When Databases Attack: Hacking with the OSQL Utility

配置不当的 SQL Server 链接服务器（Linked Servers）可被攻击者用来在数据库链接网络中穿行、越权读取数据乃至部署 shell。文章介绍通过 sysservers 表、sp_linkedservers 与 SSMS 枚举链接，以及评估链接可达性与权限时的关键设置。

PowerUpSQL 新增 Get-SQLServerLinkCrawl 函数：在拿到初始 SQL Server 权限后自动爬取所有可达的 linked server 路径，枚举实例版本、链接用户权限与链路拓扑，并支持用 -Query 参数在链路上执行任意 SQL（含 xp_cmdshell 与 xp_dirtree）。

Scott Sutherland 分享了在 SQL Server 中快速定位敏感数据的脚本：TSQL 脚本 FindDataByKeyword.sql 无需 SYSADMIN 权限，按关键字搜索各数据库中匹配的列并抽样数据；另提供 Metasploit 辅助模块 mssql_findandsampledata.rb 作为封装，适合 PCI 渗透测试取证。

SQL Server Express 默认将连接权限授予 BUILTIN\Users 组，而 NT AUTHORITY\Authenticated Users 又包含全部域用户和计算机账户，导致域内任何用户都能连接开启了 TCP 监听的默认实例，进而可能接触敏感数据并横向扩展。作者给出攻击演示与修复建议。

NetSPI 发布在 Secure360 大会上的《When Databases Attack》修订版演讲，新增了基于反馈的 SQL 脚本示例，并预告正在开发中的数据库蠕虫原型——利用 SQL Server 信任关系进行传播并回连控制端，当时已提交 DEF CON 19 议题。

NetSPI 剖析 MS SQL Server 的常见受信入口：应用账号常被授予 sysadmin 甚至直接使用 SA，本地管理员组在 2008 之前默认继承 sysadmin，DBA 与服务账号权限也普遍过大；攻击者可借这些受信账号执行任意查询，建议落实最小权限与审计。