文章作者：neeke
信息来源：邪恶八进制信息安全团队（
www.eviloctal.com）
注：本文首发Neeke's blog 后有原创作者有请提交到邪恶八进制信息安全团队，转载请注明首发站点。
看看菜鸟是如何搞定XX信息港的
目标：
http://xxx.vnet.cn/
其实以前拿到过他的服务器，放了很多后门，不过都没多久没了。
记得几个月前又进去了一次，再次放了很多后门，过了几天再次丢失 - -！
最近一直在上课，也没时间搞这方面的东西，昨天晚上闲着没事干，就想起了她（不要乱想哦，我指的是这个网站，o(∩_∩)o...哈哈）。
目标信息：
1.外网
2.开放3389
3.装有MSSQL，但没有对外开放1433
4.有注入点且SA权限
下面开始步入正题，其实他的SA密码我都有而且他一直没有改密码（后面拿到WEBSHELL查看证实！），只是没对外开1433，所以也没用。
没事干，找出她的注入点（我想这个就不用多讲怎么找了吧），得到权限是SA的。直接用NBSI执行NET USER XX XX /ADD 没有成功。难道把这个删了？再执行NET1 USE XX XX /ADD还是没有成功。看来是把XP_CMDSHELL删了，尝试恢复回去，结果不成功。
接下来尝试了很多方法都没有成功。哎，算了，可能人品问题吧。那总该有备份权限吧，先拿个WEBSHELL再说，于是乎用NBSI备份了一句话上去。
尝试保存一个大马失败，权限设置的很死，只能用这个备份出来的一句话。怎么办呢，反正也是闲着没事干，把他整个盘都一个一个
翻翻看看。找到一个GHOST目录，
看到里面有备份的系统，我突然有了一种很傻的冲动：下他一个系统下来自己恢复到自己电脑上，然后用
SAMInside破解SAM文件，（你可能会说，那干嘛不直接下她SAM文件破，一句话：下不了！），经过在线的思想斗争，我决定下吧！于是。。。
等了半天没反应，估计是因为太大了吧（因为我尝试下载其他文件可以！），浏览器直接卡住了。OK，放弃，继续翻。。。。
发现个目录比较可疑，进去看看发现XPLOG70.DLL（我靠，原来在这里备份着，我就说怎么恢复不了呢。）爽啊~~~~
执行：
Exec master.dbo.addextendedproc 'xp_cmdshell', 'e:\backup\sql\xplog70.dll'
完成后，再去运行了一次添加用户，还是不行。。。。。看来人品真够背的。OK，先放那吧，不整了，先睡觉明天再想办法。
一夜过去了。。。又是一个晚上。。。
依然闲着没事干，找点资料看看吧，结果在黑鹰下到了《JHACKJ垃圾技术挑战变态SA提权》这个教程。看到它里面列出了一些代码是我没有试过的。于是乎赶紧用记事本抄下来，JHACKJ在他的入侵中的这段代码没有成功，但是我用来就成功了。o(∩_∩)o...哈哈 看来今天我的人品有所好转啊。
代码如下：
declare @o int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'copyfile',null,'c:\windows\explorer.exe' ,'c:\windows\system32\sethc.exe'
大家一看就明白是怎么个意思了吧，就是那个5个SHIFT后门，其实这个我也想过，我是想用WEBSHELL传个上去。可是结果没有写权限。
OK，我们URL递交：
http://xxx.vnet.cn/info/ad1.asp?lbid=901;declare @o int exec sp_oacreate 'scripting.filesystemobject', @o out exec sp_oamethod @o, 'copyfile',null,'c:\windows\explorer.exe' ,'c:\windows\system32\sethc.exe'
结果返回的页面和前一个页面不一样，一般来说不一样就是没有成功了。不过我还是抱着试一试的心态连上3389，5shift，OK，explorer.exe如期运行了。
下面就是找到CMD运行，再加管理，结果翻遍SYSTEM32也没找到CMD，
确定是被删掉了而且NET.EXE和NET1.EXE都没了。
我们在计算机管理里面加，就不用那几个东西了。
然后我们登陆。
管理员也在线啊。。。。。
赶紧闪。。。
