用途：面向 SQL Server 的安全测试与利用流程指引，适用于目标开放 1433（或 UDP 1434）端口、存在 SA 弱口令、允许远程连接，或已在 SQL 注入场景中需要提取数据、执行命令的情形。
主要能力：分阶段覆盖服务发现（nmap -sV -p 1433、ms-sql-info 脚本、sqlcmd/mssqlclient.py/sqsh 连接测试）、认证检测（SA 默认口令枚举、hydra、medusa、Metasploit mssql_login）、攻击决策树（按 sysadmin、普通用户、SQL 注入三类权限分支）、RCE（xp_cmdshell、sp_OACreate COM、CLR、BULK INSERT/OPENROWSET 文件读取）、横向移动与持久化（Linked Server、EXEC AT、SQL Agent Job）、数据提取与提权（数据库与表枚举、sys.sql_logins 凭据提取、创建登录并加 sysadmin、IMPERSONATE）。
使用方式：以 sqlcmd -S TARGET -U sa -P 'password' -Q "..." 执行查询；mssqlclient.py sa:'password'@TARGET 进入交互后可用 enable_xp_cmdshell、xp_cmdshell、enum_db、enum_logins 等命令；组合命令保持原样执行。详细命令与 payload 需阅读技能内 references/attack-techniques.md。
限制与注意：xp_cmdshell 启用会写入日志，用完应禁用；sp_OACreate 执行命令无直接回显，需写文件或外带获取输出；Linked Server 权限取决于映射账户配置；SQL Agent Job 需 Agent 服务运行；BULK INSERT 需服务账户具备文件读取权限；云托管实例（Azure SQL/RDS）通常禁用 xp_cmdshell 与文件系统访问；Windows 认证需先取得域凭据；password_hash 提取后可配合 hashcat 模式 1731 破解。