MS的SQL SERVER ODBC驱动中存在一个溢出漏洞，攻击者可以通过这个漏洞，发送精心组织的数据包就可以达到远程控制任何通过SQL SERVER ODBC列举SQL SERVER服务器的主机。于是看了一下SQL SERVER客户端的两个主要程序的汇编：SQLSVR32。DLL和DBNETLIB。DLL。发现存在一个堆溢出。以下主要是对中文W2K SERVER+SP3的自带的ODBC驱动进行的研究，其他平台未测试。英文版的ODBC连接好象不出这个问题。
SQL SERVER ODBC收到包以后会把所有接收到的包转换成unicode格式存放到堆中，而且每个包之间采用";;"作为分界符号。
我们来看一下其处理的汇编代码：
.text:74CB72A1 loc_74CB72A1:
.text:74CB72A1 mov edx, [ebp+var_4]
.text:74CB72A4 mov eax, [ebp+var_104C] ebp-0x104c放当前已循环的个数
.text:74CB72AA cmp eax, [edx+8] edx+8存放收到的总包个数
.text:74CB72AD jge loc_74CB70F2
.text:74CB72B3 mov ecx, [ebp+var_1044]
.text:74CB72B9 mov edx, [ecx+4]
.text:74CB72BC mov eax, [ebp+var_1048]
.text:74CB72C2 lea ecx, [eax+edx*2]
.text:74CB72C5 mov edx, [ebp+arg_8]
.text:74CB72C8 cmp ecx, [edx]
.text:74CB72CA jle short loc_74CB72D3
.text:74CB72CC xor eax, eax
.text:74CB72CE jmp loc_74CB6EB7
.text:74CB72D3 ; 哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪?
.text:74CB72D3
.text:74CB72D3 loc_74CB72D3: ; CODE XREF: GetNextEnumeration+455j
.text:74CB72D3 mov eax, [ebp+var_1044]
.text:74CB72D9 mov ecx, [eax+4]
.text:74CB72DC push ecx ; cchWideChar
.text:74CB72DD mov edx, [ebp+arg_4] ebp+arg_4是传入的堆开始地址
.text:74CB72E0 add edx, [ebp+var_1048] ebp+var_1048是计算使用了多少的堆，初始值为0
.text:74CB72E6 push edx ; lpWideCharStr
.text:74CB72E7 mov eax, [ebp+var_1044] ebp+var_1044开始是收到包的结构类型数组的指针，这个数组前面4个字节每个包的缓冲地址指针，后面是包的大小，其C的定义如
typedef struct _PACKBUF{
char * bufpoint;
long buflen;}PACKBUF,*PPACKBUF;
PACKBUF sqludprecv[];
ebp+var_1044 就是一个 *PPACKBUF=&sqludprecv;
.text:74CB72ED mov ecx, [eax+4] eax存放为包大小数据
.text:74CB72F0 push ecx ; cchMultiByte
.text:74CB72F1 mov edx, [ebp+var_1044]
.text:74CB72F7 mov eax, [edx] 载入缓冲地址指针
.text:74CB72F9 add eax, 3 从包的便移3开始拷贝，前面三个字节为一个字节包类型，2个字节包长度信息
.text:74CB72FC push eax ; lpMultiByteStr
.text:74CB72FD push 0 ; dwFlags
.text:74CB72FF push 0 ; CodePage
.text:74CB7301 call ds:MultiByteToWideChar
.text:74CB7307 mov ecx, [ebp+var_1044]
.text:74CB730D mov edx, [ecx+4]
.text:74CB7310 mov eax, [ebp+var_1048]
.text:74CB7316 lea ecx, [eax+edx*2] ecx=包大小乘以2（因为变成双字节了)
.text:74CB7319 mov