在看之前我們先回顧一下目前在公開或者已知的public和db_owner權(quán)限拿到webshell或者系統(tǒng)權(quán)限的思路和方法(sysadmin權(quán)限我就不說拉，給你這么一句，只要是sysadmin，拿不到webshell或者系統(tǒng)權(quán)限那是你的無能)public下面我還沒見到一種可以真正能利用的方法。db_owner目前公開的方法主要有5種：第一種就是最普遍的backup，現(xiàn)在利用差異備份生成的asp文件確實(shí)要比以前小拉不少，但能否得到webshell，目前成功率還不是很高。第二種就是在下的萬能提權(quán)，此法成功率幾乎為零，只有在特定的條件下面才能實(shí)現(xiàn)。第三種就是LCX大蝦在《MSSQL db_owner角色注入直接獲得系統(tǒng)權(quán)限》，所說的利用xp_regread讀出VNC在注冊(cè)表的加密密碼，然后破解，直接拿到系統(tǒng)權(quán)限，這種方法局限性比較大，要是對(duì)方主機(jī)沒有裝vnc，你怎么辦。第四種就是利用xp_regwrite再注冊(cè)表里直接加個(gè)系統(tǒng)帳號(hào)或者直接寫個(gè)webshell，在主機(jī)重起的時(shí)候就可以拿到webshell或者系統(tǒng)權(quán)限。此法適用范圍比較大，成功率也相對(duì)前3種較高點(diǎn)，但缺點(diǎn)也是顯而易見的，就是不能夠馬上得到webshell，需要對(duì)方重起。第五種就是利用添加作業(yè)的一些過程，sp_add_job,sp_addtask之類得到系統(tǒng)權(quán)限。理論上應(yīng)該說是目前這5種里面成功率最高的的一種吧(郁悶，我在本機(jī)測(cè)試的時(shí)候一次也沒成功過，可能是的原因吧)。
看過以上5種方法后，應(yīng)該說目前在db_owner權(quán)限下面得到系統(tǒng)權(quán)限的的手段無論是成功率還是從結(jié)果來看，都還是不太理想的。呵呵要是我告訴你還有第6種，第7種，第8種呢，而且每個(gè)都比以上任何一種的方法的成功率都高。呵呵，你信不信。我先介紹一個(gè)大家應(yīng)該都知道的，而且可能大家都經(jīng)常用，可是卻沒想到他還有另一面的方法，我把他叫做——瞞天過海。再介紹之前還得有請(qǐng)各位看官先把我制作的動(dòng)畫看一下。
看拉之后，不知道網(wǎng)管們會(huì)做何感想啊，想不到只有相對(duì)public權(quán)限(我在movie里面只有public權(quán)限，相信看過動(dòng)畫的各位也應(yīng)該看清楚拉，之所以說是相對(duì)，那是因?yàn)槲以趍aster中有db_owner權(quán)限)的我們竟然可以使用只有sysadmin才能用的sp_oacreate及sp_oamethod吧，利用sp_oacreate，sp_oamethod我們可以說是無所不能，你可以用來寫個(gè)webshell甚至直接加個(gè)系統(tǒng)帳號(hào)。而且利用sp_oacreate及sp_oamethod寫出來的webshell可是沒有亂碼的哦。那么為什么只有 sysadmin 固定角色的成員才能執(zhí)行的 sp_OACreate、sp_oamethod(呵呵，M$講的)，而只有相對(duì)public權(quán)限的我們卻好使用，原因我也不太清楚，可能是M$送給我們的“彩蛋”吧。
可能你會(huì)問，那要是在master中是public權(quán)限,其他都是public權(quán)限的情況下，我們還能得到webshell或者系統(tǒng)權(quán)限嗎？我現(xiàn)在就告訴你，那是絕對(duì)不可能的事情，注意我的意思是說，在絕對(duì)public權(quán)限下面，你想通過存儲(chǔ)過程以及擴(kuò)展存儲(chǔ)過程,得到webshell或者系統(tǒng)權(quán)限那是絕對(duì)不可能的事情，除非你借助其他方法才有可能在絕對(duì)的public權(quán)限下面，才有可能得到webshell或者系統(tǒng)權(quán)限，單靠sql的力量是肯定不夠的。我在我的《終極利用方法》一文里面說的public權(quán)限的用戶拿到webshell甚至系統(tǒng)權(quán)限的方法至少有4種，是指在相對(duì)的public權(quán)限下面，至少有4種以上。絕對(duì)的情況下面，你想用存儲(chǔ)過程或者擴(kuò)展存儲(chǔ)過程拿到webshell或者系統(tǒng)權(quán)限是絕對(duì)不可能的。下面我來說說為什么在絕對(duì)的public權(quán)限下面是絕對(duì)不可能的.
