SQLRecon

SQLRecon은 공격적 정찰 및 사후 침투를 위해 설계된 Microsoft SQL Server 툴킷입니다. 각 기술의 사용 방법에 대한 자세한 내용은 wiki를 참조하세요.

SQLRecon 사본은 releases 페이지에서 다운로드할 수 있습니다. 또는 직접 솔루션을 컴파일해도 됩니다. 이는 저장소를 클론하고 솔루션 파일을 더블 클릭한 후 빌드하는 것만큼 간단합니다.

방어자를 위한 예방, 탐지 및 완화 가이드도 제공됩니다.

IBM Security Intelligence 웹사이트에서 내 블로그 게시물을 확인하세요. 동영상을 선호한다면 Black Hat 발표도 확인해 보세요.

Enumeration Modules

열거 모듈은 인증 제공자가 필요하지 않습니다. 이러한 모듈은 열거 모듈 플래그(/e:, /enum:)에 전달되어야 합니다. 위키에는 열거 모듈 사용에 대한 자세한 내용이 있습니다.``` Info - Show information about the SQL server. /h:, /host -> SQL server hostname or IP. Multiple hosts supported. /port: -> (OPTIONAL) Defaults to 1434 (UDP). /t:, timeout: -> (OPTIONAL) Defaults to 3s.

SqlSpns - Use the current user token to enumerate the AD domain for MSSQL SPNs. /d:, /domain: -> (OPTIONAL) NETBIOS name or FQDN of domain.

# 인증 제공자

SQLRecon은 Microsoft SQL Server와 상호 작용할 수 있도록 다양한 인증 제공자(`/a:, /auth:`)를 지원합니다.```
WinToken   - Use the current users token to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP

WinDomain  - Use AD credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS name or FQDN of domain.
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

Local      - Use local SQL credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

EntraID    - Use Azure EntraID credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> FQDN of domain (DOMAIN.COM).
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

AzureLocal - Use local SQL credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

Pth        - Authenticate using an NT hash (pass-the-hash) over raw TDS/NTLM. Elevated privileges or SeImpersonate is not required.
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS domain name.
             /u:, /username: -> Domain username.
             /hash:          -> NT hash (32 hex chars, 8846f7eaee8fb117ad06bdd830b7586c) or LM:NT format.

Authentication Providers - 추가 세부 정보

• Hosts: 호스트 플래그(/h:, host:)는 필수이며 하나 이상의 SQL 서버를 허용합니다. 여러 SQL 서버에 대해 모듈을 실행하려면 호스트를 쉼표로 구분하십시오(예: /h:SQL01,10.10.10.2,SQL03).
• Database: SQLRecon은 기본적으로 master 데이터베이스에 연결되지만, 데이터베이스(/database:) 플래그를 통해 사용자 정의 데이터베이스 이름을 지정하여 선택적으로 변경할 수 있습니다.
• Debug: /debug 플래그는 선택 사항이며, 원격 호스트에서 실제로 실행하지 않고 모듈에 의해 실행되는 모든 SQL 쿼리를 표시합니다. 이에 대한 예제는 wiki에서 확인할 수 있습니다.
• Port: 경우에 따라 Microsoft SQL Server가 표준 TCP 포트에서 수신 대기하지 않을 수 있습니다. 몇 가지 예로는 Microsoft SQL Server 장애 조치(failover) 클러스터링 또는 동적 TCP 포트가 있습니다. SQLRecon은 기본적으로 TCP 포트 1433을 통해 데이터베이스에 연결되지만, /port: 플래그를 사용하여 선택적으로 변경할 수 있습니다.
• Timeout: 기본 SQL 데이터베이스 연결 시간은 3초이지만, 시간 제한 값(/t:, /timeout:)을 제공하여 연결 시도를 종료하기 전의 시간(초)을 선택적으로 변경할 수 있습니다.
• Verbose: /v, /verbose 플래그는 선택 사항이며, 원격 호스트에서 실행하기 전에 모듈에 의해 실행되는 모든 SQL 쿼리를 표시합니다. 이에 대한 예제는 wiki에서 확인할 수 있습니다.

EntraID 인증 공급자는 SQLRecon이 실행되는 시스템에 Azure Active Directory Authentication Library(ADAL) 또는 Microsoft Authentication Library(MSAL)가 존재해야 합니다. 이는 Azure EntraID 인증 및 권한 부여 기능을 위한 것입니다.

SQL 모듈

SQL 모듈은 하나 이상의 Microsoft SQL Server 인스턴스에 대해 실행됩니다. 이러한 모듈은 모듈 플래그(/m:, /module:)에 전달되어야 합니다.

