【IT168 专稿】前言：

    笔者的一位朋友应聘到一家公司做网管，据说整个机房就他们俩人，工作很轻松。几乎是没什么事做，但是昨天突然给我打电话说是机房被入侵了，被人加了很多用户并且什么cain，arpspoof全都丢到服务器上了，想让笔者帮忙看看是怎么渗透进去的，于是乎在敲诈了一顿烤鸭之后笔者终于出手了。在经过朋友的同意之后特意将本文写出来！

    这哥们也够狠，除了丢给我个IP其他什么都没给我！IP是202.108.59.XX。没办法，自食其力。用superscan扫了下，发现开了21.80.1433 这三个端口，因为我只扫1-3389 。并没看见终端的3389。看来这家伙是怕了，直接把3389给关掉了。 用旁注的工具检测了下，发现服务器有两个网站。两个都是ASP的站，不用多说了。先寻找注射点吧，使用两个啊D都打开google 搜索site:xxxx.com，一页显示一百条，扫了半天只发现一个站有注射点，居然还是SA权限！不被黑才怪！

如图1

    既然是SA权限，马上准备传个VBS上去，先开了3389在说，但是搞了半天居然用啊D不能列目录！telnet了一下目标服务器的1433发现端口可以外连，于是在注射点后面使用：
    exec master.dbo.sp_addlogin sadfish fish;
    exec master.dbo.sp_addsrvrolemember sadfish,sysadmin
    来添加一个用户名为sadfish密码为fish的SQL server用户权限为SA 。在页面执行两次都返回成功，说明添加成功了，马上打开查询分析器连上，成功连接，但是所有的存储过程都被删掉了。

如图2