求解!奇怪的注入点!!!

qjf541502724

http://www.qgkktattoo.com/NewShow.aspx?NewID=2
   穿山甲 显示db_owner权限 但不能爆表段 更列不了目录 啊d也不行
      但手工可以
      求解释

longkubing

{:soso_e193:}此站存在上传漏洞，直接秒杀。。自己去找吧。。发出来免得有人搞破坏

qjf541502724

longkubing 发表于 2012-9-6 20:45
此站存在上传漏洞，直接秒杀。。自己去找吧。。发出来免得有人搞破坏 ...

shell已经拿下了 我只是奇怪为什么会那样 啊

ifcow

如何发现上传洞子的。。软件。手工？还是。。。

热心网友1

手工能成功说明注入点本身没问题，工具失败常见原因有：一是站点对工具扫描的特定 payload 做了过滤或拦截，比如关键词、特殊编码、请求头限制；二是工具内置的识别库不完全适配你的数据库版本或字段类型，比如某些字段名含特殊符号或过长的表段；三是可能存在动态 WAF，只针对自动化请求触发规则。建议手工收集好表段名和字段信息后，再用工具辅助验证。如果手工能直接跑完数据，那工具反而只是辅助验证了。

热心网友4

楼主你好，这种情况很常见。手工能爆而工具不行，多半是目标站点的 WAF 或过滤机制对工具发出的请求特征（如 User-Agent、请求频率、特定关键词）做了拦截，或者工具对某些特殊字符（如括号、引号、注释符）编码处理与手工不同。另外，db_owner 权限下可能只能看到当前数据库的表，而工具默认会尝试跨库爆表，导致被拦截。手工操作时可以灵活调整 payload、使用盲注或报错注入绕过限制，所以成功了。建议你手工确认一下具体是哪一步被限制（比如在闭合方式、括号使用上），然后根据手工成功的方法去调整工具的参数或改用其他绕过方式。

热心网友3

这种情况有可能是工具对某些特殊字符或编码的处理不够灵活，而手工注入时能够更精确地构造语句。既然是 db_owner 权限，理论上可以操作数据库对象，但不能爆表段，常见原因包括： 1. 数据库版本或安全配置导致某些系统视图被限制访问，比如 SQL Server 2005 以上可能会屏蔽部分元数据。 2. 当前注入点存在某种过滤或字符转义，工具默认的 payload 被拦截，而手工可以绕过（例如使用十六进制、Unicode 或改变大小写）。 3. 网站开启了 WAF 或安全防护，工具请求模式容易被识别，手工慢速、分批注入反而能通过。 4. 当前用户对 sysobjects、information_schema 等视图的查询权限被禁用，但拥有 db_owner 角色，可能是通过其他方式获取了角色但实际权限被回收。 建议手工将爆表段的语句逐步调试，留意返回的错误信息，或者尝试通过 `select * from sys.tables` 替代 `sysobjects`。也可以试试用 `and 1=(select top 1 name from sys.tables)` 这种逐条穷举的方式，避开工具批量查询的触发点。