SQL Server – Link….. Link….. Link….. and Shell: How to Hack Database Links in SQL Server!

PowerUpSQL 新增 Get-SQLServerLinkCrawl 函数：在拿到初始 SQL Server 权限后自动爬取所有可达的 linked server 路径，枚举实例版本、链接用户权限与链路拓扑，并支持用 -Query 参数在链路上执行任意 SQL（含 xp_cmdshell 与 xp_dirtree）。

NetSPI 演示如何滥用 SQL Server 自带的 OSQL 命令行工具：通过 UDP 广播枚举网络中的 SQL Server 实例，并借助「可信连接」（-E）在无需口令的情况下连库，进而执行任意 TSQL 查询获取敏感信息，是内网横向的经典路径。

Scott Sutherland 分享了在 SQL Server 中快速定位敏感数据的脚本：TSQL 脚本 FindDataByKeyword.sql 无需 SYSADMIN 权限，按关键字搜索各数据库中匹配的列并抽样数据；另提供 Metasploit 辅助模块 mssql_findandsampledata.rb 作为封装，适合 PCI 渗透测试取证。

MSSQL 链接服务器凭据以可逆加密方式存储，拥有 sysadmin 权限的攻击者可借助公开的 PowerShell 脚本恢复明文密码。文章同时从防御角度提示：不必要的数据库链接、过高权限及使用 SQL 身份验证而非集成身份验证都会带来额外风险。

SQL Server Express 默认将连接权限授予 BUILTIN\Users 组，而 NT AUTHORITY\Authenticated Users 又包含全部域用户和计算机账户，导致域内任何用户都能连接开启了 TCP 监听的默认实例，进而可能接触敏感数据并横向扩展。作者给出攻击演示与修复建议。

NetSPI 发布在 Secure360 大会上的《When Databases Attack》修订版演讲，新增了基于反馈的 SQL 脚本示例，并预告正在开发中的数据库蠕虫原型——利用 SQL Server 信任关系进行传播并回连控制端，当时已提交 DEF CON 19 议题。