php mysql sql注入简单绕过

原创

屋脊之上 2013-05-06 22:16:58 博主文章分类：安全测试 ©著作权

文章标签 php mysql 文章分类 MySQL 数据库

©著作权归作者所有：来自51CTO博客作者屋脊之上的原创作品，请联系作者获取转载授权，否则将追究法律责任

在SQL注入中利用MySQL隐形的类型转换绕过WAF检测

web应用一般采用基于表单的身份验证方式（页面雏形如下图所示），处理逻辑就是将表单中提交的用户名和密
码传递到后台数据库去查询，并根据查询结果判断是否通过身份验证。对于LAMP架构的web应用而言，处理逻辑采用PHP，后台数据库采用MySQL。而在这一处理过程，由于种种处理不善，会导致不少严重的漏洞，除去弱口令与暴力破解，最常见的就是SQL注入。SQL注入可以在SQLNuke——mysql 注入load_file Fuzz工具看到如何利用，而本篇博客的重点是利用MySQL隐形的类型转换绕过WAF的检测。

php mysql sql注入简单绕过_mysql

下面使用实例来展示这一过程。

实例包括2个脚本login.html与login.php，1张存放用户名与密码的member.user表

（1）表单login.html

<html><body><formid="form1"name="form1"method="post"action="login.php"><label>UserName <inputname="user"type="text"id="user"/></label><br/><label>Password <inputname="password"type="text"id="password"/></label><br/><label><inputname="login"type="submit"id="login"value="Login"/></label></body></html>

（2）认证处理login.php

<?php if(isset($_POST["login"])){ $link = mysql_connect("localhost","root","toor")ordie("cannot connect database".mysql_error());  mysql_select_db("member")ordie("cannot select the db");  $query ="select * from user where user='".$_POST["user"]."'and password='".md5($_POST["password"])."'";  echo $query."<br/>";  $result = mysql_query($query)ordie("the query failed:".mysql_error()); echo "<br/>";  $match_count = mysql_num_rows($result);if($match_count){while($row = mysql_fetch_assoc($result)){ echo "<strong>User: </strong>".$row["user"]."<br/>"; echo "<strong>Password: </strong>".$row["password"]."<br/>"; echo "<br/>";}}else{  echo "Wrong User or password <br/>";  echo '<a href="http://10.1.36.34/login.html">Back</a><br/>';}   mysql_free_result($result);  mysql_close($link);}

注意红色字体部分，为用户输入的用户名和密码，没有进行任何过滤就传入到数据库中去进行查询. 该脚本将查询字符串及查询结果展示在页面中以供直观的演示SQL查询结果。

（3）member.user

大家看一张常见的用户表user表，由两个字段构成user用户名和password字段。

php mysql sql注入简单绕过_mysql_02

表中包含8行数据

php mysql sql注入简单绕过_mysql_03

很明显这是一段有SQL注入的程序，接下来我们来看看下面这些有趣的查询结果

(1) 输入用户名a’+'b#

查询结果如下图所示

php mysql sql注入简单绕过_php_05

（2）输入用户名45a’+'b’#

php mysql sql注入简单绕过_mysql_07

产生以上结果的原因是算术操作符＋的出现将字符型的user转换为了数值性的user

dani，tanjiti，dani123，0dani 对应的数值为0 123dani，123tanjiti对应的数值为123 45dani，045tanjiti对应的数值为45 'a'+'b'对应数值为0+0=0，会把类型转换后为0的用户名搜索出来 '45a'＋'b'对应数值为45+0=45，会把类型转换后为45的用户名搜索出来

除了＋号，其他算术操作符号也会发生类型的类型转换，例如MOD，DIV，＊，／，％，－，

（3）输入用户名a’MOD’1′#

php mysql sql注入简单绕过_mysql_08