SQL注入風(fēng)行良久了，我們找漏洞注入目標(biāo)無(wú)非是想得到數(shù)據(jù)庫(kù)內(nèi)的貨色，比如用戶名密碼等惕味。當(dāng)然mssql數(shù)據(jù)庫(kù)還可以借此取得權(quán)限盐碱。如果我們不必注入就可以得到全部數(shù)據(jù)庫(kù)把兔，不是更好嗎·于是暴庫(kù)成了一個(gè)比注入更簡(jiǎn)略的的入侵手腕。

有關(guān)暴庫(kù)的方法瓮顽，高手們常在入侵文章中進(jìn)步县好，但多是一筆帶過(guò)，有些就某一個(gè)方法談的暖混，也多是就方法進(jìn)行探討缕贡。最近有一篇.再談5c暴庫(kù)的利用.文章，算是對(duì)暴庫(kù)進(jìn)行了一些總結(jié)拣播，因此在網(wǎng)是傳播很廣晾咪。但仍不談及原理，而且結(jié)論也只是就于經(jīng)驗(yàn)诫尽，似是而非禀酱，于是決議來(lái)談?wù)劚?kù)的原理與法則。

一牧嫉，對(duì)于"5c"暴庫(kù)大法：

這種辦法被以為是暴庫(kù)絕招剂跟，很是流行了一陣跟著知道的人多了，防范也增強(qiáng)了酣藻，沒(méi)以前那么有效了曹洽。這種方式，簡(jiǎn)單點(diǎn)說(shuō)就是辽剧，翻開(kāi)網(wǎng)頁(yè)時(shí)送淆，把|網(wǎng)|址|泛亞娛樂(lè)|http://yuan01.bc88.info/fei/址中的"/"換成"5c"，而后提交怕轿，就可以暴出數(shù)據(jù)庫(kù)的路徑偷崩。

實(shí)際上，并不是所有|網(wǎng)|址|泛亞娛樂(lè)|http://yuan01.bc88.info/fei/都有效撞羽，須要"aspid"這樣的網(wǎng)頁(yè)地址表示有調(diào)用數(shù)據(jù)庫(kù)的行動(dòng)阐斜，如果你確認(rèn)這個(gè)網(wǎng)頁(yè)有調(diào)用數(shù)據(jù)庫(kù)的，后面不是這樣的也能夠诀紊，好比chklogin.asp等也可以谒出。當(dāng)然，也還有其它前提，后面再談笤喳。

先舉個(gè)例子为居，

_blank _blank 219.237.81.46/yddown5cview.aspid3

把第二個(gè)"/"換成"5c"

_blank _blank 219.237.81.46/yddown5cview.aspid3

提交后會(huì)得到如下結(jié)果：圖１

Microsoft JET Database Engine 毛病 ’80004005’

’D:111adminrds_dbd32rfd213fg.mdb’不是一個(gè)有效的路徑。 斷定路徑名稱拼寫(xiě)是否正確杀狡，以及是否連接到文件寄存的服務(wù)器蒙畴。

/yddown/conn.asp，行12

闡明：這是黑防試驗(yàn)室的一個(gè)網(wǎng)站捣卤，暴庫(kù)是他們成心開(kāi)放的忍抽，因?yàn)樗年P(guān)口不是注入，而是進(jìn)入后盾后如何失掉shell董朝。

當(dāng)初良多人都知道這個(gè)方法了，我就不多舉例了干跛。但明白暴庫(kù)原理的人估量是未幾的子姜。有人成功，有人不勝利楼入，.再談5c暴庫(kù)的利用.一文總結(jié)說(shuō)哥捕，須變換第二個(gè)"/"為"5c"才行。很有適用性嘉熊，但這個(gè)論斷只是一種教訓(xùn)遥赚，實(shí)在并不準(zhǔn)確。讓我們先看看它的原理

"5c"暴庫(kù)法阐肤，它不是網(wǎng)頁(yè)自身的破綻凫佛，而是應(yīng)用了ＩＩＳ解碼方法中的一個(gè)特征，假如ＩＩＳ保險(xiǎn)設(shè)置不周全孕惜，而網(wǎng)頁(yè)設(shè)計(jì)者未斟酌ＩＩＳ過(guò)錯(cuò)愧薛，就會(huì)被人利用。

為何要用"5c"·它實(shí)際上是""的十六進(jìn)制代碼衫画，也就是""的另一種表示法毫炉。在電腦中，它們是一個(gè)東東削罩。圖２十六進(jìn)制轉(zhuǎn)換圖

但提交""跟"5c"卻會(huì)發(fā)生不同的成果瞄勾，在ie中，咱們把下面第一個(gè)地址中的"/"換成""提交：

_blank 219.237.81.46/yddown/view.aspid3

_blank 219.237.81.46/yddownview.aspid3

二者的訪問(wèn)結(jié)果是一樣的弥激。ie會(huì)自動(dòng)把""改變成"/"进陡，從而訪問(wèn)到統(tǒng)一地址。

然而秆撮，當(dāng)我們把"/"換成十六進(jìn)制寫(xiě)法"5c"時(shí)四濒，ie不會(huì)對(duì)此進(jìn)行轉(zhuǎn)換赎线。地址中的"5c"被原樣提交了。這是抓包結(jié)果：圖３

