sql注入<一>
关于sql注入，作为一个测试人员是必须要关注的，当前关于web的安全性测试中sql注入已经成为了主流的漏洞之一，我们不容忽视。作为开发人员那就更 应该了解了，如果没能正确的认识sql注入，就很难做到防患于未然，因为我们大多数程序中之所以出现sql注入是由于程序缺乏很严谨的逻辑设计，还有一方 面就是开发人员经验不足所体现出来的。
通常sql注入是从正常的www端口访问的，从表面来看，跟一般的web访问没有区别，所以目前市场上的防火墙并没有对sql注入给出相关的警报， 一般如果管理员没有查看日志的习惯，可能系统被入侵很长时间了都不会被发觉。先来看我做的一个简单的登录系统，看看如何破解进去的，具体如下图：
这是一个简单的登录系统，包括用户名和密码，正确的用户名和密码都为sa，通过简单的sql语句的构造如下图;
登 录成功页面就是返回并显示登录的用户名和密码，成功页面上显示的用户是sa，而密码是' or 1 = '1，为什么会出现这种情况呢，并不是后台数据库中存在这样的密码，我们来看看这个登录后台是如何验证用户信息的，后台的实现方式是通过这样一个sql语 句来实现的，select * from user where username = '' and password = ''，当用户名和密码与后台数据库进行匹配的时候，就表示登录验证通过，就可以进入系统并获得操作权限，然后再来看这个语句：select * from user where username = '' and password = '' or 1 = '1'，我们可以惊讶的发现当后面跟上一个或语句时，整个判断条件就发生了质的变化，‘或’判断就是只要有一个条件成立就表示整个判断为为true，所以 这个简单的sql语句构造就可以绕过登录用户名和密码的验证，直接进入系统，这就是sql注入。
sql注入的构造手法相当灵活，在注入时会碰到很多意想不到的情况，能不能根据具体的情况来分析，构造更加巧妙的sql语句，获取更多的数据信息，这就是 高手与菜鸟的区别。这里我将总结一些常见的sql注入，并进行分类，避免在测试sql注入时太盲目，进行合理的分析后开始进行测试，将会大大提高工作效 率。
首先，在测试sql注入之前，我们需要设置IE浏览器，第一步先把IE菜单=>工具=>Internet选项=>高级=> 显示友好 HTTP 错误信息前面的勾去掉。否则，不论服务器返回什么错误，IE都只显示为HTTP 500服务器错误，不能获得更多的提示信息。我们通常在测试过程中，会碰到测试一些页面出现异常的时候，提示一些具体的程序代码，或者是数据库不匹配什么 的，这些都是最直观的错误信息，一般是程序开发人员进行相关调试时留下，也有些是本身没有发现的，在测试阶段发现是最好不过，如果等到上线被用户发现，那 就是攻击的最好入口。通常我们在地址栏上会见到这样的URL地址，如：http://bbs.xxx.cn/viewthread.php?tid=274932，如果我们在后面加上’，页面会出现如下提示信息
Microsoft JET Database Engine 错误 '80040e14'
字符串的语法错误 在查询表达式 'tid=274932'' 中。等等信息，通过以上提示我们可以得出如下信息：
1.网站使用的是Access数据库，通过JET引擎连接数据库，而不是通过ODBC。
2.程序没有判断客户端提交的数据是否符合程序要求。
3.该SQL语句所查询的表中有一名为tid的字段。
从上面的例子我们可以看出，sql注入的原理就是通过客户端提交一些特殊的代码，从而获取服务器端的信息，从而分析得到我们想要信息。
其次，就是分析页面能否进行sql注入，通常情况下不是每个服务器都会给出错误提示信息，一旦缺乏后台提供的错误信息，我们将如何来进行sql注 入呢；而且当前程序员对sql注入有一点的了解，就会做出相应的控制和判断，一般都会过滤单引号之类的，如果这样的话，那前面的方法就不得行了。还是前面 的地址http://bbs.xxx.cn/viewthread.php?tid=274932，如果在后面加上and 1=1或者1=2来看看页面给我什么提示，通过验证一般会出现以下几种情况：
1.1=1时与之前页面显示一样，也就是正常显示
2.1=2时显示信息记录存在等，或者是找不到记录等等
以上也是表示可以注入的，关于如何构建这类sql语句，将在下节中讲到。
第三，就是判断数据库类型以及注入方法
不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。一般ASP最常搭配的数据库是Access和SQLServer，网上超过99%的网站都是其中之一。
怎么让程序告诉你它使用的什么数据库呢？来看看：
SQLServer有一些系统变量，如果服务器IIS提示没关闭，并且SQLServer返回错误提示的话，那可以直接从出错信息获取，方法如下：
http://bbs.xxx.cn/viewthread.php?tid=274932 and user>0 这 里我们重点关注user>0，通常使用sqlserver比较多的人应该知道，user是sqlserver的内置变量，它的值是当前连接的用户 名，类型为nvarchar。拿一个nvarchar的值跟int的数0比较，系统会先试图将nvarchar的值转成int型，当然，转的过程中肯定会 出错，SQLServer的出错提示是：将nvarchar值 ”abc” 转换数据类型为 int 的列时发生语法错误，呵呵，abc正是变量user的值，这样，不废吹灰之力就拿到了数据库的用户名。 还有就是众所周知的，SQLServer的用 户sa是个等同Adminstrators权限的角色，拿到了sa权限，几乎肯定可以拿到主机的Administrator了。上面的方法可以很方便的测 试出是否是用sa登录，要注意的是：如果是sa登录，提示是将”dbo”转换成int的列发生错误，而不是”sa”。
如果服务器IIS不允许返回错误提示，那怎么判断数据库类型呢？我们可以从Access和SQLServer 和区别入手，Access和SQLServer都有自己的系统表，比如存放数据库中所有对象的表，Access是在系统表[msysobjects]中， 但在Web环境下读该表会提示“没有权限”，SQLServer是在表[sysobjects]中，在Web环境下可正常读取。
在确认可以注入的情况下，使用下面的语句：
http://bbs.xxx.cn/viewthread.php?tid=274932 and (select count(*) from sysobjects)>0
http://bbs.xxx.cn/viewthread.php?tid=274932 and (select count(*) from msysobjects)>0
如果数据库是SQLServer，那么第一个网址的页面与原页面http://bbs.xxx.cn/viewthread.php?tid=274932是大致相同的；而第二个网址，由于找不到表msysobjects，会提示出错，就算程序有容错处理，页面也与原页面完全不同。
如果数据库用的是Access，那么情况就有所不同，第一个网址的页面与原页面完全不同；第二个网址，则视乎 数据库设置是否允许读该系统表，一般来说是不允许的，所以与原网址也是完全不同。大多数情况下，用第一个网址就可以得知系统所用的数据库类型，第二个网址 只作为开启IIS错误提示时的验证。
