讲解SQL Server数据库触发器的安全隐患

首次更新时，汪财的usersign字段里没有内容，而SQL Server里null加任何数都是null，所以需要判断is null之后，给null赋值为一个空格。其他几个字段的方法和这里大同小异，只是一个转换nvarchar和“”的组合时多了点。最后判断如果字段内容太多就不再写了，为了提高性能，也可以把最后的判断写在前面，一旦数据过多，就不需要再继续执行了。

CREATE TRIGGER 权限默认授予定义触发器的表所有者、sysadmin 固定服务器角色成员以及 db_owner 和 db_ddladmin 固定数据库角色成员，并且不可转让。

需要的环境

本文需要的环境是已经获取了sql服务器的以上其中一个权限，目的是为了留下隐蔽的后门，不被管理员发现。即使发现了也是加密的(可以破解，不过有些管理员不懂，也不会注意，相关信息google下)。

触发器是在对表进行插入(insert)、更新(update)或删除(delete)操作时，自动执行的存储过程。最常见用于执行敏感数据操作时做历史记录。

本文以动网论坛dvbbs为例，我们已经拿到了db_owner权限(注意：并不是说dvbbs本身有漏洞)。因为只是db_owner权限，所以读者想去执行“xp_cmdshell”，就不在本文范围了，相信读过本文后，只要有系统权限，做个系统的后门也是简单的。先回想一下通常我们使用数据库时要做什么和关心什么。

为什么要使用触发器作后门？

管理员首先会把sql文件执行下，然后导入mdb的内容，平时使用顶多备份下，还原下。通常不会有人去看触发器的内容，查看触发器可以使用命令“exec sp_helptrigger 'dv_admin'”，或者在企业管理器中选择“管理触发器”。因为动网根本没有用到触发器，也没有提到触发器，所以动网的管理员不会去看的。于是我们在里面写的内容就相对安全了。

思路

触发器主要是用来做历史记录的，当然可以把管理员更改密码和添加用户的历史记录下。放进一个管理员通常不会注意的、普通用户又可以看到的地方。

动网的密码有md5加过密的，加密的操作是asp程序在服务器上来完成的，等数据库拿到数据的时候已经是加过密的了。但是动网同时把密码以明文方式放入dv_log表中，就给了我们方便。只要拿到dv_log表中l_content字段的内容，然后判断是否管理员在执行敏感操作，后门思路就形成了。

使用过程――代码解析

代码片断：创建触发器。

create trigger dv_admin_history 
on Dv_log 
with encryption 
for insertas 
as

取出来的值应该放入一个普通用户能看到的地方，这样只要有了普通用户的权限就可以看到密码。动网数据库中，最大并且可以存放数据的字段管理员通常都会看到。所以必须找出来一个管理员不会看，而其他用户也不会注意的地方。

我选择放在一个新建用户的用户信息里（以下通称这个用户为“汪财”，亲切点），这样我们登陆时就可以看到了（注意：登陆时有日志的，记录最后登陆ip，大家自己解决）。 

有以下几个字段适于存放：

1、Userphoto，字段类型：varchar(255)。记录了汪财的照片地址。可以存放小于255的数据。