SQLRecon

SQLReconは、攻撃的な偵察とポストエクスプロイテーション用に設計されたMicrosoft SQL Serverツールキットです。各テクニックの使用方法の詳細については、wikiを参照してください。

SQLReconのコピーはreleasesページからダウンロードできます。あるいは、自分でソリューションをコンパイルしても構いません。リポジトリをクローンし、ソリューションファイルをダブルクリックしてビルドするだけなので、簡単です。

予防、検出、軽減のガイダンスも防御側の皆様のために提供されています。

私のブログ記事をIBM Security Intelligenceウェブサイトでチェックしてください。動画がお好みなら、Black Hatでのプレゼンテーションをご覧ください。

列挙モジュール

列挙モジュールは、認証プロバイダーを指定する必要がありません。これらのモジュールは列挙モジュールフラグ（/e:, /enum:）に渡す必要があります。wikiには列挙モジュールの使用方法の詳細があります。``` Info - Show information about the SQL server. /h:, /host -> SQL server hostname or IP. Multiple hosts supported. /port: -> (OPTIONAL) Defaults to 1434 (UDP). /t:, timeout: -> (OPTIONAL) Defaults to 3s.

SqlSpns - Use the current user token to enumerate the AD domain for MSSQL SPNs. /d:, /domain: -> (OPTIONAL) NETBIOS name or FQDN of domain.

# 認証プロバイダー

SQLReconは多様な認証プロバイダー（`/a:, /auth:`）をサポートしており、Microsoft SQL Serverとの対話を可能にします。```
WinToken   - Use the current users token to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP

WinDomain  - Use AD credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS name or FQDN of domain.
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

Local      - Use local SQL credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

EntraID    - Use Azure EntraID credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> FQDN of domain (DOMAIN.COM).
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

AzureLocal - Use local SQL credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

Pth        - Authenticate using an NT hash (pass-the-hash) over raw TDS/NTLM. Elevated privileges or SeImpersonate is not required.
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS domain name.
             /u:, /username: -> Domain username.
             /hash:          -> NT hash (32 hex chars, 8846f7eaee8fb117ad06bdd830b7586c) or LM:NT format.

認証プロバイダー - 補足詳細

• ホスト: ホストフラグ（/h:, host:）は必須であり、1つ以上のSQLサーバーを指定できます。複数のSQLサーバーに対してモジュールを実行する場合は、ホストをカンマで区切ります（例：/h:SQL01,10.10.10.2,SQL03）。
• データベース: SQLReconはデフォルトでmasterデータベースに接続しますが、データベース（/database:）フラグでカスタムデータベース名を指定することでオプションで変更できます。
• デバッグ: /debugフラグはオプションであり、リモートホストで実際に実行せずに、モジュールによって実行されるすべてのSQLクエリを表示します。この例はwikiにあります。
• ポート: 場合によっては、Microsoft SQL Serverが標準的なTCPポートでリッスンしていないことがあります。例として、Microsoft SQL Serverのフェールオーバークラスタリングや動的TCPポートが挙げられます。SQLReconはデフォルトでTCPポート1433を介してデータベースに接続しますが、これは/port:フラグを使用してオプションで変更できます。
• タイムアウト: デフォルトのSQLデータベース接続時間は3秒ですが、この値はタイムアウト値（/t:, /timeout:）を指定することでオプションで変更できます。これは接続試行を終了するまでの秒数に対応します。
• 詳細: /v, /verboseフラグはオプションであり、リモートホストでクエリを実行する前に、モジュールによって実行されるすべてのSQLクエリを表示します。この例はwikiにあります。

EntraID認証プロバイダーを使用するには、Azure Active Directory Authentication Library (ADAL) または Microsoft Authentication Library (MSAL) がSQLReconを実行するシステムに存在する必要があることに注意してください。これはAzure EntraIDの認証および許可機能のためのものです。

SQL モジュール

SQLモジュールは、1つ以上のMicrosoft SQL Serverのインスタンスに対して実行されます。これらのモジュールは、モジュールフラグ（/m:, /module:）に渡す必要があります。

