Adding PowerShell to Web Shells to get Database Access

SQL Server 使用可逆加密将凭据密码存于 master.sys.sysobjvalues 表，拥有 sysadmin 权限的攻击者可将其解密还原。NetSPI 更新了相应的 PowerShell 脚本，用于后渗透阶段的凭据恢复。

IIS applicationHost.config 中加密存储的应用程序池与虚拟目录凭据，可通过 appcmd.exe 或 Get-ApplicationHost.ps1 脚本解密还原，攻击者借此获得有效账户，从失陷的 DMZ Web 服务器向内网横向渗透。

一个 Metasploit 模块可将任意文件上传转化为 Windows 后端的 shell：生成 JSP、PHP、ASP、ASPX、CFM 等语言的 webshell，执行 base64 编码的 PowerShell 命令以运行 MSF payload，绕过杀毒软件拦截。

MSSQL 链接服务器凭据以可逆加密方式存储，拥有 sysadmin 权限的攻击者可借助公开的 PowerShell 脚本恢复明文密码。文章同时从防御角度提示：不必要的数据库链接、过高权限及使用 SQL 身份验证而非集成身份验证都会带来额外风险。

作者逆向调试 w3wp.exe 与 System.Web.dll，梳理 IIS 处理 ASPX 文件的完整机制：站点/应用程序/AppPool 的层级关系、首次访问时经 csc.exe 编译为 DLL 并缓存在 Temporary ASP.NET Files 目录、虚拟路径与编译缓存的映射算法（code gen dir）等，为相关攻击向量（如利用缓存机制落地后门）提供基础。

ADPathFinder 将 SharpHound 与 MSSQLHound、ConfigManBearPig 等 OpenGraph 采集器数据统一进 BloodHound CE 图谱，自动映射跨越 AD、ADCS、MSSQL 与 SCCM 的提权路径，并可为破解出的口令关联组成员身份、委派等风险上下文。