SQL中注入—宽字节

最新推荐文章于 2025-03-21 21:43:33 发布

1erkeU

最新推荐文章于 2025-03-21 21:43:33 发布

阅读量731

点赞数 1

分类专栏：安全学习日志文章标签： sql web安全数据库渗透测试

本文链接：https://blog.youkuaiyun.com/weixin_45996361/article/details/122348952

版权

安全学习日志专栏收录该内容

17 篇文章

订阅专栏

本文介绍了SQL宽字节注入的概念，包括什么是宽字节、注入条件和原理。重点讲解了如何利用宽字节编码（如GBK）绕过过滤函数，实现SQL注入，通过在URL后添加特定字符组合来逃逸单引号。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

宽字节注入

1.什么是宽字节

当某字符的大小为一个字节时，称其字符为窄字节；
当某字符的大小为两个字节时，称其字符为宽字节；
所有英文默认占一个字节，汉字占两个字节。
常见的宽字节编码：GB2312,GBK,GB18030,BIG5,Shift_JIS等等

2.注入条件

（1）数据库使用了gbk编码.
（2）使用了过滤函数，将用户输入的单引号转义（mysql_real_escape_string，addslashes）
这样被处理后的sql语句中，单引号不再具有‘作用’，仅仅是‘内容’而已，换句话说，这个单引号无法发挥和前后单引号闭合的作用，仅仅成为‘内容’，具体如下：

字符型注入 输入：id=1
MySQL执行的语句为：select* from<表名> where id='1'
若输入：id=1' and 1=1#
MySQL执行的语句为：select* from<表名> where id='1\' and 1=1#'
这样单引号就失去了作用，无法实现闭合

3.注入原理

在地址后先加一个%df，再加单引号，GBK编码中反斜杠的编码为%5c，而%df%5c表示繁体字“連”，所以这时单引号成功逃逸，例如：

访问1%df'#，首先进行转义并编码，为：1%df%5c%27%23,即：1連'#
代入数据库查询语句为：select* from<表名> where id='1連'
配合后面的union查询就可获得我们想要的查询结果。

4.宽字节注入代码分析

在宽字节注入页面中，程序获取GET参数ID，并对参数ID 使用addslashes()转义，然后拼接到SQL语句中，进行查询.

<?php
$conn = mysql_connect('localhost', 'root', 'root') or die('bad!');
mysql_select_db('test', $conn) OR emMsg("数据库连接失败");
mysql_query("SET NAMES 'gbk'",$conn);
 
$id = addslashes($_GET['id']);
$sql="select * from user where id='$id'";
$result = mysql_query($sql, $conn) or die(mysql_error()); 
$row = mysql_fetch_array($result);
	if($row)
	{
		echo $row['username'] . $row['address'];
		}
	else
	{
	print_r(mysql_error());
	}
?>
</font> 
<?php
echo "<br>SQL语句: ".$sql;
?>