用同样的方法当然可把密码改原来的值。
2、利用表内容导成文件功能
SQL有BCP命令，它可以把表的内容导成文本文件并放到指定位置。利用这项功能，我们可以先建一张临时表，然后在表中一行一行地输入一个JSP木马，然后用BCP命令导出形成JSP文件。
命令行格式如下：
bcp “select * from text..foo” queryout c:inetpubwwwrootruncommand.jsp –c –S localhost –U sa –P foobar (‘S’参数为执行查询的服务器，’U’参数为用户名，’P’参数为密码，最终上传了一个runcommand.jsp的木马)
六、得到系统的管理员权限
JSP木马只有USER权限，要想获取对系统的完全控制，还要有系统的管理员权限。怎么办？提升权限的方法有很多种：
上传木马，修改开机自动运行的.ini文件(它一重启，便死定了)；
复制CMD.exe到scripts，人为制造UNICODE漏洞；
下载SAM文件，破解并获取OS的所有用户名密码；
等等，视系统的具体情况而定，可以采取不同的方法。
后记
正如上文所描述的，SQL 漏洞危害非常的巨大，但我相信国内很多中小站点还普遍存在着这样的漏洞。这里有些个人的不完全建议
1、代码要对输入的参数做到充分的过滤，并尽可能得考虑极端情况
2、错误信息尽可能的少，否则无关的人看不懂而有心的人就会提起兴趣
3、不要以管理员的身份运行服务器进程
4、某些情况下，net 命令对于攻击者而言就是“微软牌”的木马
5、严格控制远程登录访问者的来源
6、如果可能的情况下，不是很推荐使用 Windows 作为服务器操作系统
您可能感兴趣的文章:避免sql注入_动力节点Java学院整理Sql注入工具_动力节点Java学院整理Sql注入原理简介_动力节点Java学院整理java持久层框架mybatis防止sql注入的方法java 过滤器filter防sql注入的实现代码Java面试题解析之判断以及防止SQL注入
