SQL Server 存储过程利用（三）：SQL 注入

本文详解二阶 SQL 注入的检测与利用：在 Excel 报表导出功能中植入载荷，借助 xp_dirtree 存储过程的 UNC 路径注入触发后端 DNS 请求，带外（OOB）泄露数据库用户、表名与服务账户信息。

SQL 注入最有效的防线在数据库层：强制所有数据访问经由参数化的存储过程，并将用户权限限制在 CONNECT 与 EXECUTE，让任意 SQL 语句直接失败。

分析为何 SQL Server 是常被忽视的持久化载体：启动存储过程在服务重启时自动执行，且以服务账户（常为 LocalSystem）身份运行、难以用 FIM 监控，文章涵盖检测、审计、清除与 PowerUpSQL 自动化。

仅拥有 Public 服务器角色的 SQL Server 登录账户，即可借助原生函数枚举 AD 域用户、组和计算机。NetSPI 同步发布 PowerShell 与 Metasploit 模块，支持通过直接连接或 SQL 注入自动化完成整个攻击链。

本文通过实验演示 SQL Server 中 IMPERSONATE 权限与 EXECUTE AS 配置如何让低权限登录账户提升为 sysadmin，并提供 Metasploit 与 PowerShell 模块自动化提权流程，同时给出替代方案与修复建议。

当数据库被标记为 TRUSTWORTHY 而所有者仍是高权限账户时，Web 应用的数据库用户可借此提升至 sysadmin。文章附实验搭建指南，并提供 PowerShell、Metasploit 与 SQL 注入三种自动化利用路径及修复建议。