深入理解 SQL Server 注入漏洞與防禦策略

前言

SQL Server 作為企業級關聯式資料庫，功能強大且與作業系統整合緊密，這雖然為開發帶來便利，但若配置不當或程式碼未經嚴格過濾，也可能成為攻擊者的跳板。本文將系統性梳理常見的 SQL Server 注入手法，並提供相應的防禦建議，旨在協助開發人員與資料庫管理員建立更安全的資料庫應用環境。

一、 利用系統預存程序與系統表進行注入

攻擊者常透過注入惡意 SQL 片段，嘗試呼叫系統預存程序或查詢系統表以獲取敏感資訊或提升權限。以下為幾類典型場景：

1. 呼叫 xp_cmdshell 執行系統命令

若資料庫連線使用的是 sa 等高權限帳號，攻擊者可嘗試注入類似 ;exec master..xp_cmdshell "net user ..." 的語句，透過分號分隔多條 SQL 指令，並利用註解符號 -- 忽略後續原始查詢。成功時可在作業系統層面建立帳號並加入管理員群組，進而取得伺服器最高控制權。

防禦重點： 原則上應避免應用程式使用 sa 連線；在 SQL Server 2005 及更新版本中，xp_cmdshell 預設為停用狀態，請務必維持此設定。

2. 透過錯誤訊息回顯資料庫結構

攻擊者常利用型別轉換錯誤，將查詢結果強制轉換為整數以觸發錯誤訊息，從而洩露資料庫名稱（db_name()）、資料表名稱（查詢 sysobjects）及欄位名稱（使用 col_name()）。例如：

id=1;backup database [DB名] to disk='c:\inetpub\wwwroot\1.db';--

若能取得資料庫絕對路徑，攻擊者甚至可將整個資料庫備份至 Web 目錄並直接下載，導致所有帳號密碼洩露。

3. 系統表枚舉技巧

sysobjects 表儲存了所有使用者建立的資料表（xtype='U'）。攻擊者可透過 TOP 1 逐筆提取資料表名，再利用 object_id() 與 col_name() 遞迴列舉欄位。

二、 繞過輸入過濾限制

許多應用程式嘗試透過過濾單引號 ' 來防禦注入，但此手段極易被繞過：

• 字元編碼替換： 利用 CHAR() 或 NCHAR() 函式構造字串，如 WHERE xtype=CHAR(85) 替代 WHERE xtype='U'；中文則可用 NCHAR(29992)+NCHAR(25143) 表示「使用者」。
• 大小寫變體： 部份過濾器未區分大小寫，嘗試 selecT、uPdATE 等混合大小寫關鍵字可能繞過攔截。
• URL 編碼細節： 在 GET 請求中，+ 會被解析為空格，%2B 為 +，%25 為 %，需熟悉 URLEncode 機制。

三、 實戰經驗總結與防範建議

1. 參數化查詢是核心防線： 永遠使用參數化查詢或預存程序，避免動態拼接 SQL 字串。
2. 最小權限原則： 應用程式連線資料庫應使用專用低權限帳號，嚴禁使用 sa 或具備 sysadmin 角色的帳號。
3. 錯誤訊息不外露： 生產環境應關閉詳細錯誤回顯，避免資料庫結構資訊透過錯誤頁面洩露。
4. 啟用 WAF 與審計： 部署 Web 應用程式防火牆（WAF）並開啟資料庫審計功能，記錄可疑查詢。
5. 定期修補與升級： 及時套用 SQL Server 安全性更新，停用不必要的擴展預存程序（如 xp_cmdshell、xp_regread 等）。
6. 備份檔案保護： 資料庫備份檔不應置於 Web 可存取目錄；備份加密與離線儲存同樣重要。

結語

SQL 注入漏洞雖歷經多年仍屬高發風險，但透過「參數化查詢 + 最小權限 + 錯誤資訊隱藏 + 持續監控」的纵深防禦體系，可將風險降至極低。安全與開發本質上相輔相成：深入理解攻擊原理，才能編寫出更健壯的程式碼。