SQL モジュール - 標準

ホストフラグ（/h:, host:）は必須であり、1つ以上のSQLサーバーを指定できます。複数のSQLサーバーに対してモジュールを実行する場合は、ホストをカンマで区切ります（例：/h:SQL01,10.10.10.2,SQL03）。

各モジュールの使用方法の詳細は、SQL Serverの1つ以上のインスタンスでの実行をサポートするwikiに記載されています。

SQL モジュール - 偽装

偽装モジュールは、偽装されたSQLユーザーのコンテキストで、1つ以上のMicrosoft SQL Serverのインスタンスに対して実行されます。すべての偽装モジュールには以下の最小要件があります。

• 偽装ユーザーを指定する必要があります（/i:, /iuser:）。
• 偽装をサポートするモジュールを指定する必要があります（/m:, /module:）。

各モジュールの使用方法の詳細は、偽装を使用した実行をサポートするwikiに記載されています。

SQL モジュール - リンク

リンクモジュールは、1つ以上のリンクされたMicrosoft SQL Serverのインスタンスに対して実行されます。すべてのリンクモジュールには以下の最小要件があります。

• リンクされたSQLサーバーを指定する必要があります（/l:, /link:）。リンクフラグは1つ以上のリンクされたSQLサーバーを許可します。たとえば、SQL01がSQL02へのリンクを持ち、SQL01がDB04へのリンクを持っている場合、リンクされたホストをカンマで区切ると、各リンクされたSQLサーバーでモジュールが実行されます（例：/l:SQL02,DB04）。
• リンク実行をサポートするモジュールを指定する必要があります（/m:, /module:）。

各モジュールの使用方法の詳細は、リンクされたSQL Serverの1つ以上のインスタンスでの実行をサポートするwikiに記載されています。

SQL モジュール - リンクチェーン

リンクチェーンモジュールは、リンクされたサーバーチェーン内の最後のMicrosoft SQL Serverに対して実行されます。すべてのリンクチェーンモジュールには以下の最小要件があります。

• /l:, /link:フラグでリンクされたSQLサーバーチェーンを指定する必要があります。SQL01がSQL02へのリンクを持ち、SQL02がPAYMENTS01へのリンクを持ち、PAYMENTS01でモジュールを実行したい場合、引数は/l:SQL02,PAYMENTS01となります。
• 指定されたリンクチェーンの最後のSQLサーバーに対してモジュールを実行するには、/chainフラグを含める必要があります。
• リンクチェーン実行をサポートするモジュールを指定する必要があります（/m:, /module:）。

各モジュールの使用方法の詳細は、リンクされたSQL Serverチェーンの最後のSQLサーバーでの実行をサポートするwikiに記載されています。

SCCM モジュール

SQLReconには、Microsoft System Center Configuration Manager (SCCM) および Microsoft Endpoint Configuration Manager (ECM) の列挙と攻撃を支援するいくつかのモジュールがあります。SCCMまたはECMサーバーは、ローカルまたはリモートでMicrosoft SQLデータベースを公開している必要があります。

SCCMモジュールは、SCCMモジュールフラグ（/s:, /sccm:）に渡す必要があります。

ほとんどのSCCMモジュールは、偽装されたSQLユーザー（/i:, /iuser:）のコンテキストで実行できます。

各モジュールの使用方法の詳細は、SCCM/ECMデータベースに対するwikiに記載されています。

SQLRecon の拡張

SQLReconの拡張に興味がある場合は、wikiの寄稿と拡張のセクションを参照してください。

提案やアイデアがある場合は、issueを開くことをお勧めします。

ロードマップ

目標は、SQLReconを継続的に改善することです。以下に、計画されているいくつかの研究分野を示します。

• NTLMハッシュベースの認証のサポートを実装する。
• リンクおよびリンクチェーンSQLサーバー向けのenablerpc/disablerpc機能を調査する。

クレジット

以下の人々が、SQLReconのさまざまな側面に直接的または間接的に貢献しています。

• Adam Chester (xpn)
• Andrew Smith (jakxx)
• Azaël Martin (n3rada)
• Crusher (chryzsh)
• Daniel Duggan (rasta-mouse)
• Dave Cossa (G0ldenGunSec)
• Dwight Hohnstein (djhohnstein)
• Javier Balanza (JBalanza)
• Joshua Magri (passthehashbrowns)

履歴