目录

1.什么是二次注入？

2.二次注入过程

2.1寻找注入点 

2.2注册admin'#用户

2.3修改密码

1.什么是二次注入？

当用户提交的恶意数据被存入数据库后，因为被过滤函数过滤掉了，所以无法生效，但应用程序在从数据库中拿出该用户名时没有对'和#进行转义，导致将密码的检测注释了，虽然看似后端代码将我们输入的'进行了转义，但是当将输入的数据存储到数据库中时，会将'加上存储的(数据库存储数据的特征)，这样就实现了二次注入，也叫做存储型SQL注入。

2.二次注入过程

登录页面

注册页面 

 修改密码页面

2.1寻找注入点 

进行一些简单的测试，发现都无法成功 

查看后端代码发现，后端代码对我们输入的登录用户名和密码进行了过滤，因此无法注入

function sqllogin(){      $username = mysql_real_escape_string($_POST["login_user"]);  //过滤了单双引号    $password = mysql_real_escape_string($_POST["login_password"]);//过滤了单双引号    $sql = "SELECT * FROM users WHERE username='$username' and password='$password'"; //$sql = "SELECT COUNT(*) FROM users WHERE username='$username' and password='$password'";    $res = mysql_query($sql) or die('You tried to be real smart, Try harder!!!! :( ');    $row = mysql_fetch_row($res); 	//print_r($row) ;    if ($row[1]) { 			return $row[1];    } else {       		return 0;    }   }

但是发现pass_change.php文件中，修改密码时，当从数据库中找出所修改的用户的密码时，没有对username进行过滤，导致出现二次注入点。

if (isset($_POST['submit'])) { 	 	 	# Validating the user input........ 	$username= $_SESSION["username"]; 	$curr_pass= mysql_real_escape_string($_POST['current_password']); 	$pass= mysql_real_escape_string($_POST['password']); 	$re_pass= mysql_real_escape_string($_POST['re_password']); 	 	if($pass==$re_pass) 	{	 		$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' "; 		$res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( '); 		$row = mysql_affected_rows(); 		echo ''; 		echo '';

if (isset($_POST['submit'])) { 	 	 	# Validating the user input........ 	$username= $_SESSION["username"]; 	$curr_pass= mysql_real_escape_string($_POST['current_password']); 	$pass= mysql_real_escape_string($_POST['password']); 	$re_pass= mysql_real_escape_string($_POST['re_password']); 	 	if($pass==$re_pass) 	{	 		$sql = "UPDATE users SET PASSWORD='$pass' where username='$username' and password='$curr_pass' "; 		$res = mysql_query($sql) or die('You tried to be smart, Try harder!!!! :( '); 		$row = mysql_affected_rows(); 		echo ''; 		echo '';