1. MSSQL低权限下的突围方案
在MSSQL数据库中，低权限账户通常只能执行一些限定的操作，如查询数据库、执行存储过程等。但是，在某些情况下，我们需要使用低权限账户来访问数据库，并且需要执行一些高权限的操作。
这时候，我们需要使用一些技巧和方法来绕过限制，实现低权限账户对数据库的操作。下面是一些实用的突围方案。
1.1 利用MSSQL代理进行提权
在MSSQL的安全模式中，只有sysadmin权限的账户才能够对数据库进行安装、配置等操作。但是，我们可以使用MSSQL代理的功能，通过代理的方式使用sysadmin权限执行某些操作，从而实现提权的目的。
举个例子，假设我们需要创建一个新的数据库用户，但是我们只有dbreader权限。我们可以使用以下的方法：
-- 创建代理账户
CREATE LOGIN proxy_user WITH PASSWORD = 'password1'
-- 授权代理账户使用xp_cmdshell
sp_configure 'show advanced options', 1
RECONFIGURE
sp_configure 'xp_cmdshell', 1
RECONFIGURE
GRANT EXECUTE ON xp_cmdshell TO proxy_user
-- 创建一个代理作业
EXEC msdb.dbo.sp_add_job @job_name = 'proxy_job'
EXEC msdb.dbo.sp_add_jobstep @job_name = 'proxy_job', @step_name = 'proxy_step', @subsystem = 'CMDEXEC', @command = 'whoami', @on_success_action = 3, @on_fail_action = 2
EXEC msdb.dbo.sp_add_jobserver @job_name = 'proxy_job', @server_name = @@servername
-- 授权代理账户使用作业
EXEC msdb.dbo.sp_grant_proxy_to_subsystem @proxy_name = 'proxy_user', @subsystem_name = 'CMDEXEC'
-- 执行作业
EXEC msdb.dbo.sp_start_job @job_name = 'proxy_job'
在上述的代码中，我们创建了一个名为“proxy_user”的代理账户，授权了该账户使用xp_cmdshell，并创建了一个代理作业“proxy_job”，作业内容为执行whoami命令。最后，我们通过sp_grant_proxy_to_subsystem将代理账户授权给CMDEXEC子系统，然后使用sp_start_job执行作业。
运行以上代码后，我们可以看到“proxy_job”的执行结果，该结果是在代理账户的权限下执行的whoami命令，输出的是“NT AUTHORITY\SYSTEM”。
需要注意的是，在实际应用中，我们需要谨慎使用MSSQL代理，防止出现安全漏洞。
1.2 使用CLR集成安全机制
CLR（Common Language Runtime）是.NET Framework的一个核心组件，可以在MSSQL数据库中使用。如果我们需要进行一些高级的操作，并且低权限账户无法完成，我们可以使用CLR进行扩展。
CLR可以直接调用.NET Framework中的代码，因此可以实现一些高级的功能，例如创建Windows服务、写入Windows注册表等操作。
通过CLR集成安全机制，我们可以让低权限账户使用CLR中的高级函数，以实现一些高级功能。
1.3 利用SQL Server代理账户
在MSSQL数据库中，SQL Server代理是系统自带的一个功能，可以管理SQL Server Agent的作业、弹性作业和警报等。使用SQL Server代理，我们可以在数据库中执行一些高级的作业、操作系统命令等操作。
与MSSQL代理不同的是，SQL Server代理可以使用sysadmin账户创建并配置。由于SQL Server代理是针对特定的实例而非数据库级别的，因此具有较高的安全性和权限限制。
对于低权限账户，我们可以通过命令EXECUTE AS LOGIN='proxy_account'指定代理账户，从而以代理账户的权限执行某些操作。例如，如果我们需要在SQL Server代理中创建一个新的作业，但是当前账户没有足够的权限时，可以使用以下代码：
CREATE LOGIN proxy_account WITH PASSWORD='password1'
CREATE USER proxy_user FOR LOGIN proxy_account
EXEC sp_addrolemember 'SQLAgentOperatorRole', 'proxy_user'
EXECUTE AS LOGIN='proxy_account'
EXEC msdb.dbo.sp_add_job @job_name='test_job'
REVERT;
在上述代码中，我们创建了一个名为“proxy_account”的代理账户，然后创建了该账户的数据库用户“proxy_user”，并授予该用户SQLAgentOperatorRole的角色权限。接着，我们使用EXECUTE AS命令指定代理账户来执行某些操作，在这个例子中是创建一个新的作业。
2. 总结
在MSSQL低权限突围中，我们可以使用多种方法来提升低权限账户的操作权限。例如，使用MSSQL代理进行提权、使用CLR集成安全机制、利用SQL Server代理账户等。
不过，在使用这些方法时，我们需要注意安全性，并遵守MSSQL数据库的相关规定。同时，我们也需要根据实际情况，选择最适合的突围方案。