Di Sebalik Serangan Khunt: Apabila Pangkalan Data Oracle Bertukar Menjadi Senjata Penggodam

Toolkit Khunt: Hidup di Dalam Pangkalan Data sebagai Objek Java

Daripada menggunakan fail perisian hasad tradisional pada pelayan yang dikompromi, penyerang menggunakan Java Virtual Machine (JVM) terbina dalam Oracle dan pernyataan CREATE JAVA SOURCE untuk mengkompil dan menyimpan keseluruhan toolkit post-exploitation sebagai objek Java schema di dalam pangkalan data Oracle . Pendekatan ini menjadikan toolkit tidak kelihatan kepada pertahanan peringkat OS standard kerana alat EDR dan antivirus memberi tumpuan kepada proses, binari, dan fail pada sistem pengendalian—mereka biasanya tidak memeriksa kelas Java dan pembalut PL/SQL yang disimpan di dalam Oracle .

Toolkit khunt merangkumi komponen berikut, setiap satu disimpan sebagai objek pangkalan data:

Mencapai Kawalan Penuh Sistem: Dari Pangkalan Data ke Windows OS

Penyerang tidak berhenti di akses peringkat pangkalan data. Mereka menggunakan toolkit khunt untuk beralih dari lapisan pangkalan data ke sistem pengendalian Windows yang mendasari dalam proses pelbagai langkah:

1. Pelaksanaan arahan OS melalui KhuntCmd: Mereka menggunakan modul KhuntCmd untuk menjalankan cmd.exe /c whoami, yang mengesahkan mereka berjalan dengan keistimewaan peringkat SYSTEM pada pelayan Windows, mewujudkan RCE dari pangkalan data ke OS .
2. Kecurian kredensial: Mereka menggunakan PowerShell untuk memanggil reg.exe dan menyalin registry hives SECURITY dan SYSTEM, menyimpannya sebagai khuntSECURITY.hiv dan khuntSYSTEM.hiv dalam F:\Oracle\ .
3. Enumerasi perkhidmatan: Mereka menjalankan tasklist /svc dan menyimpan output sebagai khunttasks.txt .
4. Pengekstrakan hives tambahan: Mereka menggunakan esentutl.exe untuk menyalin SAM dan salinan kedua hives SECURITY, menyimpannya sebagai khuntSAM.hiv dan khunt_SECURITY.hiv .

Registry hives yang dieksfiltrasi boleh digunakan secara offline untuk mengekstrak dan menyahkod hash kata laluan untuk semua akaun tempatan pada sistem .

Titik Buta Pertahanan: Penemuan Utama Huntress

Siasatan Huntress mendedahkan beberapa titik buta kritikal yang membolehkan serangan ini berjaya dan mengelak pengesanan:

• Peralihan pangkalan data sebagai pijakan: Pangkalan data diubah daripada stor data pasif kepada platform serangan aktif, dengan toolkit berniat jahat hidup di dalam pangkalan data dan bukannya pada cakera atau dalam memori .
• Pengelakan EDR/AV: Alat EDR dan antivirus tradisional tidak memeriksa kelas Java dan pembalut PL/SQL yang disimpan di dalam Oracle, menjadikan toolkit tidak kelihatan kepada pertahanan peringkat OS standard .
• Kelemahan klasik, penyampaian novel: SQL injection awal adalah kelas pepijat terkenal. Tiada zero-day diperlukan. Ciri carian autocomplete cukup untuk mencapai PL/SQL dan kemudian OS, menunjukkan bahawa kegagalan pengesahan input asas boleh membawa kepada kompromi yang mendalam apabila enjin pangkalan data mempunyai keupayaan peringkat OS .
• Akaun pangkalan data terlebih hak istimewa: Walaupun selepas SQL injection berjaya, kerosakan adalah terhad jika akaun pengguna pangkalan data tidak mempunyai keistimewaan untuk mengarang sumber Java atau melaksanakan prosedur tersimpan. Organisasi sering memberikan hak istimewa berlebihan kepada akaun pangkalan data, memberikan penyerang kebenaran tambahan yang diperlukan untuk menggunakan khunt .

Langkah Mitigasi yang Disarankan oleh Huntress

Berdasarkan serangan ini, Huntress mengesyorkan beberapa langkah mitigasi :

• Pembersihan input yang betul dan parameterisasi pertanyaan untuk semua input web
• Mengehadkan keistimewaan pengguna pangkalan data supaya pertanyaan yang disuntik pun tidak dapat mencipta sumber Java atau melaksanakan prosedur tersimpan arbitrari
• Memperluas skop pemantauan untuk memasukkan objek pangkalan data (kelas Java, pembalut PL/SQL) dan bukannya hanya artifak peringkat OS

Serangan ini menjadi peringatan jelas bahawa enjin pangkalan data dengan persekitaran pengaturcaraan terbina dalam (seperti JVM Oracle) boleh menjadi platform serangan senyap apabila digabungkan dengan hanya satu medan input yang tidak disahkan. Pasukan keselamatan mesti melanjutkan pemantauan mereka melangkaui sistem pengendalian untuk memasukkan lapisan objek pangkalan data.