SQL注入实战低权限服务账户下如何以内网跳板实现C2上线收藏必备本文通过实战案例展示了在MSSQL注入中当xp_cmdshell仅以低权限服务账户执行时如何利用注入点作为内网跳板。通过堆叠查询发现并利用xxl_job和nacos等服务成功写入计划任务实现反弹shell最终通过二开C2上线。此方法强调了SQL注入的“执行任意SQL”本质为攻击者提供了新的思路和技巧。SQL注入上线的新姿势——当 xp_cmdshell 只剩个低权限服务账户时注入点本身就是最好的内网跳板最近打了一场攻防踩到一条挺有意思的上线路径——跟平时 SQL 注入拿 shell 的老套路不太一样整理出来跟大家一起分享。01 入口老朋友 MSSQL 注入入口本身没什么花活就是一个很经典的 MSSQL 报错注入。字符型闭合堆叠查询可用。先按惯例丢了个 xp_cmdshell 的探活 payload 试试水▲ 报错注入外带 whoami 执行结果命令执行是通的结果通过类型转换报错外带回来了——但跑出来的身份是 NT SERVICE/MSSQL$HIS一个低权限的 MSSQL 服务账户。想靠 xp_cmdshell 直接提权上线这条路基本堵死。02 转折库里藏着好东西命令执行有了但身份太low。本来打算把拖数据、翻配置这些体力活交给 AI 干结果在翻库的时候有了意外收获——这个实例里还挂着 xxl_job 和 nacos 的库。▲ AI 辅助从 Nacos 配置中心逐个掏配置文件顺着 Nacos 往下翻配置文件一个个往外掏blade-prod.yml 里的数据库与 Redis 配置、blade-gateway-prod.yml 里的 JWT sign-key、blade-xxljob-admin-prod.yml 的控制台密码全都到手。更关键的是——Nacos 里的数据源就是应用的真实连接方式TiDB 开在 3399 端口走 MySQL 协议root 直连数据源密码即 root 密码。也就是说通过这一条 SQL 注入我们等于同时握住了 xxl-job 控制台的钥匙 和 内网数据库的 root。03 利用往库里写计划任务直接往xxl_job的数据库里面写反弹shell▲ nc 监听 8890 端口收到目标 root 权限回连nc 那头很快收到回连——还是 root当前正坐在应用的 jar 部署目录里。04 上线二开 C2 首秀拿到 shell 只是第一步目标是要把这台机器稳稳送上 C2。目标环境里的防护设备有点猛刚好拿最近二开的 C2 练练手。▲ C2 会话顺利上线CentOS x64whoami 回显 root会话顺利上线CentOS x64whoami 回显 root稳。05 总结这次上线和以前玩的 xp_cmdshell、CLR 提权不太一样没有执着于把 MSSQL 服务账户一路提权提到底而是利用 SQL 注入「能执行任意 SQL」这个本质性质把注入点当成内网数据库的探针——去查这台实例上还挂着哪些库、哪些服务再借 xxl-job、Tomcat 这些现成的服务完成 RCE。一句话总结这条链路SQL注入 → MSSQL堆叠查询 → 横向翻库 → xxl_job / Tomcat → RCE → C2上线当 xp_cmdshell 跑出来的只是个低权限服务账户、提权又没戏的时候别死磕系统 shell——注入点本身就是最好的内网跳板。想从事网络安全的同学找工作最怕“理论都懂实战发懵”。在面试中HR和面试官更看重你对真实攻防场景的理解和动手能力。为了帮大家搞定面试我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。从零到精通完整闭环基础攻防→渗透测试→应急响应→CTF实战5大模块200课时比大学教材更贴近企业实战”涵盖渗透测试案例分析与实战技巧直接对应面试真题包含CTF竞赛基础与HW行动攻防对抗实录丰富你的简历项目经验深入十大安全漏洞与利用技巧掌握这些高阶技能实战SRC挖洞赚钱。实战教学专属靶场掌握这些高阶技能谈薪更有底气。无论你是找渗透测试岗还是安全服务岗这些项目都是加分项。点击下方链接补齐实战短板拿下心仪Offer**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 ***安全链接放心点击**