企业官网建设流程全解析

SQL注入实战：低权限服务账户下如何以内网跳板实现C2上线（收藏必备）

本文通过实战案例，展示了在MSSQL注入中，当xp_cmdshell仅以低权限服务账户执行时，如何利用注入点作为内网跳板。通过堆叠查询，发现并利用xxl_job和nacos等服务，成功写入计划任务实现反弹shell，最终通过二开C2上线。此方法强调了SQL注入的“执行任意SQL”本质，为攻击者提供了新的思路和技巧。

SQL注入上线的新姿势

——当 xp_cmdshell 只剩个低权限服务账户时，注入点本身就是最好的内网跳板

最近打了一场攻防，踩到一条挺有意思的上线路径——跟平时 SQL 注入拿 shell 的老套路不太一样，整理出来跟大家一起分享。

01 入口：老朋友 MSSQL 注入

入口本身没什么花活，就是一个很经典的 MSSQL 报错注入。字符型闭合，堆叠查询可用。先按惯例丢了个 xp_cmdshell 的探活 payload 试试水：

▲ 报错注入外带 whoami 执行结果

命令执行是通的，结果通过类型转换报错外带回来了——但跑出来的身份是 NT SERVICE/MSSQL$HIS，一个低权限的 MSSQL 服务账户。

想靠 xp_cmdshell 直接提权上线？这条路基本堵死。

02 转折：库里藏着好东西

命令执行有了，但身份太low。本来打算把拖数据、翻配置这些体力活交给 AI 干，结果在翻库的时候有了意外收获——这个实例里还挂着 xxl_job 和 nacos 的库。

▲ AI 辅助从 Nacos 配置中心逐个掏配置文件

顺着 Nacos 往下翻，配置文件一个个往外掏：blade-prod.yml 里的数据库与 Redis 配置、blade-gateway-prod.yml 里的 JWT sign-key、blade-xxljob-admin-prod.yml 的控制台密码，全都到手。

更关键的是——Nacos 里的数据源就是应用的真实连接方式：TiDB 开在 3399 端口走 MySQL 协议，root 直连，数据源密码即 root 密码。

也就是说，通过这一条 SQL 注入，我们等于同时握住了 xxl-job 控制台的钥匙 和 内网数据库的 root。

03 利用：往库里写计划任务

直接往xxl_job的数据库里面写反弹shell

▲ nc 监听 8890 端口，收到目标 root 权限回连

nc 那头很快收到回连——还是 root，当前正坐在应用的 jar 部署目录里。

04 上线：二开 C2 首秀

拿到 shell 只是第一步，目标是要把这台机器稳稳送上 C2。目标环境里的防护设备有点猛，刚好拿最近二开的 C2 练练手。

▲ C2 会话顺利上线，CentOS x64，whoami 回显 root

会话顺利上线，CentOS x64，whoami 回显 root，稳。

05 总结

这次上线和以前玩的 xp_cmdshell、CLR 提权不太一样：没有执着于把 MSSQL 服务账户一路提权提到底，而是利用 SQL 注入「能执行任意 SQL」这个本质性质，把注入点当成内网数据库的探针——去查这台实例上还挂着哪些库、哪些服务，再借 xxl-job、Tomcat 这些现成的服务完成 RCE。

一句话总结这条链路：

SQL注入 → MSSQL堆叠查询 → 横向翻库 → xxl_job / Tomcat → RCE → C2上线

当 xp_cmdshell 跑出来的只是个低权限服务账户、提权又没戏的时候，别死磕系统 shell——注入点本身，就是最好的内网跳板。

想从事网络安全的同学，找工作最怕“理论都懂，实战发懵”。在面试中，HR和面试官更看重你对真实攻防场景的理解和动手能力。

为了帮大家搞定面试，我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**：

知识库由360智榜样学习中心独家打造出品，旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力，熟练掌握基础攻防到深度对抗。

从零到精通完整闭环：基础攻防→渗透测试→应急响应→CTF实战，5大模块200+课时，比大学教材更贴近企业实战！”

• 涵盖渗透测试案例分析与实战技巧，直接对应面试真题；
• 包含CTF竞赛基础与HW行动攻防对抗实录，丰富你的简历项目经验；
• 深入十大安全漏洞与利用技巧，掌握这些高阶技能，实战SRC挖洞赚钱。

🎁实战教学，专属靶场：掌握这些高阶技能，谈薪更有底气。无论你是找渗透测试岗还是安全服务岗，这些项目都是加分项。

👇点击下方链接，补齐实战短板，拿下心仪Offer：

**读者福利 |***CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 ***（安全链接，放心点击）**