SQLRecon

SQLRecon — это набор инструментов Microsoft SQL Server, предназначенный для наступательной разведки и постэксплуатации. Подробную информацию о каждом методе можно найти в вики.

Вы можете скачать копию SQLRecon со страницы релизов. Кроме того, можете скомпилировать решение самостоятельно. Для этого достаточно склонировать репозиторий, дважды щелкнуть файл решения и выполнить сборку.

Рекомендации по предотвращению, обнаружению и смягчению последствий также предоставлены для всех защитников.

Ознакомьтесь с моей статьей на сайте IBM Security Intelligence. Если предпочитаете видео, то посмотрите мою презентацию на Black Hat.

Модули перечисления

Модули перечисления не требуют указания поставщика аутентификации. Эти модули должны передаваться в флаг модуля перечисления (/e:, /enum:). В вики есть подробности об использовании модулей перечисления.``` Info - Show information about the SQL server. /h:, /host -> SQL server hostname or IP. Multiple hosts supported. /port: -> (OPTIONAL) Defaults to 1434 (UDP). /t:, timeout: -> (OPTIONAL) Defaults to 3s.

SqlSpns - Use the current user token to enumerate the AD domain for MSSQL SPNs. /d:, /domain: -> (OPTIONAL) NETBIOS name or FQDN of domain.

# Провайдеры аутентификации

SQLRecon поддерживает разнообразный набор провайдеров аутентификации (`/a:, /auth:`) для взаимодействия с Microsoft SQL Server.```
WinToken   - Use the current users token to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP

WinDomain  - Use AD credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS name or FQDN of domain.
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

Local      - Use local SQL credentials to authenticate against the SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

EntraID    - Use Azure EntraID credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> FQDN of domain (DOMAIN.COM).
             /u:, /username: -> Username for domain user.
             /p:, /password: -> Password for domain user.

AzureLocal - Use local SQL credentials to authenticate against the Azure SQL database
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /u:, /username: -> Username for local SQL user.
             /p:, /password: -> Password for local SQL user.

Pth        - Authenticate using an NT hash (pass-the-hash) over raw TDS/NTLM. Elevated privileges or SeImpersonate is not required.
             /h:, /host:     -> SQL server hostname or IP. Multiple hosts supported.
             /d:, /domain:   -> NETBIOS domain name.
             /u:, /username: -> Domain username.
             /hash:          -> NT hash (32 hex chars, 8846f7eaee8fb117ad06bdd830b7586c) or LM:NT format.

Authentication Providers - Дополнительные сведения

• Hosts: Флаг host (/h:, host:) обязателен и указывает один или несколько SQL-серверов. Чтобы выполнить модуль для нескольких SQL-серверов, перечислите хосты через запятую, например /h:SQL01,10.10.10.2,SQL03.
• Database: SQLRecon по умолчанию подключается к базе данных master, однако это можно изменить, указав имя пользовательской базы данных через флаг database (/database:).
• Debug: Флаг /debug необязателен и отображает все SQL-запросы, выполняемые модулем, без их фактического выполнения на удалённых хостах. Пример можно найти в вики.
• Port: В некоторых случаях Microsoft SQL Server может не прослушивать стандартный TCP-порт. Примеры: отказоустойчивая кластеризация Microsoft SQL Server или динамические TCP-порты. SQLRecon подключается к базам данных через TCP-порт 1433 по умолчанию, однако это можно изменить с помощью флага /port:.
• Timeout: Время подключения к базе данных по умолчанию составляет 3 секунды, однако это значение можно изменить, указав значение тайм-аута (/t:, /timeout:), которое соответствует количеству секунд до завершения попытки подключения.
• : Флаг необязателен и отображает все SQL-запросы, выполняемые модулем, перед их выполнением на удалённых хостах. Пример можно найти в .

Обратите внимание, что поставщик аутентификации EntraID требует, чтобы на системе, с которой выполняется SQLRecon, существовала библиотека аутентификации Azure Active Directory (ADAL) или библиотека аутентификации Microsoft (MSAL). Это необходимо для функциональности аутентификации и авторизации Azure EntraID.

SQL Modules (Модули SQL)

Модули SQL выполняются для одного или нескольких экземпляров Microsoft SQL Server. Эти модули необходимо передать через флаг модуля (/m:, /module:).

