2。對SQL的突破 
　　例如某網頁需要你輸入用戶名稱和口令，這樣就有兩個文本框等待你的輸入，現在我們假設有一用戶adam,我們不知道他的口令，卻想以他的身份登陸。 
　　正常情況下，我們在第一個文本框輸入adam,第二個文本框輸入1234之類的密碼，如果密碼正確就可以進入，否則報錯。 
　　程序中的查詢語句可能是： 
　　sql="select * from user where username='"&text1.value&"' and passwd= '"&text2.value&"'" 
　　執行時候就是 
　　select * from user where username='adam' and passwd='1234' 
　　好了， 
　　如果我們在text2里輸入的不是1234,而是1234'"&"'or 1=1 
　　我們的sql語句就成了， 
　　select * from user where username='adam' and passwd='1234' or 1=1 
　　我們就可以進入了。。。 
　　有經驗的用戶就在程序中增加對單引號等特殊字符的過濾。 
　　但是，一般人習慣上有兩種登錄認證方式我就用ASP的VBScript做例子了： 
　　一是用select * from ... where username = ' & Request.Form("username") & "password = " & Request.Form("password")，然后判斷結果是否為空來驗證。其實還有一種方式： 
　　用select * from ... where username = ' & Request.Form("username"), 然后判斷結果集中的密碼是否和輸入相同來驗證，這種方式就安全一些了。 
　　3。利用多語句執行漏洞。 
　　根據上面的思路，如果用戶根據書名(例如linux入門)查詢所有的書，SQL語句為 
　　select book.name,book.content from book where bookname='linux入門' 
　　如果我們輸入的不是linux入門而是 linux入門' delete from user where '1' = '1 
　　從而構成對表的刪除。 
　　成功的前提條件是對方允許多條語句的執行。 
　　由于程序沒有處理邊界符“'”產生的漏洞的危害程度和結果集的類型及數據庫的配置有很大的關系。首先說結果集，如果結果集只支持單條的SQL語句，那么你所能做的只是上面提到的那種在密碼框內輸入' or '1' = '1來登錄，其他的做不了。 
　　我們還可以用這種方法在數據庫里增加用戶。 
　　4。SQL Server裝完后自動創建一個管理用戶sa，密碼為空。而好多人裝完后并不去改密碼，這樣就留下了一個極大的安全問題，我稍后再細說。 
　　程序中的連接一般用兩種，不是用global.asa就是用SSL文件。SSL文件一般人習慣放到到Web的/include或/inc目錄下。而且文件名常會是conn.inc、db_conn.inc、dbconninc，等等，反正有時能猜到。 
　　如果這個目錄沒有禁讀，一旦猜到文件名就可以了，因為.inc一般不會去做關聯的，直接請求不是下載就是顯示源文件。 
　　還有當主要程序放到一個后綴為.inc的文件而沒有處理“'”，當運行出錯時返回的出錯信息中常會暴露.inc文件，我遇到過幾次這樣的情況。其實可以在IIS里設置來不回應腳本出錯信息的。 
　　5。數據庫的利用。 
　　如果程序中的連接用戶權限極小，甚至多數表只能讀，你就很難有所作為了。這時所能做的是能猜出表名和字段名來進行刪除數據或表的操作。 
　　INSERT語句利用起來討厭一些，主要是里面有好多列，而且還要處理掉最后的“)”。 
　　我就以我最熟悉的MS SQL Server來說一些吧。它的默認端口號是1433，你用telnet連一下服務器的這個端口，如果能連上去一般是裝了MS SQL Server，當然這是可以改掉的。 
　　好了，說一說數據庫的利用。 
　　如果對方的數據直接在Web服務器上而且你知道端口號，有帳號就干脆用SQL Analyzer來直接連接數據庫。在它里面可以執行SQL語句。常用的是存儲過程master.dbo.xp_cmdshell，這是一個擴展存儲過程，它只有一個參數，把參數做為系統命令來裝給系統執行。 
　　如果是管理用戶就有權執行這個存儲過程，而且這時可以執行很多操作，如用ipconfig來看ip設置，用net user來看系統用戶。不過用net user /add 用戶名 密碼并不一定成功，有時會返回一個“指定的登錄會話不存在”而不能執行，原因我還不清楚。 
　　如果沒有權限也不要緊，MS SQL Server有個漏洞，你可以創建一個臨時存儲過程來執行，就可以繞過去，如： 
　　CREATE PROC #cmdshell(@cmdstr varchar(200)) 
　　AS 
　　EXEC master.dbo.xp_cmdshell @cmdshell 
　　當然這時是沒有權限執行net user /add等的，不過可以查看，可以創建文件。 
　　反復用echo創建一個FTP腳本，把木馬傳到一個FTP站點上，然后用存儲過程調用ftp來利用腳本來下載并安裝，然后......呵呵:)