没有合适的资源？快使用搜索试试~ 我知道了~

文库首页移动开发AndroidSQL注入—ASP注入漏洞全接触.pdf

SQL注入—ASP注入漏洞全接触.pdf

需积分: 10 3 下载量 159 浏览量 2012-05-31 13:47:48 上传评论收藏 278KB PDF 举报

温馨提示

试读

16页

SQL注入—ASP注入漏洞全接触.pdf

资源推荐

资源详情

资源评论

SQL 注入—ASP 注入漏洞全接触

随着 B/S 模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业

的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户

输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返

回的结果，获得某些他想得知的数据，这就是所谓的 SQL Injection，即 SQL 注入。

SQL 注入是从正常的 WWW 端口访问，而且表面看起来跟一般的 Web 页面访问没什么区别，所以目

前市面的防火墙都不会对 SQL 注入发出警报，如果管理员没查看 IIS 日志的习惯，可能被入侵很长时间都

不会发觉。

但是，SQL 注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分

析，构造巧妙的 SQL 语句，从而成功获取想要的数据，是高手与“菜鸟”的根本区别。

根据国情，国内的网站用 ASP+Access 或 SQLServer 的占 70%以上，PHP+MySQ 占 L20%，其他

的不足 10%。在本文，我们从分入门、进阶至高级讲解一下 ASP 注入的方法及技巧，PHP 注入的文章由

NB 联盟的另一位朋友 zwell 撰写，希望对安全工作者和程序员都有用处。了解 ASP 注入的朋友也请不要

跳过入门篇，因为部分人对注入的基本判断方法还存在误区。大家准备好了吗？Let's Go...

入门篇

SQL 注入—ASP 注入漏洞全接触

如果你以前没试过 SQL 注入的话，那么第一步先把 IE 菜单=>工具=>Internet 选项=>高级=>显示友好

HTTP 错误信息前面的勾去掉。否则，不论服务器返回什么错误，IE 都只显示为 HTTP 500 服务器错误，

不能获得更多的提示信息。

第一节、SQL 注入原理

以下我们从一个网站 www.19cn.com 开始（注：本文发表前已征得该站站长同意，大部分都是真实数

据）。在网站首页上，有名为“IE 不能打开新窗口的多种解决方法”的链接，地址为：

http://www.19cn.com/showdetail.asp?id=49，我们在这个地址后面加上单引号'，服务器会返回下面的错误

提示：

Microsoft JET Database Engine 错误 '80040e14'

