宽字节注入
之前没有太重视过这个SQL注入类型,今天一好兄弟面试时突然被问到了,遂立刻进行小小研究。
成因
宽字节是相对于ascii
这样单字节而言的;像 GB2312、GBK、GB18030、BIG5、Shift_JIS
等这些都是常说的宽字节,实际上只有两字节
。GBK 是一种多字符的编码,通常来说,一个 gbk 编码汉字,占用2个字节。一个 utf-8 编码的汉字,占用3个字节。
转义函数:为了过滤用户输入的一些数据,对特殊的字符加上反斜杠\
进行转义;
宽字节注入指的是 mysql 数据库在使用宽字节(如:GBK
)编码时,会认为两个字符是一个汉字(前一个ascii码要大于128
(比如%df),才到汉字的范围),而且当我们输入单引号时,mysql会调用转义函数,将单引号变为',其中\的十六进制是%5c
,mysql的GBK编码,会认为%df%5c
是一个宽字节,也就是’運
’,从而使单引号闭合(逃逸),进行注入攻击。
我们可以使用GBK
编码程序来看看%df%5c
到底是什么
确实如上文所言。
注入
我们可以使用SQLi-labs的Less-32
进行演示:
报错之后实际上该怎么注入就怎么注入了,没差。
%df被过滤
我们回归好兄弟的第二个问题:如果%df
被过滤了怎么办?
还记得我们在最前面的时候,提到的一句话:
宽字节注入指的是 mysql 数据库在使用宽字节(如:
GBK
)编码时,会认为两个字符是一个汉字(前一个ascii码要大于128
(比如%df),才到汉字的范围)
于是我们根据这句话不难可以发现,就算把%df过滤了,随便来一个ASCII码大于128的就可以。
来个%de
最后查出个version
以示尊重
附录
GBK URL编码网站:
http://www.mytju.com/classcode/tools/urldecode_gb2312.asp