匿红客路线 通过本文你可以学到童 ｌ自粜遣 舞涟入服务器 ◇ ／漫嗣和田√ ． ．从零跟我学黑客‘六） ＳＱＬ注入秘笈 文／图毕伟伦【华夏黑客联盟 大家好，我们又再次见面啦。从本篇开始， 从》系列进入了提高篇的讲解阶段，而基于ｗＥＢ的入侵是提高篇中最基础也 是最重要的部分。在基于ｗＥＢ的入侵中，ｓＱＬ注入是黑客最惯用的检测手段。针对的是目前网络上主流的两款数据库管理程序， ＭＳＳＱＬ和ＡＣＣＥＳＳ，两者都是微软的产品，前者入侵更灵活，可以使用很多的命令买现高级入侵，后者只支持Ｓ。Ｌ的数据查询， 连修改都不行。两者的共同点恐怕就只有ＳＱＬ查询语句了，不过还是有那么一些区别的。 下面我们先来看一个图片（如图１】，是不是大家很熟悉？ 面接一个问号，然后是一个变量和＝号。比如ＩＤ这就是一个参 这就是著名的ＳＱＬ注入利器——啊Ｄ注人工具，目标使用的数 数，ＳＱＬ注人的产生原因就是变量的提交过滤不全，我们认为 据管理系统为ＭＳＳＱＬ。说到啊Ｄ，玩黑的朋友恐怕没人没用过 更改“ｉｄ＝”后面的参数 它，我在网友世界的２００８第３期上的《入侵网站我只用一款软 实现注入。 件》一文中已经为大家详细介绍了它的使用方法，在本文中我 步骤２：提交ｈｔｔｐ：／／ 就不再赘述了，检测＆利用漏洞的顺序简略的为：发现漏洞一 ＷＷＷ ＸＸ×Ｘ ＣＯｍ／ｉｎｄｅｘ 检查数据库类型一读取库一读取表段一读取字段一读取字段内 ａｓＰ？ｉｄ＝３０４’这样的 容。一般我们通过读取敏感的字段来获取后台的密码。 网址，注意，最后有 一个…”号。存在 注入可能的现象是出现 “ＨＴＴＰ ５００内部数据 库错误”（如图２）、加 …”后和不加前页面 的信息不同、Ｍｉｃ ｒｏｓｏｆｔ ０ＬＥ ＤＢ ＰＩ＇ＯＶｉｄｅｒ ｆ０ ｒ ０ＤＢＣ Ｄ ｒＩｖｅ ｒ ｓ错误 ８００４０ｅ１ ４‘ 厂 ＝＝＝二二二二二二二二二 主主 １ 出现ＳＱＬＳ ｅ ｒｖｅ ｒ错误的则可以肯定数据库管理系统为 ｌ ＳＱＬＳｅ ｒｖｅ ｒ，而加“’”后和不加前页面的信息不同，很大程度； ｆ上应该是ＡＣＣＥＳＳ。还有，变量名不一定为ＩＤ，也可以为其他的单ｆ 总是依赖工具入侵的话，小菜永远都不能成长为高手，而 Ｉ词，大家不要认死理喔。 且有很多时候工具是无法成功的，只能靠手工。所以请朋友们 跟我一起来学习ＳＱＬ的手工注入方法，也许会有些枯燥，不过 步骤３：在ＵＲＬ后面分别提交“ａｎｄ １＿１”和“ａｎｄ 希望大家坚持。 ｉ ）镰辑４ ｛∞ ＩＡ∞帮 ） 豢 注入点的检测 暹， 皇 ≥，、 ｊ５｜秉 黪０・ 撕 《 ≤ｌ ｈ ｐ， １ ｋｔ．ｄ。