字符串的语法错误在查询表达式 'ID=49'' 中。

/showdetail.asp，行 8

从这个错误提示我们能看出下面几点：

1.网站使用的是 Access 数据库，通过 JET 引擎连接数据库，而不是通过 ODBC。

2.程序没有判断客户端提交的数据是否符合程序要求。

3.该 SQL 语句所查询的表中有一名为 ID 的字段。

从上面的例子我们可以知道，SQL 注入的原理，就是从客户端提交特殊的代码，从而收集程序及服务器的

信息，从而获取你想到得到的资料。

第二节、判断能否进行 SQL 注入

SQL 注入—ASP 注入漏洞全接触

看完第一节，有一些人会觉得：我也是经常这样测试能否注入的，这不是很简单吗？

其实，这并不是最好的方法，为什么呢？

首先，不一定每台服务器的 IIS 都返回具体错误提示给客户端，如果程序中加了 cint(参数)之类语句的

话，SQL 注入是不会成功的，但服务器同样会报错，具体提示信息为处理 URL 时服务器上出错。请和系

统管理员联络。

其次，部分对 SQL 注入有一点了解的程序员，认为只要把单引号过滤掉就安全了，这种情况不为少

数，如果你用单引号测试，是测不到注入点的

那么，什么样的测试方法才是比较准确呢？答案如下：

① http://www.19cn.com/showdetail.asp?id=49

② http://www.19cn.com/showdetail.asp?id=49 and 1=1

③ http://www.19cn.com/showdetail.asp?id=49 and 1=2

这就是经典的 1=1、1=2 测试法了，怎么判断呢？看看上面三个网址返回的结果就知道了：

可以注入的表现：

① 正常显示（这是必然的，不然就是程序有错误了）

② 正常显示，内容基本与①相同

③ 提示 BOF 或 EOF（程序没做任何判断时）、或提示找不到记录（判断了 rs.eof 时）、或显示内容为空（程

序加了 on error resume next）

不可以注入就比较容易判断了，①同样正常显示，②和③一般都会有程序定义的错误提示，或提示类

型转换时出错。

当然，这只是传入参数是数字型的时候用的判断方法，实际应用的时候会有字符型和搜索型参数，我

将在中级篇的“SQL 注入一般步骤”再做分析。

SQL 注入—ASP 注入漏洞全接触

第三节、判断数据库类型及注入方法

不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。

一般 ASP 最常搭配的数据库是 Access 和 SQLServer，网上超过 99%的网站都是其中之一。

怎么让程序告诉你它使用的什么数据库呢？来看看：

SQLServer 有一些系统变量，如果服务器 IIS 提示没关闭，并且 SQLServer 返回错误提示的话，那

可以直接从出错信息获取，方法如下：

http://www.19cn.com/showdetail.asp?id=49 and user>0

这句语句很简单，但却包含了 SQLServer 特有注入方法的精髓，我自己也是在一次无意的测试中发

现这种效率极高的猜解方法。让我看来看看它的含义：首先，前面的语句是正常的，重点在 and user>0，

我们知道，user 是 SQLServer 的一个内置变量，它的值是当前连接的用户名，类型为 nvarchar。拿一个

nvarchar 的值跟 int 的数 0 比较，系统会先试图将 nvarchar 的值转成 int 型，当然，转的过程中肯定会出

错，SQLServer 的出错提示是：将 nvarchar 值 ”abc” 转换数据类型为 int 的列时发生语法错误，呵呵，

abc 正是变量 user 的值，这样，不废吹灰之力就拿到了数据库的用户名。在以后的篇幅里，大家会看到很

多用这种方法的语句。

顺便说几句，众所周知，SQLServer 的用户 sa 是个等同 Adminstrators 权限的角色，拿到了 sa 权限，

几乎肯定可以拿到主机的 Administrator 了。上面的方法可以很方便的测试出是否是用 sa 登录，要注意的

是：如果是 sa 登录，提示是将”dbo”转换成 int 的列发生错误，而不是”sa”。

剩余15页未读，继续阅读

评论收藏

内容反馈

资源评论

资源反馈

评论星级较低，若资源使用遇到问题可联系上传者，3个工作日内问题未解决可申请退款~

q123456789098

粉丝: 294
资源: 2207

上传资源快速赚钱

我的内容管理展开

我的资源快来上传第一个资源

我的收益

登录查看自己的收益

我的积分登录查看自己的积分

我的C币登录后查看C币余额

我的收藏

我的下载

下载帮助

前往需求广场，查看用户热搜

SQL注入—ASP注入漏洞全接触.pdf

利用SQL注入漏洞拖库

防sql注入asp最新版

数据库访问查询工具

深入理解SQL注入绕过WAF和过滤机制

Android解决数据库注入漏洞风险的demo

Delphi和Assces图书馆管理系统

SQL注入漏洞全接触

SQL注入漏洞全接触.rar

SQL注入漏洞全接触.ppt

SQL注入天书-ASP注入漏洞全接触.pdf

SQL注入天书之ASP注入漏洞全接触.rar

SQL注入漏洞全接触.txt

SQL注入天书之ASP注入漏洞全接触

参考SQL注入漏洞全接触

ASP.NET源码——通用防SQL注入漏洞程序(Global.asax方式).zip

SQL注入漏洞全接触——高级篇.txt

SQL注入漏洞原理与防御.pdf

高级SQL注入：混淆和绕过.pdf

SQL注入攻击及其防范技术研究.pdf

最新资源