我正在进行渗透测试，对供应商的登台 Web 服务器进行第 3 方验证，并找到了一个似乎正在运行 MS-Access 作为其后端数据库的 IIS 实例。我认为我可能已经找到了潜在的 SQLi 攻击媒介，但需要进行一些验证。我已经对使用 MS-Access 的 SQLi 漏洞进行了一些研究，但并没有真正得到任何与我的情况相关的有用信息。
当我最初访问登录页面时，我输入了“1 OR 1=1”作为用户名，看看我是否能得到一些低调的果实。这是我收到的错误消息：
HTTP 500.100 - 内部服务器错误 - ASP 错误 Internet Information Services
技术信息（支持人员）
Error Type:
Microsoft OLE DB Service Components (0x80040E73)
Format of the initialization string does not conform to the OLE DB specification.
/arnisi/start.asp, line 204
Browser Type:
Mozilla/5.0 (Windows NT 6.1; WOW64; rv:15.0) Gecko/20100101 Firefox/15.0.1
Page:
POST 196 bytes to /arnisi/start.asp
POST Data:
username=%271+OR+1%3D1%27&password=&dataSource=mkgt13&lang=en&database=esuite& provider=SQLOLEDB&FromLoginPage=1&dir=ltr&screenHeight=900&screenWidth=1600&browserType=NS&browserVer=6&font=arial
有趣的是，错误显示数据源为 mkgt1，数据库为 esuite。杀死我的是在 MS-Access 上运行查询的语法。这可能吗？任何帮助将不胜感激。