SQLServer與Access數據庫的判別方法

　　 不同的數據庫的函數、注入方法都是有差異的，所以在注入之前，我們還要判斷一下數據庫的類型。一般ASP最常搭配的數據庫是Access和SQLServer，網上超過99%的網站都是其中之一。

　　 怎麼讓程序告訴你它使用的什麼數據庫呢？來看看：

　　 SQLServer有一些系統變量，如果服務器IIS提示沒關閉，並且SQLServer返回錯誤提示的話，那可以直接從出錯信息獲取，方法如下：

　　 http://www.mytest.com/showdetail.asp?id=49 ;and user>0

　　這句語句很簡單，但卻包含了SQLServer特有注入方法的精髓，我自己也是在一次無意的測試中發現這種效率極高的猜解方法。讓我看來看看它的含義：首先，前面的語句是正常的，重點在anduser>0，我們知道，user是SQLServer的一個內置變量，它的值是當前連接的用戶名，類型爲nvarchar。拿一個nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarchar值 ”abc” 轉換數據類型爲 int的列時發生語法錯誤，呵呵，abc正是變量user的值，這樣，不廢吹灰之力就拿到了數據庫的用戶名。在以後的篇幅裏，大家會看到很多用這種方法的語句。

　　順便說幾句，衆所周知，SQLServer的用戶sa是個等同Adminstrators權限的角色，拿到了sa權限，幾乎肯定可以拿到主機的Administrator了。上面的方法可以很方便的測試出是否是用sa登錄，要注意的是：如果是sa登錄，提示是將”dbo”轉換成int的列發生錯誤，而不是”sa”。

　　 如果服務器IIS不允許返回錯誤提示，那怎麼判斷數據庫類型呢？我們可以從Access和SQLServer和區別入手，Access和SQLServer都有自己的系統表，比如存放數據庫中所有對象的表，Access是在系統表[msysobjects]中，但在Web環境下讀該表會提示“沒有權限”，SQLServer是在表[sysobjects]中，在Web環境下可正常讀取。

　　 在確認可以注入的情況下，使用下面的語句：

http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from sysobjects)>0

http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from msysobjects)>0

　　如果數據庫是SQLServer，那麼第一個網址的頁面與原頁面http://www.mytest.com/showdetail.asp?id=49是大致相同的；而第二個網址，由於找不到表msysobjects，會提示出錯，就算程序有容錯處理，頁面也與原頁面完全不同。

　　如果數據庫用的是Access，那麼情況就有所不同，第一個網址的頁面與原頁面完全不同；第二個網址，則視乎數據庫設置是否允許讀該系統表，一般來說是不允許的，所以與原網址也是完全不同。大多數情況下，用第一個網址就可以得知系統所用的數據庫類型，第二個網址只作爲開啓IIS錯誤提示時的驗證。