Executing SMB Relay Attacks via SQL Server using Metasploit

仅拥有 Public 服务器角色的 SQL Server 登录账户，即可借助原生函数枚举 AD 域用户、组和计算机。NetSPI 同步发布 PowerShell 与 Metasploit 模块，支持通过直接连接或 SQL 注入自动化完成整个攻击链。

本文通过实验演示 SQL Server 中 IMPERSONATE 权限与 EXECUTE AS 配置如何让低权限登录账户提升为 sysadmin，并提供 Metasploit 与 PowerShell 模块自动化提权流程，同时给出替代方案与修复建议。

当数据库被标记为 TRUSTWORTHY 而所有者仍是高权限账户时，Web 应用的数据库用户可借此提升至 sysadmin。文章附实验搭建指南，并提供 PowerShell、Metasploit 与 SQL 注入三种自动化利用路径及修复建议。

发布 Metasploit 后渗透模块 mssql_local_auth_bypass：获得本地管理员 Meterpreter 会话后，可绕过 SQL Server 2008+ 的权限分离限制并创建 sysadmin 登录；配套模块还能按关键词搜索库中信用卡、密码等敏感数据并导出 CSV。

NetSPI 在 OWASP AppSec 2012（Austin）演讲的配套资料：围绕 SQL Server 的信任关系、错误配置与弱默认设置讲解如何获取高价值系统与敏感数据，并发布配套 Metasploit 模块、TSQL 脚本与演示视频。

SQL Server 2008/2012 默认不再授予本地管理员 sysadmin 权限，但内置 SYSTEM 账户（NT AUTHORITY\SYSTEM）仍在 sysadmin 角色中：攻击者只需以本地管理员身份 psexec 提权到 SYSTEM，再用 osql 可信连接即可完全控制数据库；2012 下可迁移至服务进程绕过。