Access注入

Access数据库注入

一、注入原理

（一）判断数据库类型

1、前提条件

• SQL server中存在内置的变量/系统表（数据库服务器基本上都会有）；
• IIS错误提示没有屏蔽掉，并且SQL server可以返回错误提示；
• 浏览器能够显示相关的错误提示，一般低版本的ie浏览器可以显示相关的错误信息。

2、通过内置变量判断数据库类型

• 概述

  Access数据中存在一些内置变量，例如User，并且其数据类型被规定为nvarchar，我们可以通过构造SQL语句，提交查询让user与整型数据进行比较，不同数据类型进行比较的话，SQL语句就会报错，一般来说，返回的错误信息中包含有数据库类型的相关信息。

• 示例

  测试url：http://192.168.133.129:8011/news_view.asp?id=10 and user>0
  # 结果说明，查看网页返回的报错信息，Microsoft OLE DB Provider for ODBC Drivers则表示该数据库为Access数据库。
  

3、通过内置数据表判断数据库类型

• 概述

  在我们拼接sql语句的时候，我们可以让url去查询一个不存在的系统表，这样也会爆出错误信息。如果错误信息被屏蔽，也可以通过对不同的系统表的查询，来判断当前网页后端是否存在该系统表，观察页面的不同，如果查询某个系统表返回的页面是正常的，那么该系统对应的数据库类型则为该网站的数据库类型。例如MSSQL存在系统表sysobjects，但是不存在msysobjects，这样我们分别去查询这两个表的时候，观察页面的不同，便可判断数据的类型。

• 示例

  注入url：
  http://192.168.133.129:8012/sqlserver/1.aspx?xxser=1%20and%20%28select%20count%28*%29%20from%20msysobjects%29%3E=0
  
  http://192.168.133.129:8012/sqlserver/1.aspx?xxser=1%20and%20%28select%20count%28*%29%20from%20sysobjects%29%3E=0
  
  #MSSQL数据中，是存在sysobjects表的，而msysobjects是access数据库中的系统表，他们返回的页面是不同的，当后端数据库为MSSQL时，第二条语句不会报错；当后端数据库为access数据时，第一条不会报错。
  

（二）猜解数据库名

​ 使用existi函数通过语句判断数据中是否存在某个数据库表名，如果返回页面出错，则该表名不存在，可以更换其他表名进