尧图网络 高端网站定制 · 原创设计
免费咨询热线
400-888-6620
免费获取方案
SQL注入实战:低权限服务账户下如何以内网跳板实现C2上线(收藏必备)
SQL注入实战低权限服务账户下如何以内网跳板实现C2上线收藏必备本文通过实战案例展示了在MSSQL注入中当xp_cmdshell仅以低权限服务账户执行时如何利用注入点作为内网跳板。通过堆叠查询发现并利用xxl_job和nacos等服务成功写入计划任务实现反弹shell最终通过二开C2上线。此方法强调了SQL注入的“执行任意SQL”本质为攻击者提供了新的思路和技巧。SQL注入上线的新姿势——当 xp_cmdshell 只剩个低权限服务账户时注入点本身就是最好的内网跳板最近打了一场攻防踩到一条挺有意思的上线路径——跟平时 SQL 注入拿 shell 的老套路不太一样整理出来跟大家一起分享。01 入口老朋友 MSSQL 注入入口本身没什么花活就是一个很经典的 MSSQL 报错注入。字符型闭合堆叠查询可用。先按惯例丢了个 xp_cmdshell 的探活 payload 试试水▲ 报错注入外带 whoami 执行结果命令执行是通的结果通过类型转换报错外带回来了——但跑出来的身份是 NT SERVICE/MSSQL$HIS一个低权限的 MSSQL 服务账户。想靠 xp_cmdshell 直接提权上线这条路基本堵死。02 转折库里藏着好东西命令执行有了但身份太low。本来打算把拖数据、翻配置这些体力活交给 AI 干结果在翻库的时候有了意外收获——这个实例里还挂着 xxl_job 和 nacos 的库。▲ AI 辅助从 Nacos 配置中心逐个掏配置文件顺着 Nacos 往下翻配置文件一个个往外掏blade-prod.yml 里的数据库与 Redis 配置、blade-gateway-prod.yml 里的 JWT sign-key、blade-xxljob-admin-prod.yml 的控制台密码全都到手。更关键的是——Nacos 里的数据源就是应用的真实连接方式TiDB 开在 3399 端口走 MySQL 协议root 直连数据源密码即 root 密码。也就是说通过这一条 SQL 注入我们等于同时握住了 xxl-job 控制台的钥匙 和 内网数据库的 root。03 利用往库里写计划任务直接往xxl_job的数据库里面写反弹shell▲ nc 监听 8890 端口收到目标 root 权限回连nc 那头很快收到回连——还是 root当前正坐在应用的 jar 部署目录里。04 上线二开 C2 首秀拿到 shell 只是第一步目标是要把这台机器稳稳送上 C2。目标环境里的防护设备有点猛刚好拿最近二开的 C2 练练手。▲ C2 会话顺利上线CentOS x64whoami 回显 root会话顺利上线CentOS x64whoami 回显 root稳。05 总结这次上线和以前玩的 xp_cmdshell、CLR 提权不太一样没有执着于把 MSSQL 服务账户一路提权提到底而是利用 SQL 注入「能执行任意 SQL」这个本质性质把注入点当成内网数据库的探针——去查这台实例上还挂着哪些库、哪些服务再借 xxl-job、Tomcat 这些现成的服务完成 RCE。一句话总结这条链路SQL注入 → MSSQL堆叠查询 → 横向翻库 → xxl_job / Tomcat → RCE → C2上线当 xp_cmdshell 跑出来的只是个低权限服务账户、提权又没戏的时候别死磕系统 shell——注入点本身就是最好的内网跳板。想从事网络安全的同学找工作最怕“理论都懂实战发懵”。在面试中HR和面试官更看重你对真实攻防场景的理解和动手能力。为了帮大家搞定面试我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。从零到精通完整闭环基础攻防→渗透测试→应急响应→CTF实战5大模块200课时比大学教材更贴近企业实战”涵盖渗透测试案例分析与实战技巧直接对应面试真题包含CTF竞赛基础与HW行动攻防对抗实录丰富你的简历项目经验深入十大安全漏洞与利用技巧掌握这些高阶技能实战SRC挖洞赚钱。实战教学专属靶场掌握这些高阶技能谈薪更有底气。无论你是找渗透测试岗还是安全服务岗这些项目都是加分项。点击下方链接补齐实战短板拿下心仪Offer**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 ***安全链接放心点击**
RELATED

