SQL Server 存储过程利用（二）：用户模拟

仅拥有 Public 服务器角色的 SQL Server 登录账户，即可借助原生函数枚举 AD 域用户、组和计算机。NetSPI 同步发布 PowerShell 与 Metasploit 模块，支持通过直接连接或 SQL 注入自动化完成整个攻击链。

当数据库被标记为 TRUSTWORTHY 而所有者仍是高权限账户时，Web 应用的数据库用户可借此提升至 sysadmin。文章附实验搭建指南，并提供 PowerShell、Metasploit 与 SQL 注入三种自动化利用路径及修复建议。

介绍 PowerUpSQL 的实例发现功能，可分别从本机、网络和域视角枚举 SQL Server 实例，是后续敏感数据搜索或权限提升的关键第一步，命令均支持 PowerShell 管道组合。

SQL Server 使用可逆加密将凭据密码存于 master.sys.sysobjvalues 表，拥有 sysadmin 权限的攻击者可将其解密还原。NetSPI 更新了相应的 PowerShell 脚本，用于后渗透阶段的凭据恢复。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

一个 Metasploit 模块可将任意文件上传转化为 Windows 后端的 shell：生成 JSP、PHP、ASP、ASPX、CFM 等语言的 webshell，执行 base64 编码的 PowerShell 命令以运行 MSF payload，绕过杀毒软件拦截。