中国网络渗透测试联盟

标题: 28度的冰注入技巧之（一）——404页面的妙用 [打印本页]
作者: admin    时间: 2012-9-15 14:15
标题: 28度的冰注入技巧之（一）——404页面的妙用
遇到一个sa注入点，mssql错误提示关闭无疑shi让人郁闷的事情。8 V3 F0 L( H% {9 `
1 w. C# G* W0 M1 e
　　虽然错误提示关闭也shi可能以列目录，执行命令，但shishi多少就有些不方便。阿D就可能以在错误提示关闭的情况下列目录。: ^' Y2 |) n* u( q0 K

4 g6 |2 P! Q4 ~1 G- a% O　　这里有一个很好的方法，让你得到web目录路径，让你得到服务器上的文件，让你执行命令得到回显。
" Q, ~  W4 G1 G, b1 Z
9 U8 c2 l* K9 J) Q: g) X　　IIS，404页面的默认路径shi C:\Windows\Help\iisHelp\common\404b.htm( a  A4 \! h  S# e
9 m5 K( M- r% l6 h: m1 v& N
　　得到web路径exec master..xp_cmdshell ’copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm’--
! ?3 @+ [7 _0 m! S3 E. e/ S0 w1 p' M6 X7 |8 C, H% @8 a
　　,这shi20003，如果是2000的话，exec master..xp_cmdshell ’copy C:\Winnt\system32 \inetsrv\MetaBase.xml C:\Winnts\Help\iisHelp\common\404b.htm’--，在 MetaBase.xml存着IIS的很多信息。执行上面的语句之后，你再访问一下网站一个不存在的文件或目录，显示的就shiMetaBase.xml 的内容了。
" b, l6 L" R3 q# N7 ]: ?8 Y0 A( @/ M  S
　　执行命令得到回显
0 g0 q8 G0 e5 r# P- D! O% [: C$ ?3 b4 M5 m9 |
　　通过上面得到web路径的方法，你肯定很容易想到怎么得到回显了吧。 2003，exec master..xp_cmdshell ’ver >C:\Windows\Help\iisHelp\common \404b.htm’--如果是2000，exec master..xp_cmdshell ’ver >C:\Winnt\Help \iisHelp\common\404b.htm’--
1 h5 M4 Q# q- l% {( m  _+ [0 f5 r& x9 n& H. L3 m" S; v
　　得到文件也shi相同，把文件copy到404b.htm就行了
# t% T2 o- d0 F
5 Y, U: j8 o1 i, y8 |8 ~　　by 28ice, 2008/6/269 y. n" M' e: N- [2 r' ~5 A
- Q" U7 H1 U$ H( K/ _% |- W
　　摘自 28度的冰
3 D3 p8 p6 `, G  u- f. x# M! f/ r. N/ H4 I* y0 h: M4 n" n2 v
　　盲注判断权限和操作系统版本# c  q. G; O0 q3 o

8 U& E( Y5 Y9 m/ F5 Z; ]　　首先第一个问题，如果错误提示关闭，怎么判断当前的权限shi否为sysadmin呢?
+ _! X( s' E5 J; o( `6 Q7 p4 H# \
, M4 w9 T8 c# L0 V7 A　　最简单的，可能以用这样的方法：
" P; C6 V4 {6 Y* m, y6 Z
9 l" c. a$ x7 G! V2 l　　1=(select IS_SRVROLEMEMBER(’sysadmin’))2 f$ v: H; H. |7 O

# U' a$ |  Q* x) C! ^0 a% v& F　　当然，有些情况下，这个方法并不奏效。
. {* ~1 c# Z" Y6 ~5 l/ y3 h( q  s) ~* u- L, F# Y  J
　　既然shisa，我们就可能以通过执行命令判断，不过，既然错误提示关闭，那么执行的结果就很不容易拿到。! I/ U* j$ s  E. K
0 w, Z0 u; Q8 x4 C* ~( R
　　有个3办法可能以解决这个问题: o9 z; S; m! ~# O) J( e1 A
/ A9 M& W- `5 {7 Z( s
　　a.把执行结果写到404b.htm，具体请看我的上一篇文章
6 q) x* `0 M) P* `  x# l8 A* {
0 J* x' e! M9 X　　b.执行ping 127.1 -n 10，看看页面shi否延迟10秒钟/ h  }0 c' {( @- e' p) y, s/ m
2 @* |0 y2 S. j6 d2 h& y( k# b! K
　　c.如果1433端口可能以连接，那干脆新建个sql登录: m  p( k5 L& B6 f
. D" ^& U$ o) |# i3 l
　　d.如果大牛你shi公网Ip,openrowset，或者直接telnet，ftp到你自己的机子，说到这里，ftp还有别的用处，比如，把执行结果写到文件中，然后通过ftp传到你的机子上，这何尝不shi获得执行结果的一个好办法。当然，你可能能要用到ftp的-s参数7 n: d3 ~! [( Y- ^4 b  W
4 Y+ z* w  f5 y4 I1 ~5 E: d% [2 R7 @
　　还有一个问题，怎么判断系统shi2000还shi2003?当然指的shi错误提示关闭的情况下
% y& @( ~, E, A2 h$ ]) F
  X0 o3 O2 R9 g% Y+ `  n  C　　很简单0 t" o8 T8 g8 o5 _2 l  R" T

' u2 o* ^2 u; o& u2 ]　　执行systeminfo
% R& |0 U' S/ h0 o1 S
6 C" L5 j% e1 T  w0 F　　在xp/2003下才有这个命令，这个命令执行大概需要5秒钟时间。如果页面延迟5秒，就可能以进一步断定这shi2003(当然不排除2008的可能能性)。



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2