ｊ ｔ ｉ０ｔ ‘Ｉ ｌ∞ １＝２ 转到链 ” 拄不到文章 步骤１：观察ＵＲＬ６ｔ格式，看是不是像ｈｔｔｐ：／／ｗｗｗ ＸＸＸＸ ｃｏｍ／ｉｎｄｅｘ ａｓｐ？ｉｄ＝３０４这样，也就是一定要在一个ＡＳＰＩ￣件后 霸 毕 谚ＩｈＬ．… 不多说了，因为这不是本文的重点。点击传统式破解栏目下的 那么神秘。本文的方法理论上可以破解任意 “开始破解”按钮开始破解，每次尝试的密码同样也会在“最 的ＱＱ号密码，唯一需要的就是时间与等待。 后测试的密码”中显示。 不管用上面的哪种方法，点击 “开始破船” 小提示 按钮后程序会先用“密码”来尝试登录（如 图９），如果密码错误会弹出提示窗口（如图 在进行传 １ｏ）。但它会在极短的时间内自动关闭，接 统式破解的时候 着用下个“密码”来尝试，如此的循 系统也许会弹出 环下去。直到破解出正确的密码。当 个错误的窗口 被破解的ＱＱ成功登录时．也就是破 如图８）。意思就是密码不正确，是否继续连接服务器，大家点 解结束时，密码会在“最后测试的密 “是”即可。 码”中显示（如图１１）。但是该破解 机有个小小的遗憾，就是不能保存与 攻略要点解读 暂停破解流程，关闭后再次打开还需设 置相应数据。大家要选择好时间来进行 两 二ｒ］ 好了，这就是所谓的暴力破解了，是不是没有想象中的 破解活动，建议通宵时。ｅｅ ｌ墨 ！堕塑匝三 美国田纳西大学的一个大学生被指控突破了阿拉斯加州州长萨拉一佩林的个人电子邮件帐户。 如果罪名成立，Ｋｅｒｎｅｌ１最多将面临五年监禁、罚款２５万美元和为期三年的监督释放。 １＿２”．看返回的页面是不是相同。因为我这个测试ＵＲＬ存在注 入漏洞。所以加入“ａｎｄ １＿１”后页面内容不变，而加入“ａｎｄ １：２”了之后却显示“找不到文章”（如图３）。 ｕｓｅｒｎａｍｅ、ｐａｓｓｗｏｒｄ、ｉｄ这么几个字段，接着再弄出字段内容 就行了。下面请跟我来学习如何猜解宇段名，也并不算难。 仍然拿刚才的那个网站下手，我挑选了ａｄｍｉｎ表段．这个 可是敏感表段噢。我先提交了这样的ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ ｘｘｘｘ ｃｏｍ／Ａｒｔｉｃｔｅ Ｐｒｉｎｔ ａｓｐ？Ａ ｒｔｉｃｌｅｌＤ＝１９０７％２０ ａｎｄ％２０ｅｘｉｓｔｓ％２０ ｆｓｅｌｅｃｔ％２０ｕｓｅ ｒｉｄ％２０ｆ ｒｏｍ％２０ａｄｍｉｏ），我想看看Ａｄｍｉｎ这个表 中是否有ｕｓｅｒｉｄ这个字段，结果发现不行，页面不正确（如图 ６），那我换成ｌｄ来重新猜测，猜测成功，说明ａｄｍｉｎ这个表中 存在ｌｄ这个字段，和啊Ｄ的结果相符合。 －Ｈ ｔｆ ） ｔ ｉ＾ ｍ） 雾 猜测表段名 ０ ・ 喾圈 ；， ＿ｉ《｛ ？