可能會(huì)有人說可以利用sp_add_job,sp_add_jobstep,sp_add_jobserver,sp_start_job，sp_addtask這些存儲(chǔ)過程可以得到webshell或者系統(tǒng)權(quán)限啊，的確是可以，(郁悶，我在自己機(jī)器上作實(shí)驗(yàn)一次也沒成功過，肉雞上卻可以，不懂)但要在SQLSERVERAGENT服務(wù)開啟的情況下面，而且默認(rèn)是不開啟的哦，你想利用xp_servicecontrol來啟動(dòng)啊，你到查詢分析器輸入exec master..xp_servicecontrol 'start','SQLSERVERAGENT'試試看，看看是不是出現(xiàn)錯(cuò)誤拉。
就算是public可以使用的xp_regread,xp_dirtree,xp_subdirs這些稍微對(duì)你有用的存儲(chǔ)過程，就算是給你用，你在檢測(cè)對(duì)方的網(wǎng)站的時(shí)候也沒辦法用，你首先要建個(gè)表吧，然后才能把你要讀的鍵值或者你要看的盤符插到表里面吧，最后才能通過暴出來才能看見你想要看見的內(nèi)容?？墒遣灰璸ublic是沒有建表，插入，更新,備份等權(quán)限的，所以第一關(guān)你就過不去，你只能除拉select還是select。
至于其他的有危險(xiǎn)的存儲(chǔ)及擴(kuò)展存儲(chǔ)我就不一一舉例拉，不是權(quán)限不夠就是有限制。所以綜上所述，在絕對(duì)public權(quán)限下，想要只憑借sql的力量拿到webshell及系統(tǒng)權(quán)限是絕對(duì)不可能的事情(假如你可以做到的話，作個(gè)動(dòng)畫給大家看看，成功的話，那你絕對(duì)是牛人中的牛人拉。)
網(wǎng)管們也不要開心的太早拉，就算是在絕對(duì)的public權(quán)限下，只要條件成熟，sql注射配合其他手法還是可以拿到webshell的，假設(shè)你的網(wǎng)站有sql injection漏洞，但是是絕對(duì)的public權(quán)限，“”們雖然光憑sql的力量是無法得到webshell,但可以利用select暴出你的管理員密碼然后到后臺(tái)，通過上傳(或者干脆就是上傳漏洞)或者備份，修改，創(chuàng)建得到一個(gè)webshell，也可能用代替你的一個(gè)正常文件，得到webshell。當(dāng)然方法還有很多，不可能一一列舉出來。
sql injection只是腳本漏洞的冰山一腳，網(wǎng)管們不要以為杜絕拉sql injection就可以高枕無憂，就算你真的杜絕拉sql injection，可是一旦在其他地方出拉問題，列如跨站拉(中國目前至少90%以上的網(wǎng)站都有這個(gè)問題，即使大型門戶網(wǎng)站也不能幸免)，上傳拉(最近上傳漏洞的確是火拉一陣啊)，暴庫拉(通過暴庫得到數(shù)據(jù)庫名，要是后綴是asp或asa的可以插入一句話木馬)，等等，只要你一個(gè)很小的地方出現(xiàn)拉問題，那么就有可能帶來巨大的損失。在這里我想給所有網(wǎng)管們一個(gè)建議：
對(duì)于那些公開的或者是已知的漏洞和問題，我們一定要處理好，解決好，而對(duì)于那些沒有公開或者只有少數(shù)人掌握的漏洞，我們只有作好完備的防范措施，這樣才能在"災(zāi)難"來臨時(shí)把損失降到最低。
總之一句話：安全是一個(gè)整體。
后記：
可能會(huì)有人說有誰回在其他數(shù)據(jù)庫里面都是public的情況下面,而惟獨(dú)給master,db_owner權(quán)限呢？確實(shí)，這種概率確實(shí)很低。在實(shí)戰(zhàn)public提權(quán)中也沒多大利用價(jià)值。
呵呵，那要是在其他數(shù)據(jù)庫是db_owner權(quán)限，你認(rèn)為master中具有db_owner的概率大不大？我以我實(shí)戰(zhàn)的的經(jīng)歷告訴你，至少90%的網(wǎng)站會(huì)在給他默認(rèn)數(shù)據(jù)庫db_owner權(quán)限的同時(shí)，同時(shí)給master，db_owner權(quán)限，尤其是在他數(shù)據(jù)庫少的時(shí)候，只有2，3個(gè)用戶數(shù)據(jù)庫的情況下，100%在master中具有db_owner權(quán)限。呵呵，那你說在db_owner權(quán)限下利用價(jià)值大不大。而且在所有有關(guān)的書籍里面都說拉只有sysadmin才能用的sp_oacreate及sp_oamethod，所以大多數(shù)網(wǎng)管都會(huì)認(rèn)為即使我們找到注射點(diǎn)，也沒有權(quán)限使用而不會(huì)刪除。即使刪除拉，也無所謂，由于MSSQL強(qiáng)大的功能再加上大量豐富的存儲(chǔ)過程及擴(kuò)展存儲(chǔ)過程，我們還是有辦法得到webshell甚至系統(tǒng)權(quán)限的，所以說最好的方法就是杜絕sql injection。
應(yīng)該有不少人都會(huì)在看拉之后回說我在N年前就知道拉，早就會(huì)用sp_oacreate和sp_oamethod拉，不錯(cuò)，你可能很早就知道拉，我也很早就知道拉，可是你知道只要有相對(duì)public權(quán)限或者說db_owner權(quán)限也可以使用嗎？你可能還以為只有sysadmin固定服務(wù)器角色的成員才能執(zhí)行吧。
可能有的人看過以后會(huì)有人問我要工具，呵呵，其實(shí)網(wǎng)上面早就有拉，xiaolu寫sqlcomm里面有這個(gè)功能，不過我覺得不太好用自己又重新寫拉個(gè)。這里多說幾句，一直用工具的話，會(huì)把人變傻的，工具只是武器，思想才是靈魂，工具只是提高效率罷了，并不代表你的技術(shù)高超。思想決定一切。