文章总结： 本文分享某省护网行动中一次特殊的MSSQL注入案例。目标后台为MSSQL数据库，常规布尔盲注与堆叠注入均不生效，仅能使用时间盲注。作者利用笛卡尔积构造时间延迟判断条件真假，成功绕过限制进行数据提取。文章提供了具体注入语句与判断逻辑，属于实战经验分享，并强调所有渗透需获授权。 综合评分： 81 文章分类： 渗透测试,漏洞分析,实战经验,WEB安全

某省护网一次特殊的SQL注入-论当盲注不能堆叠注入而且布尔不生效如何跑数据

原创

zkaq-石英 zkaq-石英

掌控安全EDU

2026年9月10日 12:10 江西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

扫码领资料

获网安教程

本文由掌控安全学院 – 石英 投稿

来Track安全社区投稿~

千元稿费！还有保底奖励~（ https://bbs.zkaq.cn）

文章内容仅做经验分享用途，未授权的攻击属于非法行为！传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果自行承担！

话不多说

为什么说这个注入比较特殊，其一是因为是盲注，后台是 mssql，但是常规的判断手段是不生效的，sqlmap 也跑不出来

先说怎么发现，当然只是因为常规的单引号报错

然后开始探测数据的时候发现无回显、无布尔差、错误无明细，只能用时间。然后还不能堆叠。

例如

常规布尔判断没有区别

' AND 1=1--
' AND 1=2--

x' AND '1'='1'--
x' AND '1'='2'--

而常规WAITFOR 是 T-SQL 语句，不是表达式，非堆叠在语法上塞不进 WHERE，也就导致不堆叠是无法注入的

那么这个时候就轮到本次的主角，笛卡尔积了

常规语法如下

' AND 8405=(SELECT COUNT(*) FROM sysusers AS a,sysusers AS b,sysusers AS c,sysusers AS d,sysusers AS e,sysusers AS f,sysusers AS g)--

七表笛卡尔积大概四秒，可以形成有效观测，那么接下来就是想办法把逻辑塞进笛卡尔积

大概逻辑是这样的

' AND 8405=(SELECT COUNT(*) FROM sysusers AS a,...,sysusers AS g WHERE <条件>)--
真：WHERE 有行 → 7 表交叉 ≈4s
假：WHERE 1=2 → 0 行，没东西可交叉 ≈0.2s

判断是否是 DBA 权限，很可惜这个靶标不是，=0 的时候延迟，说明不是

思路就分享到这里了，后面就是常规跑数据了，没什么知识点，所以就分享到这里了。

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，

所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

没看够~？欢迎关注！

分享本文到朋友圈，可以凭截图找老师领取

上千教程+工具+交流群+靶场账号哦

分享后扫码加我！

回顾往期内容

零基础学黑客，该怎么学？

网络安全人员必考的几本证书！

文库｜内网神器cs4.0使用说明书

记某地级市护网的攻防演练行动

手把手教你CNVD漏洞挖掘 + 资产收集

【精选】SRC快速入门+上分小秘籍+实战指南

代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！

点赞+在看支持一下吧~感谢看官老爷~

你的点赞是我更新的动力

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：掌控安全EDU zkaq-石英 zkaq-石英《某省护网一次特殊的SQL注入-论当盲注不能堆叠注入而且布尔不生效如何跑数据》