一 糕 ‘ 矗ｔ ，， ｉ… ＾１．．ｔ……Ｐ・ …Ｔ ………ｌ … …－ ｎ ∞＃ 还记得一开始给大家看的那张图片ＤＥ？啊Ｄ为我们猜解出了 ｉ１无法显零司页 所有的表段（在“检测表段”按钮下边的列表中），那么要看 ２● 日Ⅱ Ｅ ｉ 一个表段是否存在，对于我们手工该怎么做呢？其实并不难。 方法一： ・ ＿ｉⅢ ｔ ｝ 目＃ ■ａ勺 提交如下的ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｘｘｘｘ ｃｏｒｎ／Ａ ｒｔｉｃｌｅ—Ｐ ｒｌｎｆ ・・ ｝ Ｉ山… ・－ ａｓｐ？Ａ ｒｔｉｃｌｅｌＤ＝１ ９０７％２０ ａｎｄ％２０ｅｘｉｓｔｓ％２０（ｓｅｌｅｃｔ％２０ ％２０ ｆｒｏｍ％２０表段名）。如果存在这个表段名，那么页面就会正常显 １ｎ・…・ｔ ｌ Ｐｌ ｏｒ”／—、 示．因为Ａｄｍｉｎ这个表是存在的．如果我测试的是一个不存在的 … 表段，那么页面就会出错（如图４）（不存在我虚拟的ｂｉｗｅｉｌｕｎ 那么聪明的读者你一定会举一反三吧？你会发现不存在 这个表段名）。 ｕｓｅｒ这个字段，但是ｐａｓｓｗｏｒｄ字段是有的。现在的猜解靠的就 是字段名的平时积累了，那么我们下面的可就是很繁重了，因 为我们假设自己没有工具，如何获得字段中的内容呢９ 获取字段中的内容 为什么啊Ｄ的效率那么高呢？它软件中内置了Ｎ个表段，等 字段中的内容相当重要，他们是敲开后台大门的关键，也 到检测的时候它自己会把内置的这些常见表段名一一拿出来猜 是最近的一步。 解，这就是所谓的自动化实现原理啦。可是在很多场合，我们只 步骤１：我们现在已经知道了ａｄｍ｛ｎ表中存在ｆｄ这个 能借助手工了，把你自己大脑里搜集的那些表段名拿出来吧。 字段，那么我现在想知道这个ＩＤ字段中都有哪些内容，我 们提交这样的ＵＲＬ：ｈｔｔＰ：／／ｗｗｗ ｘｘｘｘ ｃｏｍ／Ａｒｔ ｃ ｅ—Ｐ ｒｉｎｔ ———————————— ｌ 小提示 二二二二二二二二二二二二二 主± ａｓｐ？ＡｒｔｉｃｌｅｌＤ＝１９０７％２０ａｎｄ％２０１＝（ｓｅｌｅｃｔ％２０ｃｏｕｎｔ（ ）％２Ｏ 一般我常用表段名为ａｄｍｊｈｉ、ａｄｍｌｎｕｓｅ ｒ、ｕｓｅ ｒ、ＵＳｅ ｒｓ、 Ｉ ｆｒ０ｍｏ，ｏ ｕｄｕｌ川ｌ Ｉｏ／。 ｕｖｖＩ ｌｌ ｏ％２０ｉｄ＝１） ｍｅｍｂｅ ｒ、ｇ ｒｏｕｐ、用户、ｃｏｎｆｉｇ等等。如果你熟悉一个ＷＥＢ程序Ｉ 发现页面返回正常，说明有ＩＤ为１的这条记录（如图７】。 的话，然后又知道这个系统有注入漏洞的话，那就很好办啦，猜解ｌ 接着，我尝试了ｉｄ＝３和ｉｄ＝４的时候。