SQL 모듈 - 표준

호스트 플래그(/h:, host:)는 필수이며 하나 이상의 SQL 서버를 허용합니다. 여러 SQL 서버에 대해 모듈을 실행하려면 호스트를 쉼표로 구분하십시오(예: /h:SQL01,10.10.10.2,SQL03).

위키에는 하나 이상의 SQL Server 인스턴스에서 실행을 지원하는 각 모듈 사용에 대한 세부 정보가 있습니다.

SQL 모듈 - 가장(Impersonation)

가장 모듈은 가장된 SQL 사용자의 컨텍스트에서 하나 이상의 Microsoft SQL Server 인스턴스에 대해 실행됩니다. 모든 가장 모듈에는 다음과 같은 최소 요구 사항이 있습니다.

• 가장할 사용자를 지정해야 합니다(/i:, /iuser:).
• 가장을 지원하는 모듈을 지정해야 합니다(/m:, /module:).

위키에는 가장을 사용하여 실행을 지원하는 각 모듈 사용에 대한 세부 정보가 있습니다.

SQL 모듈 - 연결됨(Linked)

연결 모듈은 하나 이상의 연결된 Microsoft SQL Server 인스턴스에서 실행됩니다. 모든 연결 모듈에는 다음과 같은 최소 요구 사항이 있습니다.

• 연결된 SQL 서버를 지정해야 합니다(/l:, /link:). 링크 플래그는 하나 이상의 연결된 SQL 서버를 허용합니다. 예를 들어 SQL01이 SQL02에 연결되고 SQL01이 DB04에 연결된 경우 연결된 호스트를 쉼표로 구분할 수 있으며 각 연결된 SQL 서버에서 모듈이 실행됩니다(예: /l:SQL02,DB04).
• 연결된 실행을 지원하는 모듈을 지정해야 합니다(/m:, /module:).

위키에는 하나 이상의 연결된 SQL 서버 인스턴스에서 실행을 지원하는 각 모듈 사용에 대한 세부 정보가 있습니다.

SQL 모듈 - 연결 체인(Linked Chain)

연결 체인 모듈은 연결된 서버 체인의 마지막 Microsoft SQL Server에서 실행됩니다. 모든 연결 체인 모듈에는 다음과 같은 최소 요구 사항이 있습니다.

• 연결된 SQL 서버 체인은 /l:, /link: 플래그에 지정되어야 합니다. SQL01이 SQL02에 연결되고 SQL02가 PAYMENTS01에 연결된 경우 PAYMENTS01에서 모듈을 실행하려면 인수는 /l:SQL02,PAYMENTS01이 됩니다.
• 제공된 연결 체인의 마지막 SQL 서버에 대해 모듈을 실행하려면 /chain 플래그를 포함해야 합니다.
• 연결 체인 실행을 지원하는 모듈을 지정해야 합니다(/m:, /module:).

위키에는 연결된 SQL 서버 체인에서 제공된 마지막 SQL 서버에서 실행을 지원하는 각 모듈 사용에 대한 세부 정보가 있습니다.

SCCM 모듈

SQLRecon에는 Microsoft System Center Configuration Manager(SCCM) 및 Microsoft Endpoint Configuration Manager(ECM)를 열거하고 공격하는 데 도움이 되는 여러 모듈이 있습니다. SCCM 또는 ECM 서버는 로컬 또는 원격으로 Microsoft SQL 데이터베이스를 노출해야 합니다.

SCCM 모듈은 SCCM 모듈 플래그(/s:, /sccm:)에 전달되어야 합니다.

대부분의 SCCM 모듈은 가장된 SQL 사용자(/i:, /iuser:)의 컨텍스트에서 실행될 수 있습니다.

위키에는 SCCM/ECM 데이터베이스에 대해 각 모듈을 사용하는 방법에 대한 세부 정보가 있습니다.

SQLRecon 확장

SQLRecon 확장에 관심이 있다면 wiki의 기여 및 확장 섹션을 참조하십시오.

제안이나 아이디어가 있으면 issue를 열어 주시기 바랍니다.

로드맵

목표는 SQLRecon을 지속적으로 개선하는 것입니다. 아래는 계획된 몇 가지 연구 영역입니다.

• NTLM 해시 기반 인증 지원 구현.
• 연결된 SQL 서버 및 연결 체인에 대한 enablerpc/disablerpc 기능 탐색.

크레딧

다음 사람들은 SQLRecon의 다양한 측면에 직간접적으로 기여했습니다.

• Adam Chester (xpn)
• Andrew Smith (jakxx)
• Azaël Martin (n3rada)
• Crusher (chryzsh)
• Daniel Duggan (rasta-mouse)
• Dave Cossa (G0ldenGunSec)
• Dwight Hohnstein (djhohnstein)
• Javier Balanza (JBalanza)
• Joshua Magri (passthehashbrowns)

변경 내역