如何在以下PHP mysql_*代码上执行SQL注入？

Question

我有一个现有的应用程序，它使用不推荐的mysql函数来执行数据库查询。此后，我将大多数数据库访问（以及所有有用户输入的）更改为PDO，因此我相信我相对不会受到注入攻击。然而，我想知道如何在前面的代码上执行注入攻击，以便在需要时演示它是多么不安全。

我有以下格式的链接：

http://localhost/api/view.php?id=

然后未经过滤地将其传递到下面的选择函数中：

$db->select('invitations','Replied, Response, Registered',null,"Id = '".$id."'");
$res = $db->getResult();

然后执行var\u dump（）以查看结果。

我试过这样的方法：

>

http://localhost/api/view.php?id=

http://localhost/api/view.php?id=

但这些类型的查询似乎不会成功。理想情况下，我希望能够做一些严肃的事情。我希望有类似于”的东西；删除表用户-- ，但我似乎无法让这种事情发生。

以下是完整的select功能：

public function select($table, $rows = '*', $join = null, $where = null, $order = null, $limit = null){
    // Create query from the variables passed to the function
    $q = 'SELECT '.$rows.' FROM '.$table;
    if($join != null){
        $q .= ' JOIN '.$join;
    }
    if($where != null){
        if (is_array($where)) {
            $filter = $where;
            $where = " 0 = 0 ";
            $qs = "";
            for ($i=0;$i<count($filter);$i++){
                switch($filter[$i]['data']['type']){
                    case 'string' : $qs .= " AND ".$filter[$i]['field']." LIKE '%".$filter[$i]['data']['value']."%'"; Break;
                    case 'list' :
                        if (strstr($filter[$i]['data']['value'],',')){
                            $fi = explode(',',$filter[$i]['data']['value']);
                            for ($q=0;$q<count($fi);$q++){
                                $fi[$q] = "'".$fi[$q]."'";
                            }
                            $filter[$i]['data']['value'] = implode(',',$fi);
                            $qs .= " AND ".$filter[$i]['field']." IN (".$filter[$i]['data']['value'].")";
                        }else{
                            $qs .= " AND ".$filter[$i]['field']." = '".$filter[$i]['data']['value']."'";
                        }
                        Break;
                    case 'boolean' : $qs .= " AND ".$filter[$i]['field']." = ".($filter[$i]['data']['value']); Break;
                    case 'numeric' :
                        switch ($filter[$i]['data']['comparison']) {
                            case 'eq' : $qs .= " AND ".$filter[$i]['field']." = ".$filter[$i]['data']['value']; Break;
                            case 'lt' : $qs .= " AND ".$filter[$i]['field']." < ".$filter[$i]['data']['value']; Break;
                            case 'gt' : $qs .= " AND ".$filter[$i]['field']." > ".$filter[$i]['data']['value']; Break;
                        }
                        Break;
                    case 'date' :
                        switch ($filter[$i]['data']['comparison']) {
                            case 'eq' : $qs .= " AND ".$filter[$i]['field']." = '".date('Y-m-d',strtotime($filter[$i]['data']['value']))."'"; Break;
                            case 'lt' : $qs .= " AND ".$filter[$i]['field']." < '".date('Y-m-d',strtotime($filter[$i]['data']['value']))."'"; Break;
                            case 'gt' : $qs .= " AND ".$filter[$i]['field']." > '".date('Y-m-d',strtotime($filter[$i]['data']['value']))."'"; Break;
                        }
                        Break;
                }
            }
            $where .= $qs;
        }
        $q .= ' WHERE '.$where;
    }
    if($order != null){
        $q .= ' ORDER BY '.$order;
    }
    if($limit != null){
        $q .= ' LIMIT '.$limit;
    }
    // Check to see if the table exists
    if($this->tableExists($table)){
        // The table exists, run the query
        $query = @mysql_query($q);
        if($query){
            // If the query returns >= 1 assign the number of rows to numResults
            $this->numResults = mysql_num_rows($query);
            // Loop through the query results by the number of rows returned
            for($i = 0; $i < $this->numResults; $i++){
                $r = mysql_fetch_array($query);
                $key = array_keys($r);
                for($x = 0; $x < count($key); $x++){
                    // Sanitizes keys so only alphavalues are allowed
                    if(!is_int($key[$x])){
                        if(mysql_num_rows($query) > 1){
                            $this->result[$i][$key[$x]] = $r[$key[$x]];
                        }else if(mysql_num_rows($query) < 1){
                            $this->result = null;
                        }else{
                            $this->result[$key[$x]] = $r[$key[$x]];
                        }
                    }
                }
            }
            return true; // Query was successful
        }else{
            array_push($this->result,mysql_error());
            return false; // No rows where returned
        }
    }else{
        return false; // Table does not exist
    }
}

如何执行SQL注入？

编辑：

使用$\u GET['id']通过浏览器接收该值。事实上，还有第二个值没有在SQL查询中使用，而是在switch语句中使用。因此，完整请求如下所示：

http://localhost/api/view.php?rsvp=<status>&id=<id>

这可能会有所帮助。

编辑2：

可能需要提到的是，所讨论的id实际上是GUID，而不是数值。到目前为止，我用一个正确的ID运行了评论中的所有查询。以下是一些结果：

>

http://localhost/api/view.php?id=62FD23D8-B6C0-03F1-D45A-C9AC33C91774'；从邀请中选择* =

以下几行是使用$id的全部代码：

// ...
if(isset($_GET['id'])) {
    $id = $_GET['id'];
    $db->select('invitations','Replied, Response, Registered',null,"Id = '".$id."'");
    $res = $db->getResult();
// ...
}




Answer 1

仅仅是一些特定的输入导致MySQL语法错误这一事实就证明了用户输入对SQL语法有一些意外的影响，这意味着SQL注入是可能的。

但是，利用这种SQL注入是另一章。MySQL，或者更准确地说是PHP的MySQL扩展，默认情况下不支持使用MySQL\u query执行多条语句：

mysql_query（）发送一个唯一的查询（不支持多个查询）[…]

因此，删除表的经典示例将不起作用，并且您仅限于当前语句的功能和从注入点开始允许的语法元素。

在您的特定示例中，SELECT将您限制为

• 从MySQL用户有权访问的数据库中读取任意数据
• 使用LOAD_FILE功能读取文件
• 使用语法将文件写入…语法

对于读取任意数据，最好选择联合，因为结果似乎会反馈给用户。您只需确保生成的SQL是有效的，这意味着您的联合必须有三列（即回复、响应和从现有选择中注册）：

' UNION SELECT '1','2','3

然后，生成的语句看起来像：

SELECT Replied, Response, Registered FROM invitations WHERE Id = '' UNION SELECT '1','2','3'

现在，您可以用自己的表达式（包括LOAD_FILE）或子查询替换额外选择的值。