状況によっては、1 行以上が返されることがあります。ここで何が起こっているのか分析してみましょう。

1. 文字セットの選択

   mysql_query('SET NAMES gbk');
   

   この攻撃が成功するには、サーバーが接続時に想定しているエンコーディングが'ASCII でエンコードされていること (つまり ) 0x27 、および最終バイトが ASCII である文字が含まれていること (つまり )\が必要0x5cです。MySQL 5.6 では、デフォルトで 、 、 、 の 5 つのエンコーディングがサポートされています。big5ここcp932でgb2312はgbk選択sjisしますgbk。

   ここで、 の使用に注意することが非常に重要です。これは、サーバー上のSET NAMES文字セットを設定します。C API 関数 の呼び出しを使用すれば、問題ありません (2006 年以降の MySQL リリースの場合)。ただし、その理由については後ほど詳しく説明します...mysql_set_charset()

2. ペイロード

   このインジェクションに使用するペイロードは、バイト シーケンス で始まります0xbf27。 ではgbk、これは無効なマルチバイト文字です。 ではlatin1、これは文字列 です¿'。latin1 および gbkでは、0x27それ自体はリテラル'文字であることに注意してください。

   このペイロードを選択したのは、これを呼び出すと、文字の前にaddslashes()ASCII が挿入されるから\です。その結果、 になり、これは2 つの文字シーケンス の後に が続きます。つまり、有効な文字の後にエスケープされていない が続きます。ただし、 は使用しません。それでは、次のステップに進みます...0x5c'0xbf5c27gbk0xbf5c0x27'addslashes()

3. mysql_real_escape_string()

   への C API 呼び出しは、接続文字セットを認識している点mysql_real_escape_string()で と異なりますaddslashes()。そのため、サーバーが期待する文字セットに対して適切にエスケープを実行できます。ただし、この時点では、クライアントは接続にまだ を使用していると考えています。これは、他の方法を指示していないためです。サーバーにを使用しているlatin1ことを伝えましたが、クライアントは依然としてであると考えています。gbklatin1

   したがって、 の呼び出しによってmysql_real_escape_string()バックスラッシュが挿入され、「エスケープされた」コンテンツに自由にぶら下がっている文字が存在します。実際、文字セットを'見ると、次のようになります。$vargbk

   縗' OR 1=1 /*

   それはまさに攻撃には必要です。

4. クエリ

   この部分は単なる形式的なものですが、レンダリングされたクエリは次のとおりです。

   SELECT * FROM test WHERE name = '縗' OR 1=1 /*' LIMIT 1
   

おめでとうございます。... を使用してプログラムへの攻撃に成功しましたmysql_real_escape_string()。

悪い人

さらに悪いことに、 MySQL で準備されたステートメントをエミュレートするPDOのがデフォルトです。つまり、クライアント側では基本的に sprintf が実行されます(C ライブラリ内)。つまり、次の処理はインジェクションに成功します。mysql_real_escape_string()

$pdo->query('SET NAMES gbk');
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

mysql_query('SET NAMES utf8');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

mysql_set_charset('gbk');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->query('SET NAMES gbk');
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$pdo = new PDO('mysql:host=localhost;dbname=testdb;charset=gbk', $user, $password);
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$mysqli->query('SET NAMES gbk');
$stmt = $mysqli->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$param = "\xbf\x27 OR 1=1 /*";
$stmt->bind_param('s', $param);
$stmt->execute();