前记
今天挖edu随意点开个站，发现存在mssql数据库的sql注入，在此分享下整个挖掘过程
目录
0x1 判断网站数据库类型 0x2 了解mssql数据库的主要三大系统表 0x3 了解mssql的主要函数 0x4 判断注入点及其注入类型 0x5 联合查询之判断列数 0x6 联合查询之获取数据库相关信息 0x7 mssql之时间盲注 0x8 mssql之报错注入 0x9 总结
0x1 判断网站数据库类型
•根据后缀进行判断，mssql数据库一般后缀为aspx，只要是后缀为aspx的站一般都是mssql数据库
•根据报错的信息进行判断，一般报错信息中会有Microsoft等字样，如下图所示
•根据系统表进行判断，利用mssql数据库包含的主要系统表进行判断，例如and (select count（*）from sysdatabases) >0如果成立，则可判断数据库中包含mssql的主要系统表，但是这个方法不绝对，可能出于安全考虑，数据库管理员会删除主要系统表
0x2 了解mssql数据库的主要三大系统表
•sysdatabases :这张表保存在master数据库中，里边的name字段下存放的是所有数据库的库名。
•sysobjects：这张表保存的是数据库的表的信息。
•syscolumns：这张表存放的是数据库中字段的信息。
0x3 了解mssql的主要函数
•host_name() :返回服务器端主机名称。
•current_user()：返回当前数据库用户。
•db_name():返回当前数据库库名 。
0x4 判断注入点及其注入类型
这里注入点就不用判断了，点进子栏目发现就一个参数，此参数就是注入点了
直接一个万能’（单引号）然后报错
直接使用55-1判断其数据类型
发现页面成功回显，于是可以确定是数字型
0x5 联合查询之判断列数
使用order by判断其列数
可以看到order by 4正常返回
order by 5 报错,可以判断列数为4
然后使用UNION SELECT来判断 按理来说，UNION SELECT 1,2,3,4应该正常回显，但是不知道是配置原因还是什么原因还是报错，但是还是可以从细微上的差别来区分列数是否正确
当列数设为其他时，报错信息如下
但是列数设为4时，报错信息有所不同，如下图所示，多了一片
0x6 联合查询之获取数据库相关信息
既然UNION SELECT 能正常使用，那我们就可以通过这个直接判断显位输出数据库的相关信息了
前面提到了mssql的三大系统表，这里就是从系统表中查询数据 使用:UNION SELECT 1,2,3,4 from master..sysdatabases
可以看到在显位处于第一列，直接从第一列使用mssql函数db_name()获取数据库信息
0x7 mssql之时间盲注
页面正常返回时间为
我们直接使用时间盲注的函数WAITFOR DELAY ‘0:0:5’进行测试
可以看到页面延迟返回，说明存在时间盲注（本站还存在堆叠注入，但是在此不做演示）
0x8 mssql之报错注入
直接使用and 1=(select db_name())获取当前数据库
这里我们使用的是and 1=（）进行报错，所以一次只能获取一个值，如果想获取其他值可以使用top函数进行操作，这里不做演示
获取表名：and%201=%20(select%20top%201%20name%20from%20获取的数据库名字..sysobjects%20where%20xtype%20=%200x75)
在mssql中xtype为指定数据类型，0x75对应的数据类型为NVARCHAR
后续不进行测试
0x9 总结
sql注入漏洞挖掘主要还是需要了解各类型的数据库怎么操作，数据库的系统表有哪些，对应的函数有哪些，对过滤机制的绕过手法（虽然本次漏洞挖掘没有涉及到绕过），建议有时间还是需要深入学习一下各类数据库，不仅对漏洞挖掘有帮助，反之对以后可能需要涉及到的安全开发也有很大帮助，比如如何过滤危险函数啊，如何清洗用户输入的数据啊等
最后也是拿下两个中危
免费获取网络安全资料：
申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关
