 该项目使用Spring Data JPA和Hibernate来连接、处理MySQL数据库，当然，这仅仅是其中一种方式，你也可以使用Spring JDBC或者MyBatis. Spring Data JPA是Spring Data的一个子项目，主要用于简化数据访问层的实现，使用Spring Data JPA可以轻松实现增删改查、分页、排序等。Spring Data拥有很多子项目，除了Spring Data Jpa外，还有如下子项目。 Spring Data Commons Spring Data MongoDB Spring Data Redis Spring Data Solr Spring Data Gemfire Spring Data REST Spring Data Neo4j Hibernate是一个开放源代码的对象关系映射框架，它对JDBC进行了非常轻量级的对象封装，它将POJO与数据库表建立映射关系，是一个全自动的ORM框架，Hibernate可以自动生成SQL语句，自动执行，使得Jav...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- CentOS7安装Docker，走上虚拟化容器引擎之路
- CentOS7,CentOS8安装Elasticsearch6.8.6
- CentOS7,8上快速安装Gitea，搭建Git服务器
- SpringBoot2配置默认Tomcat设置，开启更多高级功能
- CentOS8,CentOS7,CentOS6编译安装Redis5.0.7
- SpringBoot2初体验，简单认识spring boot2并且搭建基础工程
- CentOS关闭SELinux安全模块
- Linux系统CentOS6、CentOS7手动修改IP地址
- Windows10,CentOS7,CentOS8安装Nodejs环境
- SpringBoot2编写第一个Controller，响应你的http请求并返回结果
微信收款码
支付宝收款码