MYSQL注入之宽字节注入

宽字节注入

之前没有太重视过这个SQL注入类型，今天一好兄弟面试时突然被问到了，遂立刻进行小小研究。

成因

宽字节是相对于ascii这样单字节而言的；像 GB2312、GBK、GB18030、BIG5、Shift_JIS 等这些都是常说的宽字节，实际上只有两字节。GBK 是一种多字符的编码，通常来说，一个 gbk 编码汉字，占用2个字节。一个 utf-8 编码的汉字，占用3个字节。

转义函数：为了过滤用户输入的一些数据，对特殊的字符加上反斜杠\进行转义；

宽字节注入指的是 mysql 数据库在使用宽字节（如：GBK）编码时，会认为两个字符是一个汉字（前一个ascii码要大于128（比如%df），才到汉字的范围），而且当我们输入单引号时，mysql会调用转义函数，将单引号变为'，其中\的十六进制是%5c,mysql的GBK编码，会认为%df%5c是一个宽字节，也就是’運’，从而使单引号闭合（逃逸），进行注入攻击。

我们可以使用GBK编码程序来看看%df%5c到底是什么

确实如上文所言。

注入

我们可以使用SQLi-labs的Less-32进行演示：

报错之后实际上该怎么注入就怎么注入了，没差。
从代码层看待也就是这句话产生的问题：

将编码设置为了GBK导致的。

%df被过滤

我们回归好兄弟的第二个问题：如果%df被过滤了怎么办？

还记得我们在最前面的时候，提到的一句话：

宽字节注入指的是 mysql 数据库在使用宽字节（如：GBK）编码时，会认为两个字符是一个汉字（前一个ascii码要大于128（比如%df），才到汉字的范围）

于是我们根据这句话不难可以发现，就算把%df过滤了，随便来一个ASCII码大于128的就可以。

来个%de

最后查出个version以示尊重

附录

GBK URL编码网站：
http://www.mytju.com/classcode/tools/urldecode_gb2312.asp