Access数据库注入
一、注入原理
(一)判断数据库类型
1、前提条件
- SQL server中存在内置的变量/系统表(数据库服务器基本上都会有);
- IIS错误提示没有屏蔽掉,并且SQL server可以返回错误提示;
- 浏览器能够显示相关的错误提示,一般低版本的ie浏览器可以显示相关的错误信息。
2、通过内置变量判断数据库类型
-
概述
Access数据中存在一些内置变量,例如User,并且其数据类型被规定为nvarchar,我们可以通过构造SQL语句,提交查询让user与整型数据进行比较,不同数据类型进行比较的话,SQL语句就会报错,一般来说,返回的错误信息中包含有数据库类型的相关信息。
-
示例
测试url:http://192.168.133.129:8011/news_view.asp?id=10 and user>0 # 结果说明,查看网页返回的报错信息,Microsoft OLE DB Provider for ODBC Drivers则表示该数据库为Access数据库。
3、通过内置数据表判断数据库类型
-
概述
在我们拼接sql语句的时候,我们可以让url去查询一个不存在的系统表,这样也会爆出错误信息。如果错误信息被屏蔽,也可以通过对不同的系统表的查询,来判断当前网页后端是否存在该系统表,观察页面的不同,如果查询某个系统表返回的页面是正常的,那么该系统对应的数据库类型则为该网站的数据库类型。例如MSSQL存在系统表sysobjects,但是不存在msysobjects,这样我们分别去查询这两个表的时候,观察页面的不同,便可判断数据的类型。
-
示例
注入url: http://192.168.133.129:8012/sqlserver/1.aspx?xxser=1%20and%20%28select%20count%28*%29%20from%20msysobjects%29%3E=0 http://192.168.133.129:8012/sqlserver/1.aspx?xxser=1%20and%20%28select%20count%28*%29%20from%20sysobjects%29%3E=0 #MSSQL数据中,是存在sysobjects表的,而msysobjects是access数据库中的系统表,他们返回的页面是不同的,当后端数据库为MSSQL时,第二条语句不会报错;当后端数据库为access数据时,第一条不会报错。
(二)猜解数据库名
使用existi函数通过语句判断数据中是否存在某个数据库表名,如果返回页面出错,则该表名不存在,可以更换其他表名进