发现ｉｄ＝３时页面正常。而 表段名可以先去网上查好了然后进行猜解，真正做到有的放矢。 ｆ ｉｄ＝４的时候却出现了问题。 方法二： 有的时候会遇到这样郁闷的问题，那就是ｅｘｉｓｔｓ这个单词是 不能用的，那么我们怎么绕过这个单词的使用继续注射呢？在 ＵＲＬ后面加入“ａｎｄ Ｏ＜＞（ｓｅｌｅｃｔ ｃｏｕｎｔ（ ）ｆｒｏｍ表段名）”，如果 这个表段名存在。页面同样正常显示（如图５），否则出错。 步骤２：下面假设我们想去猜ＩＤ＝１的这个人的密码，我们 知道密码的字段是ｐａｓｓｗｏｒｄ，该怎么办呢？既简单也不简单， 思路是简单的．做起来是很繁琐的。方法就是一位一位地去猜 解各位字符的ＡＳＣＩ ｌ码，然后拼接起来就行了。看我来猜ｌＤ＝１这 个用户的密码第一位： 在ＵＲＬ后面加：ａｎｄ ｅｘｉｓｔｓ（ｓｅＩｅｃｔ ｊｄ ｆ ｒｏｍ ａｄｍｉｎ ｗｈｅ ｒｅ ｌｅｎ（ｐａｓｓｗｏ ｒｄ）＞４ ａｎｄ ｉｄ＝１）。（如图８）发现页面显示很正 猜解表段中的ｉ字段 常，说明什么呢？说明ＩＤ＝１这个人的密码长度大于４是正确 的，那么接下来我把ｌｅｎ（ｐａｓｓｗｏ ｒｄ）＞４中的４改成５，６，７都 个数据库对应很多表，‘同样。一个表也对应多个字 是对的。一直到提交ａｎｄ ｅｘｉｓｔｓ（ｓｅｌｅｃｔ ｉｄ ｆ ｒ０ｍ ａｄｍｉｎ ｗｈｅｒｅ 段，我们猜解表段结束后，我们就要开始猜解某一个表中的 ｌｅｎ（ｐａｓｓｗｏ ｒｄ）＞１５ ａｎｄ Ｉｄ＝１）的时候发现正确，而提交ａｎｄ 所有字段了，像比较经典的是这么样的，一个ａｄｍｉｎ表中会有 ｅｘｉｓｔｓ（ｓｅｌｅｃｔ ｉｄ ｆｒ０ｍ ａｄｍｉｎ ｗｈｅｒｅ ｌｅｎ（ｐａｓｓｗｏｒｄ）＞１ ６ ａｎｄ 并且利用这些域名攻击那些没有设防的用户的个人电脑。这２０万个网站中甚至包括美国邮政局的官方网站。据国外媒体报道，美国的一位研究人员臼前表示．一些犯罪组织已经获取了超过２Ｏ万个网站的登录信息， ４７ 匿红客路线 厂 酾ｉ ５１却不大于５２，说明它￣ＡＳＣＩ Ｊ就等于５２（４Ｉ￣ＡＳＣｌ１）。现 在看看图１中， ｌＤ＝１的密码（４７ｅ５８６３８７５ｅｄｄａ５ｃ）中第一 位字符是不是４呢々 ｉｄ＝１）的时候发现错误（如图９）。 这又说明了什么呢？ｌＤ＝１这个人他的密码长度大于１ ５ 是对的，大于１ ６却不对，那么不就说明他的密码长度就是１６ 吗！相信聪明的读者已经学会怎么去猜解｝Ｄ＝３的用户的密码 长度了吧？ ）■■ ｔ■∞ ＾∞ Ｉ＾ ） １ 静 看余下的其他位数字符 接下来就得看大家的ｒｐ啦，是不是能很快地把这１６位字符 猜完，尽量少走弯路，一般来说需要Ｎ １ ６次的手工猜解喔。