我們已經(jīng)知道為什么出現注入了，那么如何判斷一個(gè)提交變量的數據庫查詢(xún)存在注入呢？
我們看到select * from admin where id=1像這樣的查詢(xún)語(yǔ)句如果我們在后面加個(gè)“”就會(huì )導致程序程序因為不匹配“”出現語(yǔ)法錯誤。
而在前臺輸入會(huì )由于conn.代碼添加了容錯語(yǔ)句導致不會(huì )報錯而，查詢(xún)語(yǔ)句不會(huì )查詢(xún)到任何信息所以會(huì )返回“暫無(wú)記錄”。
這里我們把容錯語(yǔ)句On Error Resume Next刪掉。然后刷新頁(yè)面就會(huì )發(fā)現已經(jīng)出現查詢(xún)錯誤了。
雖然這樣是可以判斷是否出現注入的，但是并不是所有的程序加上“”出現錯誤都是注入漏洞的。修改sql.asp文件內容為如下代碼：
<!--#include FILE='conn.asp'-->
<%
set rs=server.CreateObject('adodb.recordset')
sql='select * from admin where id='&cint(request('id'))
response.write 'sql語(yǔ)句為:'&sql
rs.open sql,conn,1,2
if rs.eof or rs.bof then
response.write '<br>暫無(wú)記錄'
else
response.write '<br>返回信息是：'&rs('username')
end if
rs.close
set rs=nothing
set conn=nothing
%>
上面代碼只在request獲取內容后加了一個(gè)cint函數，cint函數的作用是強制轉換表達式為數字類(lèi)型，但是如果表達式不是數字類(lèi)型則會(huì )出現頁(yè)面錯誤而導致返回錯誤。如圖：
這樣就會(huì )因為錯誤而導致不可執行，但是我們并不能就由此判斷因為cint導致變量id被過(guò)濾，所以我們還是要在conn.asp做容錯處理，這樣在上圖的錯誤不會(huì )出現的情況下看sql是否被賦值。
在圖中已經(jīng)看到了，雖然cint錯誤被容錯處理還會(huì )執行下面的代碼，但是sql變量因為cint的錯誤導致賦值失敗變?yōu)榭罩?，所以就不?huì )查詢(xún)任何信息。（關(guān)于過(guò)濾會(huì )在以后的防注入章節中講到）
所以利用“”并不能準確的判斷sql注入漏洞，這時(shí)候就出現另一種方式來(lái)判斷是否有sql注入漏洞，因為前面的sql查詢(xún)肯定是正確的那么就利用and來(lái)連接一個(gè)判斷（and是布爾運算符，只有兩邊同時(shí)為真時(shí)則為真，否則皆為假），這里就會(huì )利用到大家小學(xué)就會(huì )的1=1和1=2了，1=1肯定是真了，而1=2肯定為假了（所以趙大叔會(huì )說(shuō)在算錯的情況下1才等于2呢）。這樣我們的sql語(yǔ)句就會(huì )變?yōu)閟elect * from admin where id=1 and 1=1,在這里select * from admin where id=1是真而后面的1=1也為真所以整個(gè)查詢(xún)語(yǔ)句為真，就會(huì )查詢(xún)出內容。
當我們的sql查詢(xún)語(yǔ)句變?yōu)閟elect * from admin where id=1 and 1=2時(shí)，前面的select * from admin where id=1肯定還是為真，但是后面的的1=2為假導致整個(gè)語(yǔ)句為假。所以在網(wǎng)頁(yè)中則會(huì )查詢(xún)不到信息。這時(shí)就可以斷定我們輸入的語(yǔ)句已經(jīng)被sql執行并且按照我們的要求來(lái)返回內容，所以存在注入漏洞。
而當添加過(guò)濾數字類(lèi)型函數cint就會(huì )導致整個(gè)sql語(yǔ)句未被賦值而導致無(wú)法注入。（還有其他很多過(guò)濾函數和語(yǔ)句不通的地方會(huì )在以后的章節講解）
------分隔線(xiàn)----------------------------
聯(lián)系客服
