Ghauri项目中多表计数功能异常分析

问题概述

在数据库安全审计工具Ghauri的最新版本1.3.5中，发现了一个关于多表计数功能的异常行为。当用户尝试同时对多个表执行计数操作时，工具返回的结果存在明显错误。

具体表现

在Windows 10系统环境下，使用时间型SQL注入方式对数据库进行审计时，发现以下异常情况：

1. 当同时查询ps_employee和ps_customer两张表的记录数时，工具返回了一个合并的计数结果71325，这个数字既不是两张表记录数的总和，也不是其中任意一张表的记录数。

2. 单独查询ps_customer表时，返回正确的记录数14265。

3. 单独查询ps_employee表时，返回正确的记录数5。

技术分析

从现象来看，问题出在多表计数功能的实现逻辑上。正常情况下，当用户指定多个表进行计数时，工具应该分别计算每个表的记录数并独立显示。然而当前实现似乎将多个表名合并为一个字符串进行处理，导致SQL查询语句构造错误。

在底层实现上，可能存在的问题包括：

1. 表名参数处理逻辑错误，没有正确分割多个表名
2. SQL查询构造器在处理多个表时没有生成独立的COUNT查询
3. 结果展示模块没有为每个表创建独立的计数结果行

影响范围

该问题影响所有使用多表计数功能的场景，特别是在以下情况下：

• 使用--count参数同时查询多个表的记录数
• 在批处理模式(--batch)下执行多表计数操作
• 任何类型的SQL注入方式(时间型、布尔型等)下的多表计数

解决方案建议

修复此问题需要从以下几个方面入手：

1. 修改表名处理逻辑，确保能够正确识别和分割多个表名
2. 为每个表生成独立的COUNT查询语句
3. 确保结果展示模块能够正确显示每个表的独立计数结果
4. 添加多表计数功能的单元测试，防止类似问题再次出现

总结

多表计数功能是数据库审计工具中的重要组成部分，正确的计数结果对于评估数据库规模和制定后续审计策略至关重要。Ghauri项目团队应当优先修复此问题，确保工具在各种使用场景下都能提供准确的数据统计信息。对于当前版本的用户，建议暂时通过单表多次查询的方式获取准确的记录数。