所以我一直在尝试复制二阶 SQL 注入(inject)。这是我准备的两个基于 php 的站点的示例模板。我们就称它为选民登记表吧。用户可以注册，然后您可以检查您是否是注册选民。

插入.php

<?php

$db_selected = mysql_select_db('canada',$conn);
if (!db_selected)
    die("can't use mysql: ". mysql_error());

$sql_statement = "INSERT into canada (UserID,FirstName,LastName,Age,State,Town)
                    values ('".mysql_real_escape_string($_REQUEST["UserID"])."',
                    '".mysql_real_escape_string($_REQUEST["FirstName"])."',
                    '".mysql_real_escape_string($_REQUEST["LastName"])."',
                    ".intval($_REQUEST["Age"]).",
                    '".mysql_real_escape_string($_REQUEST["State"])."',
                    '".mysql_real_escape_string($_REQUEST["Town"])."')";

echo "You ran the sql query=".$sql_statement."<br/>";
$qry = mysql_query($sql_statement,$conn) || die (mysql_error());
mysql_close($conn);
Echo "Data inserted successfully";
}
?>

选择.php

<?php


$db_selected = mysql_select_db('canada', $conn);
if(!db_selected)
    die('Can\'t use mysql:' . mysql_error());
$sql = "SELECT * FROM canada WHERE UserID='".addslashes($_POST["UserID"])."'";
echo "You ran the sql query=".$sql."<br/>";
$result = mysql_query($sql,$conn);
$row=mysql_fetch_row($result);

$sql1 = "SELECT * FROM canada WHERE FirstName = '".$row[1]."'";
echo "The web application ran the sql query internally=" .$sql1. "<br/>";
$result1 = mysql_query($sql1, $conn);
$row1 = mysql_fetch_row($result1);

mysql_close($conn);
echo "<br><b><center>Database Output</center></b><br><br>";

echo "<br>$row1[1] $row1[2] , you are a voter! <br>";

echo "<b>VoterID: $row[0]</b><br>First Name: $row[1]<br>Last Name: $row[2]
    <br>Age: $row[3]<br>Town: $row[4]<br>State: $row[5]<br><hr><br>";
}
?>

所以我故意让这个漏洞来展示二阶 SQL 注入(inject)是如何工作的，用户可以在名字部分输入代码(我目前遇到的问题，我尝试了很多不同的方法，但似乎我可以'让它做任何事情)。 然后，当有人想要激活他在名字部分插入的代码时，他只需输入用户 ID，代码就会被插入。

例如: 我将在 insert.php 页面中键入: 用户 ID = 17

firstname =(我需要在这里注入(inject)一些东西)

姓氏 = ..

年龄=..

镇=..

状态=..

然后当我检查我的详细信息并输入 17 时，注入(inject)的 SQL 脚本将被激活。 我可以举几个例子来说明我可以通过它显示什么样的漏洞吗？

最佳答案

要演示什么？

Second order SQL injection 只不过是SQL injection，但是不安全的代码不是第一行。

所以，为了证明:

1) 创建一个 SQL 注入(inject)字符串，在不转义的情况下执行时会做一些不需要的事情。

2) 将该字符串安全地存储在您的数据库中(使用转义)。

3) 让您的代码的其他部分获取该字符串，并在不转义的情况下在其他地方使用它。

编辑:添加了一些示例代码:

一个表:

CREATE TABLE tblUsers (
  userId serial PRIMARY KEY,
  firstName TEXT
)

假设您有这样的 SAFE 代码，从表单接收名字:

$firstname = someEscapeFunction($_POST["firstname"]);

$SQL = "INSERT INTO tblUsers (firstname) VALUES ('{$firstname }');";
someConnection->execute($SQL);

到目前为止，一切顺利，假设 someEscapeFunction() 做得很好。无法注入(inject) SQL。

如果我将以下行作为 firstname 的值发送，您不会介意:

bla');从 tblUsers 中删除；//

现在，假设同一系统上的某个人想要将 firstName 从 tblUsers 传输到 tblWhatever，并且这样做:

$userid = 42;
$SQL = "SELECT firstname FROM tblUsers WHERE (userId={$userid})";
$RS = con->fetchAll($SQL);
$firstName = $RS[0]["firstName"];

然后在不转义的情况下将其插入到 tblWhatever 中:

$SQL = "INSERT INTO tblWhatever (firstName) VALUES ('{$firstName}');";

现在，如果 firstname 包含一些删除命令，它仍然会被执行。

关于php - 如何演示二阶 SQL 注入(inject)？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/12952187/