相关推荐

2026年AI安全上市公司梳理:产品、认证与商业化进展

2026年AI安全上市公司梳理:产品、认证与商业化进展

随着大模型和智能体逐步进入企业业务流程,网络安全企业面临两类新需求:一是防范提示词注入、敏感数据泄露、模型输出风险等AI应用安全问题;二是利用AI提升威胁分析、告警研判和安全运营效率。因此,分析网络安全AI概念股&#xff0…

📅 2026/10/14 2:29:58
PLC数据处理指令详解:从传送比较到移位转换的实战应用

PLC数据处理指令详解:从传送比较到移位转换的实战应用

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

📅 2026/10/14 2:29:58
DeepSeek私有化部署全攻略:SpringBoot集成与语音图片交互实战

DeepSeek私有化部署全攻略:SpringBoot集成与语音图片交互实战

最近一直在折腾大模型私有化部署这件事,从年初开始陆续把几个开源模型搬到内网试过,踩了不少坑,也总结出一套比较顺手的链路。这篇就完整聊聊“私有化部署DeepSeek SpringBoot集成 带语音和图片的UI交互”整条路线,给正准备把大…

📅 2026/10/14 2:24:58
MORE NEWS

更多资讯

📰

白字配亮色背景肉眼没问题,体检为何仍失败:HarmonyOS 7 动态对比度怎么守住状态切换

白字配亮色背景肉眼没问题,体检为何仍失败:HarmonyOS 7 动态对比度怎么守住状态切换 DevEco Studio 26.0 场景化体检把色彩对比度纳入基础检查。真正容易失败的不是固定黑白页面,而是渐变、图片裁剪、半透明遮罩、禁用态和深浅色切换&#x…

📰

Python logging配置全解析:从basicConfig到dictConfig的工程选型与实战

尝试了整整一个下午,我才弄明白一件事:Python内置logging模块的配置方式,远不止“用basicConfig打两行”这么简单。当时我的服务端项目已经出现这种局面——控制台要打印INFO级别,订单模块要单独落文件,生产环境希望不…

📰

微反应器与超临界技术:化工制药高效解决方案

1. 反应器技术演进与行业需求反应器作为化工、制药、能源等领域的核心设备,其技术发展始终与工业生产需求紧密相连。传统搅拌釜反应器虽然结构简单,但在传质传热效率、反应选择性等方面存在明显局限。以制药行业为例,2015-2020年间因混合不均…

📰

一根网线跑两个网段:广播域和子网,到底是不是一回事?

一根网线跑两个网段:广播域和子网,到底是不是一回事?一次内网排查中撞见一个"怪现象",逼着我把一个自以为很熟的基础概念重新想了一遍。结论是:很多人(包括当时的我)把"广播域&q…

📰

避让区回调拿到 0,不代表可以贴边:HarmonyOS 7 沉浸式布局怎么处理动态安全区

避让区回调拿到 0,不代表可以贴边:HarmonyOS 7 沉浸式布局怎么处理动态安全区 沉浸式布局让内容延伸到整个窗口,但关键组件必须避开状态栏、导航区域和挖孔。官方文档特别提醒避让区域可能返回 0;0 可能表示系统界面暂时隐藏&…

📰

airllm逐层加载实战:4GB显存如何跑70B大模型

1. 当显存告急时,我们还能怎么跑大模型显存不够这件事,几乎每个在本地折腾过大模型的人都遇到过。你兴冲冲下载了一个 70B 参数的模型权重,打开推理脚本,结果第一行就给你甩回来一个CUDA out of memory。显卡就那么大,…

TODAY

今日更新

THIS WEEK

本周精选

THIS MONTH

本月热门

读完文章,想聊聊您的网站?

告诉我们您的行业与需求,资深顾问一对一梳理方案与报价,全程免费。

📞 💬