mssqlproxy

mssqlproxy è un toolkit progettato per eseguire movimenti laterali in ambienti ristretti attraverso un Microsoft SQL Server compromesso tramite il riutilizzo dei socket. Il client richiede impacket e privilegi sysadmin sul server SQL.

Si prega di leggere attentamente questo articolo prima di continuare.

È composto da tre parti:

• Assembly CLR: Compilare assembly.cs
• DLL core: Compilare reciclador.sln
• Client: mssqlclient.py (basato sull'esempio di Impacket)

È possibile compilare le librerie o scaricarle dalle release (x64).

Compilazione

Per generare la DLL core, basta importare il progetto in Visual Studio (reciclador.sln) e compilarlo.

Per generare l'assembly CLR, prima è necessario trovare il compilatore C#:

Get-ChildItem -Recurse "C:\Windows\Microsoft.NET\" -Filter "csc.exe" | Sort-Object fullname -Descending | Select-Object fullname -First 1 -ExpandProperty fullname

Quindi,

C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /target:library .\assembly.cs

Utilizzo

Una volta compilate le due librerie, caricare la DLL core (reciclador) sul server di destinazione.

Le opzioni di autenticazione sono le stesse di mssqlclient originale. mssqlproxy opzioni:

proxy mode:
  -reciclador path      Percorso remoto dove è archiviata la DLL nel server
  -install              Installa l'assembly CLR
  -uninstall            Disinstalla l'assembly CLR
  -check                Verifica se CLR è pronto
  -start                Avvia il proxy
  -local-port port      Porta locale su cui ascoltare
  -clr local_path       Percorso locale del CLR
  -no-check-src-port    Usa questa opzione quando la connessione non è diretta (es. tramite proxy)

Abbiamo anche implementato due comandi (all'interno della shell SQL) per scaricare e caricare file. Relativamente alla parte proxy, abbiamo quattro comandi:

• install: Crea l'assembly CLR e lo collega a una stored procedure. È necessario fornire il parametro -clr per leggere il CLR generato da un file DLL locale.
• uninstall: Rimuove ciò che install ha creato.
• check: Verifica se tutto è pronto per avviare il proxy. Richiede di specificare la posizione della DLL sul server (-reciclador), che può essere caricata usando il comando upload.
• start: Avvia il proxy. Se -local-port non viene specificato, ascolterà sulla porta 1337/tcp.

Una volta avviato il proxy, puoi collegare i tuoi proxychains ;)

Nota #1: se si utilizza una connessione non diretta (es. proxy intermedi), è necessario il flag -no-check-src-port, in modo che il server controlli solo l'indirizzo di origine.

Nota #2: al momento, sono supportati solo target IPv4 (né DNS né indirizzi IPv6).

Nota #3: utilizzare con cautela! per ora il servizio MSSQL si bloccherà se si tenta di stabilire più connessioni concorrenti.

Importante: è importante fermare mssqlproxy premendo Ctrl+C sul client. In caso contrario, il server potrebbe bloccarsi e sarà necessario riavviare manualmente il servizio MSSQL.

Autori

Pablo Martinez (@xassiz), Juan Manuel Fernandez (@TheXC3LL) [ www.blackarrow.net - www.tarlogic.com ]

Riferimenti

• https://www.blackhat.com/presentations/bh-asia-03/bh-asia-03-chong.pdf
• https://blog.netspi.com/attacking-sql-server-clr-assemblies/
• https://www.codeproject.com/Articles/27298/Dynamic-Invoke-C-DLL-function-in-C
• https://x-c3ll.github.io/posts/Pivoting-MySQL-Proxy/
• https://docs.microsoft.com/en-us/sql/ado/reference/ado-api/stream-object-ado
• https://docs.microsoft.com/es-es/sql/t-sql/functions/openrowset-transact-sql

Licenza

Tutto il codice incluso in questo progetto è concesso in licenza secondo i termini della licenza MIT. Il file mssqlclient.py è basato su Impacket.