SQL Server 存储过程利用（一）：不可信数据库

仅拥有 Public 服务器角色的 SQL Server 登录账户，即可借助原生函数枚举 AD 域用户、组和计算机。NetSPI 同步发布 PowerShell 与 Metasploit 模块，支持通过直接连接或 SQL 注入自动化完成整个攻击链。

本文通过实验演示 SQL Server 中 IMPERSONATE 权限与 EXECUTE AS 配置如何让低权限登录账户提升为 sysadmin，并提供 Metasploit 与 PowerShell 模块自动化提权流程，同时给出替代方案与修复建议。

介绍 PowerUpSQL 的实例发现功能，可分别从本机、网络和域视角枚举 SQL Server 实例，是后续敏感数据搜索或权限提升的关键第一步，命令均支持 PowerShell 管道组合。

SQL Server 使用可逆加密将凭据密码存于 master.sys.sysobjvalues 表，拥有 sysadmin 权限的攻击者可将其解密还原。NetSPI 更新了相应的 PowerShell 脚本，用于后渗透阶段的凭据恢复。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

一个 Metasploit 模块可将任意文件上传转化为 Windows 后端的 shell：生成 JSP、PHP、ASP、ASPX、CFM 等语言的 webshell，执行 base64 编码的 PowerShell 命令以运行 MSF payload，绕过杀毒软件拦截。