攻击应用程序专用的 SQL Server 实例

配置不当的 SQL Server 链接服务器（Linked Servers）可被攻击者用来在数据库链接网络中穿行、越权读取数据乃至部署 shell。文章介绍通过 sysservers 表、sp_linkedservers 与 SSMS 枚举链接，以及评估链接可达性与权限时的关键设置。

Scott Sutherland 分享了在 SQL Server 中快速定位敏感数据的脚本：TSQL 脚本 FindDataByKeyword.sql 无需 SYSADMIN 权限，按关键字搜索各数据库中匹配的列并抽样数据；另提供 Metasploit 辅助模块 mssql_findandsampledata.rb 作为封装，适合 PCI 渗透测试取证。

NetSPI 演示如何滥用 SQL Server 自带的 OSQL 命令行工具：通过 UDP 广播枚举网络中的 SQL Server 实例，并借助「可信连接」（-E）在无需口令的情况下连库，进而执行任意 TSQL 查询获取敏感信息，是内网横向的经典路径。

PowerUpSQL 新增 Get-SQLServerLinkCrawl 函数：在拿到初始 SQL Server 权限后自动爬取所有可达的 linked server 路径，枚举实例版本、链接用户权限与链路拓扑，并支持用 -Query 参数在链路上执行任意 SQL（含 xp_cmdshell 与 xp_dirtree）。

演示如何利用 PowerUpSQL 和 xp_regwrite 扩展存储过程通过 SQL Server 写入 Windows 注册表 Run 键实现持久化后门，执行权限继承 SQL Server 服务账户，适合渗透测试与红队参考。

介绍通过 SQL Server 的 xp_regread 扩展存储过程配合 PowerUpSQL 读取 Windows 自动登录明文口令的方法，并梳理 SQL Server 2000 SP4 后低权限登录可访问的注册表路径及其利用价值。