基于约束的SQL攻击

程序员文章站 2022-05-26 08:57:09

...

首先需要注意的是，本文所述的是基于约束的SQL攻击而非SQL注入攻击

碰到这个问题，是在做CTF题时碰到的（题目网址：http://123.206.31.85:49163/）

基于约束的SQL攻击

这一道题是要求我们以管理员admin的身份登陆系统方可查看flag，方法就是在注册时注册一个admin （admin后面带一个或几个空格），然后登录系统，系统会误认为是管理员登录了系统，所以赋予管理员权限。

那么，就算我们采用PHP中的PDO以及预查寻的方式（详见简单的PDO技术以及预处理方法预防SQL注入）来处理是否能预防基于约束的SQL攻击呢？这里给出靶场的源代码，环境使用的是Windows上的phpstudy（php-5.6.27+apache）

前端代码loginPDO.php

<!DOCTYPE html>
<html>
	<head>
		<meta charset="UTF-8">
		<title>登录界面</title>
	</head>
	<body>
		<form action = "actionPDO.php" method = "post">
			<div id = "main" class = "main">
				<center>
					<h2>
						登录
					</h2>
					<p><lable>用户名称：</lable><input type="text" name="userName" placeholder="*************"></p>
					<p><lable>用户密码：</lable><input type="text" name="userPassword" placeholder="*************"></p>
				
					<input type="submit" name="submit" value="登录">
					<input type="reset" value="清空">
				</center>	
		</form>	

		<form action = "registerPDO.php" method = "post">
			<center>
				<h2>
					注册
				</h2>
					<p><lable>用户名称：</lable><input type="text" name="userName" placeholder="*************"></p>
					<p><lable>用户密码：</lable><input type="text" name="userPassword" placeholder="*************"></p>
					<input type="submit" name="submit" value="注册">
					<input type="reset" value="清空">
			</center>
		</form>
	</body>
</html>

注册模块代码registerPDO.php

<?php
	$name = $_POST['userName'];
	$password = $_POST['userPassword'];
	if($name == null || $password == null){
		header("location:loginPDO.php");
		return;
	}
	try {
	    //创建PDO对象
	    $pdo = new PDO("mysql:host=localhost;dbname=php10", "root", "root");
	}catch(PDOException $e) {
	    echo "数据库连接失败：".$e->getMessage();
	    exit;
	}
	$sql = "INSERT INTO loginPDO(userName,userPassword) VALUES (?,?)";
	//$sql = "INSERT INTO loginPDO(userName,userPassword) VALUES (:userName,:userPassword)";
	$stmt = $pdo->prepare($sql);
	$stmt->bindParam(1,$name);
	$stmt->bindParam(2,$password);
	//$stmt->bindParam(":userName",$name);		//绑定 一个 PHP 变量到预处理语句中对应的命名占位符或问号占位符
	//$stmt->bindParam(":userPassword",$password);
	$pdo->quote($name);
	$pdo->quote($password);
	$result = $stmt->execute();
		if($result){
			echo "<script>alert('注册成功')</script>";
			echo "<h2>注册成功！,即将跳转至登录页面...</h2>";
			header("refresh:3; url = //localhost/loginPDO.php");
		}else{
			echo "<script>alert('注册值错误！')</script>";
			echo "<h2>注册失败,用户名已经注册或注册值为空...</h2>";
		}
?>

登陆模块actionPDO.php

<?php
	$name = $_POST['userName'];
	$password = $_POST['userPassword'];
    if($name == null || $password == null){
		header("location:loginPDO.php");
		return;
	}
	try {
	    //创建对象
	    $con = new PDO("mysql:host=localhost;dbname=php10", "root", "root");
	}catch(PDOException $e) {
	    echo "数据库连接失败：".$e->getMessage();
	    exit;
	}
	$sql = "SELECT * FROM loginPDO WHERE userName = :userName AND userPassword = :userPassword";
	//$sql = "SELECT * FROM login WHERE userName = ? AND userPassword = ?";
	$stmt = $con->prepare($sql);
	$stmt->bindParam(':userName',$name);    //bindParam方法与bindValue方法的区别在于bindParam的第二个参数可以传值用变量，而bindValue第二个参数只能传值用常量或字符串
	$stmt->bindParam(':userPassword',$password);
	//$stmt->bindParam('1',$name);
    //$stmt->bindParam('2',$password);
	$con->quote($name);          //quote方法是为普通的字符串添加引号
	$con->quote($password);
	$re=$stmt->execute();
	if($stmt->rowCount()!=0){
		echo "<script>alert('登录成功！')</script>";
		echo "<h2>欢迎您{$name}</h2>";
	}else{
		echo "<script>alert('登录失败！')</script>";
		echo "<h2>登录失败,3秒后自动跳转...</h2>";
		header("refresh:3; url = //localhost/loginPDO.php");
	}
?>

靶场效果如下

基于约束的SQL攻击