实战解析：如何用Pikachu靶场复现GBK编码下的SQL宽字节注入漏洞

最新推荐文章于 2026-06-29 10:44:24 发布

原创

最新推荐文章于 2026-06-29 10:44:24 发布 · 436 阅读

实战解析：如何用Pikachu靶场复现GBK编码下的SQL宽字节注入漏洞

如果你刚开始接触Web安全，可能已经对SQL注入的基本概念有所了解，比如用单引号闭合语句，或者用union select来获取数据。但当你信心满满地面对一个看似防护严密的系统时，却发现输入的单引号'被自动转义成了\'，所有精心构造的Payload瞬间失效。这种挫败感，很多安全新手都经历过。今天，我们就来深入一个经典且巧妙的绕过场景——宽字节注入。它不像那些复杂的零日漏洞那样遥不可及，却实实在在地利用了开发中一个常见的“安全错觉”：以为转义了单引号就万事大吉。我们将以Pikachu这个优秀的靶场作为实验室，手把手带你从环境搭建、原理剖析，一路实战到漏洞修复，让你不仅“知其然”，更“知其所以然”。

宽字节注入的核心，在于字符集编码的差异与组合。它主要影响那些使用GBK、GB2312等双字节编码的PHP+MySQL应用。当开发者使用addslashes或mysql_real_escape_string等函数来转义用户输入中的单引号时，他们可能没想到，一个来自用户输入的特殊字符（如%df），会与转义产生的反斜杠（\，编码为%5c）在数据库的GBK解码视角下，“意外”地结合成一个完整的汉字，从而让反斜杠“消失”，使得被转义的单引号成功“逃逸”。这个过程就像魔术师的手法，在众目睽睽之下让关键道具消失。理解这个魔术背后的机关，是每一位渗透测试人员和安全开发者的必修课。

1. 环境搭建与漏洞场景深度剖析

在开始实战之前，我们必须先搭建一个可控的测试环境。Pikachu靶场本身已经集成了这个漏洞场景，但为了彻底理解其运作机制，我建议你在本地或虚拟机中部署一套标准的LAMP（Linux + Apache + MySQL + PHP）或WAMP环境，并手动配置出存在漏洞的条件。这不仅能让你对漏洞有更立体的认识，也能在后续的修复方案验证中游刃有余。

关键的漏洞触发条件通常包含以下几个要素，缺一不可：

数据库连接字符集设置为GBK系列：如GBK、GB2312、GB18030。这通常在PHP连接MySQL时通过mysqli_set_charset('gbk')或SET NAMES 'gbk'语句设置。
使用了“转义”函数：最常见的是addslashes()，它会将单引号(')、双引号(")、反斜杠(\)和NULL字符前加上反斜杠进行转义。mysql_real_escape_string()函数行为类似，但会考虑当前连接的字符集。
用户输入能够“直达”数据库查询：即转义后的数据未经其他过滤或编码处理，直接拼接进SQL语句。

为了模拟最真实的漏洞环境，你可以创建一个简单的测试页面。下面是一个高度还原漏洞场景的PHP代码示例：

<?php
// 模拟存在漏洞的查询页面
$host = 'localhost';
$user = 'root';
$pass = 'your_password';
$db = 'test_vuln';

$conn = mysqli_connect($host, $user, $pass, $db);
if (!$conn) {
    die('连接失败: ' . mysqli_connect_error());
}

// 关键漏洞点1：设置客户端字符集为GBK
mysqli_set_charset($conn, 'gbk');

// 获取用户输入（例如来自GET参数‘id’）
$user_input = $_GET['name'];

// 关键漏洞点2：使用addslashes进行转义（认为这很安全）
$filtered_input = addslashes($user_input);

// 构造SQL查询语句
$sql = "SELECT * FROM users WHERE username = '$filtered_input'";
echo "<b>执行的SQL语句：</b> " . htmlspecialchars($sql) . "<br><br>";

$result = mysqli_query($conn, $sql);
if ($result) {
    while ($row = mysqli_fetch_assoc($result)) {
        echo "用户ID: " . $row['id'] . " - 用户名: " . $row['username'] . "<br>";
    }
} else {
    echo "查询错误: " . mysqli_error($conn);
}
mysqli_close($conn);
?>

将这段代码保存为vuln_page.php并访问。现在，我们有了一个完美的“靶子”。它的数据库test_vuln中需要预先创建一张users表并插入一些测试数据：

CREATE TABLE users (
    id INT PRIMARY KEY AUTO_INCREMENT,
    username VARCHAR(50),
    email VARCHAR(100)
);
INSERT INTO users (username, email) VALUES ('admin', 'admin@test.com'), ('test', 'test@test.com'), ('kobe', 'kobe@pikachu.com');

注意：此环境仅用于合法授权的安全学习和测试，严禁用于任何未经授权的系统。在实际测试中，务必使用像Pikachu这样的专用靶场或自己搭建的授权环境。

2. 宽字节注入原理：编码的“视觉错觉”

要理解宽字节注入，我们必须暂时跳出“字符”的抽象概念，深入到计算机存储和传输的二进制层面。对于ASCII字符（如英文字母、数字、单引号），它们通常用一个字节（8位）表示。例如，单引号'的ASCII码是0x27，反斜杠\的ASCII码是0x5c。

而像中文这样的字符，在GBK编码中，需要用两个字节来表示一个汉字。GBK编码规范规定，第一个字节（高位字节）的范围是0x81到0xFE，第二个字节（低位字节）的范围是0x40到0xFE（不包括0x7F）。当MySQL服务器被告知客户端使用GBK字符集时，它会尝试将接收到的字节流按两个字节一组进行解读，如果某两个字节的组合符合GBK的编码范围，它就会将其解释为一个汉字。

现在，让我们看看漏洞是如何发生的：