GET /yddown5cview.aspid3 HTTP/1.1

當(dāng)ＩＩＳ收到后解析時(shí)汽畴，又會(huì)將5c還原成""预柒。這樣，iis中|網(wǎng)|址|泛亞娛樂(lè)|http://yuan01.bc88.info/fei/的相對(duì)路徑就變成/yddownview.asp喳资。這一點(diǎn)很主要觉吭。問(wèn)題恰是從這里開(kāi)端的。

在ＡＳＰ網(wǎng)頁(yè)中仆邓，凡調(diào)用數(shù)據(jù)庫(kù)時(shí)鲜滩，都會(huì)用到一個(gè)銜接數(shù)據(jù)庫(kù)的網(wǎng)頁(yè)conn.asp，它會(huì)創(chuàng)立一個(gè)數(shù)據(jù)庫(kù)連接對(duì)象节值，定義要調(diào)用的數(shù)據(jù)庫(kù)門(mén)路

一個(gè)典范的conn.asp如下：

dim conn

dim dbpath

set connserver.createobject("adodb.connection")

DBPath Server.MapPath("admin/rds_dbd32rfd213fg.mdb")

conn.Open "driver Microsoft Access Driver (..mdb) ;dbq" DBPath

大家留神第４句：DBPath Server.MapPath("admin/rds_dbd32rfd213fg.mdb")徙硅，Server.MapPath方法的作用是將網(wǎng)站中的相對(duì)路徑轉(zhuǎn)變成物理上的絕對(duì)路徑。為何要這樣·由于連接數(shù)據(jù)庫(kù)時(shí)搞疗，須指明它的絕對(duì)路徑嗓蘑。

這里可能有人不清楚，什么絕對(duì)路徑匿乃、相對(duì)路徑·ＩＩＳ為了不讓拜訪者曉得實(shí)在的實(shí)際路徑桩皿，并且確保網(wǎng)站不因變換地址而影響應(yīng)用，它采取了一種相對(duì)路徑來(lái)表示目錄與文件之間的關(guān)聯(lián)幢炸。也就是|網(wǎng)|址|泛亞娛樂(lè)|http://yuan01.bc88.info/fei/目錄只表現(xiàn)從根目錄起的相對(duì)地位泄隔。

比方：上面的網(wǎng)站中，網(wǎng)站：_blank 219.237.81.46的根目錄為："D:111"雨點(diǎn)下載目錄則在根目錄D:111內(nèi)的"yddown"下宛徊，我們網(wǎng)站訪問(wèn)該站時(shí)佛嬉，就是在訪問(wèn)D:111yddown目錄，而219.237.81.46/yddown/admin/岩调，它只表明了admin與yddown這個(gè)目錄的相對(duì)關(guān)系巷燥，把這個(gè)網(wǎng)站放在e:盤(pán)，也一樣不轉(zhuǎn)變admin位于yddown目錄下的關(guān)系号枕。

當(dāng)Server.MapPath方法將相對(duì)路徑轉(zhuǎn)為真實(shí)路徑時(shí)缰揪，它實(shí)際是三局部路徑加在一起得到真實(shí)路徑的：網(wǎng)頁(yè)泛亞娛樂(lè)|http://yuan01.bc88.info/fei/履行時(shí)所在的相對(duì)路徑，也就是從網(wǎng)站物理根目錄起的相對(duì)路徑葱淳，比如上面例子中conn.asp處在從根目錄起的"/yddown/"下钝腺；然后調(diào)用的數(shù)據(jù)庫(kù)的相對(duì)路徑是admin/rds_dbd32rfd213fg.mdb，這樣就得到從根目錄起的完整相對(duì)路徑："/yddown/admin/rds_dbd32rfd213fg.mdb"赞厕。

這些都只是相對(duì)的路徑艳狐，如何變?yōu)檎鎸?shí)路徑呢·

設(shè)置過(guò)iis的人都會(huì)知道，每一個(gè)網(wǎng)站皿桑，都必需指定它在硬盤(pán)上的物理目錄毫目，比如上例中蔬啡，網(wǎng)站根目錄所在的物理目錄為："D:111"，Server.MapPath方法正是通過(guò)把"網(wǎng)站根目錄的物理地址＋完全的相對(duì)路徑"镀虐，從而得到真實(shí)的物理路徑箱蟆。這樣，數(shù)據(jù)庫(kù)在硬盤(pán)上的物理路徑是：d:111yddownadminrds_dbd32rfd213fg.mdb刮便。

在這里空猜，ＩＩＳ以""表示真實(shí)路徑的目錄關(guān)系，而以"/"表示虛構(gòu)路徑恨旱，這可能就是ＩＥ會(huì)主動(dòng)把我們地址中的""轉(zhuǎn)為"/"的起因吧辈毯。

明確這些，我們?cè)賮?lái)懂得暴庫(kù)就不難了搜贤，當(dāng)我們提交_blank 219.237.81.46/yddown5cview.aspid3時(shí)谆沃，view.asp調(diào)用conn.asp后，得到的網(wǎng)頁(yè)相對(duì)路徑是這樣的：/yddown　見(jiàn)上仪芒，再加上"admin/rds_dbd32rfd213fg.mdb"管毙，就得到"/yddown"＋admin/rds_dbd32rfd213fg.mdb。在iis中桌硫，"/"和""代表著不同的意思，碰到了""時(shí)啃炸，認(rèn)為它已到了根目錄所在的物理路徑铆隘，不再往上解析為何不再往上解析·后面還會(huì)剖析的，于是網(wǎng)站的完整相對(duì)路徑變成了