SQL Modules - Стандартные

Флаг host (/h:, host:) обязателен и позволяет указать один или несколько SQL-серверов. Чтобы выполнить модуль для нескольких SQL-серверов, перечислите хосты через запятую, например /h:SQL01,10.10.10.2,SQL03.

В вики есть подробности об использовании каждого модуля, который поддерживает выполнение на одном или нескольких экземплярах SQL Server.

SQL Modules - Имперсонация

Модули имперсонации выполняются для одного или нескольких экземпляров Microsoft SQL Server в контексте имперсонированного пользователя SQL. Все модули имперсонации имеют следующие минимальные требования:

• Должен быть указан пользователь для имперсонации (/i:, /iuser:).
• Должен быть указан модуль, поддерживающий имперсонацию (/m:, /module:).

В вики есть подробности об использовании каждого модуля, который поддерживает выполнение с помощью Имперсонации.

SQL Modules - Связанные серверы

Связанные модули выполняются на одном или нескольких экземплярах связанного Microsoft SQL Server. Все связанные модули имеют следующие минимальные требования:

• Должен быть указан связанный SQL-сервер (/l:, /link:). Флаг link позволяет указать один или несколько связанных SQL-серверов. Например, если SQL01 имеет связь с SQL02, а SQL01 имеет связь с DB04, вы можете перечислить связанные хосты через запятую, и модуль будет выполнен на каждом связанном SQL-сервере, например /l:SQL02,DB04.
• Должен быть указан модуль, поддерживающий выполнение через связанный сервер (/m:, /module:).

В вики есть подробности об использовании каждого модуля, который поддерживает выполнение на одном или нескольких экземплярах Связанного SQL-сервера.

SQL Modules - Цепочка связанных серверов

Модули цепочки связанных серверов выполняются на конечном Microsoft SQL Server в цепочке связанных серверов. Все модули цепочки имеют следующие минимальные требования:

• Цепочка связанных SQL-серверов должна быть указана во флаге /l:, /link:. Если SQL01 имеет связь с SQL02, а SQL02 имеет связь с PAYMENTS01, и вы хотите выполнить модуль на PAYMENTS01, то аргумент будет /l:SQL02,PAYMENTS01.
• Должен быть включён флаг /chain, чтобы выполнить модуль на конечном SQL-сервере в указанной цепочке.
• Должен быть указан модуль, поддерживающий выполнение в цепочке (/m:, /module:).

В вики есть подробности об использовании каждого модуля, который поддерживает выполнение на конечном SQL-сервере, указанном в Цепочке связанных SQL-серверов.

SCCM Modules (Модули SCCM)

SQLRecon имеет несколько модулей, которые могут помочь в переборе и атаке на Microsoft System Center Configuration Manager (SCCM) и Microsoft Endpoint Configuration Manager (ECM). Сервер SCCM или ECM должен предоставлять базу данных Microsoft SQL локально или удалённо.

Модули SCCM должны передаваться через флаг модуля SCCM (/s:, /sccm:).

Большинство модулей SCCM могут выполняться в контексте имперсонированного пользователя SQL (/i:, /iuser:).

В вики есть подробности об использовании каждого модуля для работы с базой данных SCCM/ECM.

Расширение SQLRecon

Если вы заинтересованы в расширении SQLRecon, пожалуйста, обратитесь к разделу о внесении вклада и расширении в вики.

Я призываю вас открыть задачу, если у вас есть какие-либо предложения или идеи.

План развития

Цель — постоянно улучшать SQLRecon. Ниже перечислены некоторые запланированные области исследований:

• Реализовать поддержку аутентификации на основе хэша NTLM.
• Исследовать функциональность enablerpc/disablerpc для связанных и цепочечных SQL-серверов.

Благодарности

Следующие люди внесли прямой или косвенный вклад в различные аспекты SQLRecon.

• Adam Chester (xpn)
• Andrew Smith (jakxx)
• Azaël Martin (n3rada)
• Crusher (chryzsh)
• Daniel Duggan (rasta-mouse)
• Dave Cossa (G0ldenGunSec)
• Dwight Hohnstein (djhohnstein)
• Javier Balanza (JBalanza)
• Joshua Magri (passthehashbrowns)

История