当 然。猜解也是要技巧的，下面我以猜解第３位字符“ｅ”为例为 大家讲解啊Ｄ使用的方法——拆办法猜解。 提交ａｎｄ ０＜＞（ｓ ｅ１ｅｃｔ ｉ ｄ ｆ ｒｏｍ ａｄｍｌｉｑ ｗｈｅ ｒｅ ０ 。０圆营 ： ， 擅素 ≠转、。。’茹ｇ－ 蹦±∞’霸。 ’ ’ ＿ｔ ｔ． ０ 衅 ｔ 。… ＿‘．ｎ － 、 。 ｌｌ糍 娜¨ ｍ一 如ｏ ・蠕・ 吨ｊ哺－ ０±目 ｝－ 秘屠Ｅ ｔ。￡ ・糍 ＊ ” ● ∞姐件－ ‘ ．－－………一・ ｒ 一 一 ２００８【】０ｔｈ）ｌｎｔｅｒｎａｔｉｏｎｅｌ Ｃｏｎｆｅｒｅｎｃｅ ０ｎ ｓ ｆａｃｔ曲ｔ＆Ｄｅｔｅｒ￣￣ｎｔ（ＩＣＳＤ ２００８） ｝ ■ ＂％目： ■ ＾± ’１： ’ ｚＯ吨‘ｌＯｎ，Ｉ～－●“● ●●ｆ．……ｔ ｓｖ Ｅ－～ｔ …一一一．…■＿… 女 ｔ） 一 】 ｔｆ∞‘∞Ｉ －Ｉ＾∞ ＿ ｍ） 孝 ０ 蓟Ｉ霸器 黼 ’艴谚 ：－茹翻－ 峥． … －ｎ川…“ｍ～… 蔫 ＃ ＿’ ” ，袖 。－．１．ｃ 。…、 Ｈ∞’－牵・ ｖ ｑｉ ， 哪恽・矗 ＿舞Ｂ ●。 抽 栅， 哪＼， 步骤３：知道ＩＤ＝１这个人密码长度是１６了．我心里大致已 经想出这是一个经过ｍｄ５￣！ｌ密过的密码，猜解ｌＤ＝４密码长度之 后。他的密码长度也是１６，这就更加证明了我的猜想。现在我 们来看怎么猜解密码的每一位： ｕｎｉｃ０ｄｅ（ｓｕｂｓｔ ｇ（ｐａｓｓｗｏｒｄ．３，１））＞４７ ａｎｄ ｉｄ＝１），发现页面显 示正确。得到信息：第３位字符的ＡＳＣＩ１大于４７。 接着提交ａｎｄ ０＜＞（ｓｅＩｅｃｔ ｌｄ ｆ ｒｏｍ ａｄｍｉ ｎ ｗｈｅ ｒｅ ｕｎｉｃ０ｄｅ（ｓｕｂｓｆｒ｝ｎｇ（ｐａｓｓｗｏｒｄ，３，１））＞６４ ａｎｄ ｉｄ＝１），仍然正确， 确定第３位一定在Ａ的上面，不是数字。 再提交ａ ｎｄ ０＜＞（ｓｅｌｅｃｔ｛ｄ ｆ ｒｏｍ ａｄｍｉ ｎ ｗｈｅ ｒｅ ｕｎｉｃｏｄｅ（ｓｕｂｓｔｒｌｎｇ（ｐａｓｓｗｏｒｄ，３．１））＞９５ ａｎｄ ｉｄ＝１），还是正确， 确定第３位一定在ａ的上面．不是大写字母。 在ＵＲＬ后提交ａｎｄ Ｏ＜＞（ｓｅｌｅｃｔ ｉｄ ｆｒ０ｍ ａｄｍｉｎ ｗｈｅ ｒｅ ｕｎｊｃｏｄｅ（ｓｕｂｓ…ｎｇ（ｐａｓｓｗｏｒｄ，３．１））＜１２２ ａｎｄ ｉｄ＝１）．页面正 确，现在可以肯定第三位一定是小写字母了。 ５提交ａ ｎｄ ０＜＞（ｓｅｌｅｃｔ ｉｄ ｆ ｒｏｍ ａｄｍｉ ｒｌ ｗｈｅ ｒｅ ｕｎｉｃｏｄｅ（ｓｕｂｓｔｒｉｎｇ（ｐａｓｓｗｏｒｄ，３，１））＞１ １０ ａｎｄ ｉｄ＝１）．１ １０是ｎ的 ＡＳＣＩＩ．也就是ａ—ｚ的中间。