实战复盘｜从SQL注入到内网

原创

鼎新安全
鼎新安全

鼎新安全

2026年7月13日 17:28
安徽

在小说阅读器读本章

去阅读

01—前言

本次授权攻防演练中，我们发现某高校体育信息化平台存在SQL注入漏洞。通过WebService接口的WSDL泄露，最终获取了sa权限并深入内网。本文复盘完整攻击链，已做脱敏处理，供安全从业者参考。

02—入口打点

目标发现：对目标进行资产测绘时，发现 8899 端口开放 HTTP 服务。访问根路径返回「体育信息化平台」登录页面，HTML 中包含客户端 AntiSqlValid 过滤器，确认后端为 ASP.NET 4.0.30319 + IIS。

登录接口排错：分析前端 JS 得知登录请求发往 Handle/GetInfos.ashx，参数格式 s1=GetData&s2=Login&s3=用户名|密码。对该接口进行单引号、OR 1=1、UNION、WAITFOR DELAY等注入测试，所有响应均返回统一的「登录失败：用户名或密码错误！」，确认该接口使用参数化查询，不存在注入。

尝试弱口令爆破，同样失败

发现 trace.axd 返回 403，说明 ASP.NET Tracing 可能存在。进一步尝试 ASMX WebService 标准路径。

返回完整的 HTML 登录页面。尝试获取 WSDL

在路径探测中访问 WebService.asmx?WSDL，成功获取完整 WSDL 定义文件，泄露 50 个 SOAP 操作。其中 GetParameter(name) 和 GetVersion(name) 方法的参数语义为查询数据库配置值，xyz(sqlstr) 和SendMessage(sqlstr) 的参数直接命名为 sqlstr，这里高度可疑。

布尔盲注确认：构造 SOAP 请求调用 GetParameter 方法。传入 name=test 返回空结果；传入 name=' OR '1'='1返回一条微信access\_token 值（105\_bNhEJUkTyGO\_OAVpZ...）；

传入 name=' AND '1'='2 返回空结果。三种 payload差异化响应，确认 name 参数被直接拼接到 SQL 语句中。

UNION SELECT 回显：传入 name=' UNION SELECT DB\_NAME()--，响应回显 DZKJ\_PEI，确认注入类型为完整的 UNION SELECT 回显注入（非盲注），直接获取数据库名。

权限确认：依次执行 SYSTEM\_USER 回显 sa、@@VERSION 回显 Microsoft SQL Server 2008 R2 Enterprise 10.50.1600.1 on Windows NT 6.2、读取 sys.configurations 中 xp\_cmdshell 配置值为 1（已启用）、读取sys.dm\_exec\_connections 获取内网 IP 172.30.7.113 和监听端口 1433。

1、确认sa权限

2、sql server版本

3、xp\_cmdshell 状态

4、内网IP确认

数据枚举：使用 FOR XML PATH 拼接技术一次性读取全部 87 张表名，含 SystemSetting\_Account（49 个账号密码）、BasicInfo\_Student（34,364 名学生，含身份证号、手机号、班级）、Physical\_Score（501,096条体测成绩）等。另读取 TKMSG 数据库中含 bby\_table\_wxtoken 等微信消息平台表。通过 sys.configurations 确认 CLR enabled=0、Ole Automation Procedures=0。

获取数据：全程仅通过 UNION SELECT 读取方式，获取了数据库名、全部表名及行数、服务器版本、当前用户身份（sa）、内网 IP 地址、数据库文件路径等系统信息，点到为止、未执行任何写入、删除、命令执行操作。

1、全部 87 张表名（FOR XML PATH 拼接