页面错误，表明在ａ—ｎ之间。 接着是看ｕｎ｛ｃ０ｄｅ（ｓｕｂｓ ｎｇ（ｐａｓｓｗｏｒｄ，３，１））＞１ ０３。出 错．说明不在ｇ—ｎ２．间，而在ａ—ｇ２．问，范围越来越缩小了，马 上就能猜出密码字符是ｅ了。这就是拆半猜解法，一半一半地缩 小范围以提高猜解效率。 》小提示 以上是针对ＭＳＳＱＬ的密码猜解，ＡＣＣＥＳＳ的密码猜解和其大 同小异，只不过是把ｕｎｌｃ０ｄｅ（ｓｕｂｓｔ『ｌｎｇ（））改成ａｓｃ（ｍｉｄＯ）就行了， 两者内部函数名是不同的。Ｓｕｂｓｔｒｉｎｇ在ＭＳＳＱＬ中和ｍｉｄ函数在 ＡＣＣＥＳＳ中都是取某一制定字符的某一位或一段字符的作用，语 法为 函数（字符，起始位置，取字符长度）。给个例子大家看 下，应该更能让大家明白，范例字符为ｘｙｚａｂｃ。 ｍｉｄ（ｘｙｚａｂｃ．１．１） ｍｉｄ（ｘｙｚａｂｃ，２，１） 看ＩＤ＝Ｉ的用户密码第一位是不是大写字母 在ＵＲＬ后面提交：ａｎｄ Ｏ＜＞（ｓｅｌｅｃｔ ｉｄ ｆ ｒ０ｍ ａｄｍｉｎ ｗｈｅ ｒｅ ｕｎｉｃ０ｄｅ（ｓｕｂｓｔｒｉｎｑ（ｐａｓｓｗｏｒｄ，１，’））＞６４ ａｎｄ ｉｄ＝１）．为什么我要 这么写呢？这句话的意思是看ｌＤ＝１的这个用户的ｐａｓｓｗｏｒｄ第一 位字符的ＡＳＣｌ１是不是大于６４（６５为大写Ａ的ＡＳＣｌｌ码）。发现 页面出错了，也就是说密码第一位字符的ＡＳＣＩ＿／Ｊ、于Ａ的ＡＳＣｌｌＩ 自然不是大写字母了。 ｍｉｄ（ｘｙｚａｂｃ，１，３） ｍｉｄ（ｘｙｚａｂｃ，３ ２） Ｓｕｂｓｔｒｌｎｇ（ｘｙｚａｂｃ １，１） Ｓｕｂｓｔ ｇ（×ｙｚａｂｃ，２，１） Ｓｕｂｓｔｒｌｎｇ（×ｙｚａｂｃ １ ３） Ｓ＿ＪｂｓｔｒＩｎｇ（ｘｙｚａｂｃ，３，３） 看ＩＤ＝Ｉ的用户密码第一位是不是数字 那我们就提交ａｎｄ ０＜＞（ｓｅＩｅｃｔ ｉｄ ｆ『ｏｍ ａｄｍ｝ｎ ｗｈｅ ｒｅ ｕｎｉｃｏｄｅ（ｓｕｂｓｔ ｒｉｎｑ（ ａｓｓｗｏ ｒｄ，１，１））＞４７ ａｎｄ｛ｄ：１），发现 页面正确了（如图１０），呵呵。很好。慢慢往上增加数值， 当ｕｎｉｃｏｄｅ（ｓｕｂｓｔ ｒｉｎｇ（ｐａｓｓｗｏ ｒｄ，１，１））＞５１的时候，页面正 确，ｕｎｉｃｏｄｅ（ｓｕｂｓｔ ｒｉｎｇ（ｐａｓｓｗｏ ｒｄ，１，１））＞５２的时候，页面 错误。我们要的结果出来了，密码第一位字符的ＡＳＣＩｌ码大于 ｘ Ｖ ｘｙｚ Ｚａ ‘ 今天就介绍这么多吧，我想你现在已经可以不用工具就可 以手工进行ＳＱＬ注入并获得后台密码了吧？朋友们，我们下期 再见。ｅｅ ４８ 加拿大多伦多大学电脑安全专家曝料说，Ｔ。Ｍ涉嫌利用Ｓｋｙｐｅ查看用户聊天信息，并将之储存在电脑服务器。
