Atak Khunt: Jak hakerzy zamienili bazę Oracle w platformę do dalszej eksploatacji
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle. Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plikó...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle.
Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plików (KhuntFS/FS2) i inne, co ostatecznie dało atakującym dostęp na poziomie SYSTEM do serwera Windows.
Huntress wskazał na krytyczne luki w monitorowaniu: narzędzia EDR i antywirusy nie sprawdzają obiektów Javy i PL/SQL w Oracle, a nadmierne uprawnienia kont bazy danych ułatwiły atak.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Atak od środka: baza danych jako platforma ataku
27 lipca 2026 roku zespół Huntress został zaalarmowany o kradzieży poświadczeń na serwerze z bazą Oracle . Dochodzenie wykazało, że był to efekt wyrafinowanego ataku SQL injection – nie chodziło o wykorzystanie zerowego dnia, ale o dobrze znaną klasę podatności w publicznej aplikacji webowej Java/Tomcat. To, co wyróżniało ten atak, to technika hakerów: zamiast umieszczać pliki na dysku, wykorzystali wbudowaną w Oracle maszynę wirtualną Javy (JVM), aby skompilować i przechowywać cały zestaw narzędzi do dalszej eksploatacji, nazwany „khunt”, jako obiekty schematu Javy wewnątrz bazy danych. Dzięki temu narzędzie uniknęło wykrycia przez tradycyjne narzędzia EDR i antywirusy, które nie analizują obiektów bazy danych. Stamtąd atakujący przeszli do systemu operacyjnego Windows, uzyskując pełny dostęp na poziomie SYSTEM, wyodrębniając gałęzie rejestru zawierające skróty haseł i eksfiltrując je. Huntress zidentyfikował infrastrukturę atakujących pod adresem IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Atak Khunt: Jak hakerzy zamienili bazę Oracle w platformę do dalszej eksploatacji"?
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle.
What are the key points to validate first?
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle. Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plików (KhuntFS/FS2) i inne, co ostatecznie dało atakującym dostęp na poziomie SYSTEM do serwera Windows.
What should I do next in practice?
Huntress wskazał na krytyczne luki w monitorowaniu: narzędzia EDR i antywirusy nie sprawdzają obiektów Javy i PL/SQL w Oracle, a nadmierne uprawnienia kont bazy danych ułatwiły atak.
Atak Khunt: Jak hakerzy zamienili bazę Oracle w platformę do dalszej eksploatacji
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle. Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plikó...
Opublikowane przezEdytowane za pomocą DeepSeek-V4-FlashObrazy wygenerowane za pomocą GPT Image 1.5
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle.
Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plików (KhuntFS/FS2) i inne, co ostatecznie dało atakującym dostęp na poziomie SYSTEM do serwera Windows.
Huntress wskazał na krytyczne luki w monitorowaniu: narzędzia EDR i antywirusy nie sprawdzają obiektów Javy i PL/SQL w Oracle, a nadmierne uprawnienia kont bazy danych ułatwiły atak.
What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, wAI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com
Atak od środka: baza danych jako platforma ataku
27 lipca 2026 roku zespół Huntress został zaalarmowany o kradzieży poświadczeń na serwerze z bazą Oracle . Dochodzenie wykazało, że był to efekt wyrafinowanego ataku SQL injection – nie chodziło o wykorzystanie zerowego dnia, ale o dobrze znaną klasę podatności w publicznej aplikacji webowej Java/Tomcat. To, co wyróżniało ten atak, to technika hakerów: zamiast umieszczać pliki na dysku, wykorzystali wbudowaną w Oracle maszynę wirtualną Javy (JVM), aby skompilować i przechowywać cały zestaw narzędzi do dalszej eksploatacji, nazwany „khunt”, jako obiekty schematu Javy wewnątrz bazy danych. Dzięki temu narzędzie uniknęło wykrycia przez tradycyjne narzędzia EDR i antywirusy, które nie analizują obiektów bazy danych. Stamtąd atakujący przeszli do systemu operacyjnego Windows, uzyskując pełny dostęp na poziomie SYSTEM, wyodrębniając gałęzie rejestru zawierające skróty haseł i eksfiltrując je. Huntress zidentyfikował infrastrukturę atakujących pod adresem IP 178.162.151[.]229 .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Atak Khunt: Jak hakerzy zamienili bazę Oracle w platformę do dalszej eksploatacji"?
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle.
What are the key points to validate first?
W lipcu 2026 roku badacze z Huntress odkryli atak SQL injection, w którym hakerzy wykorzystali publiczną aplikację webową Java/Tomcat do wstrzyknięcia narzędzia 'khunt' jako obiektów Javy w bazie Oracle. Zestaw narzędzi zawierał moduły do wykonywania poleceń (KhuntCmd), kradzieży haseł (KhuntHash), eksploracji plików (KhuntFS/FS2) i inne, co ostatecznie dało atakującym dostęp na poziomie SYSTEM do serwera Windows.
What should I do next in practice?
Huntress wskazał na krytyczne luki w monitorowaniu: narzędzia EDR i antywirusy nie sprawdzają obiektów Javy i PL/SQL w Oracle, a nadmierne uprawnienia kont bazy danych ułatwiły atak.
Jak doszło do ataku: SQL injection przez autouzupełnianie
Początkowym wektorem ataku była podatność SQL injection w publicznie dostępnej aplikacji Java działającej na Apache Tomcat . Funkcja autouzupełniania wyszukiwania nie walidowała poprawnie danych wejściowych, co pozwoliło atakującym wstrzyknąć polecenia SQL przez połączenie JDBC z bazą Oracle . Jak zauważyli badacze z Huntress, nie była to nowa klasa podatności – ataki SQL injection są znane od dziesięcioleci i są zazwyczaj wynikiem nieprawidłowego przetwarzania danych wejściowych . Brak prawidłowej sanityzacji prostego pola wyszukiwania wystarczył, by uruchomić cały łańcuch kompromitacji.
Narzędzie Khunt: Żyjąc wewnątrz bazy danych jako obiekty Javy
Zamiast wdrażać tradycyjne złośliwe oprogramowanie na skompromitowanym serwerze, atakujący użyli wbudowanej w Oracle maszyny wirtualnej Javy (JVM) i instrukcji CREATE JAVA SOURCE, aby skompilować i przechowywać cały zestaw narzędzi do dalszej eksploatacji jako obiekty schematu Javy w bazie Oracle . To podejście sprawiło, że narzędzie było niewidoczne dla standardowych zabezpieczeń na poziomie systemu operacyjnego, ponieważ EDR i antywirusy skupiają się na procesach, plikach binarnych i plikach – nie analizują one klas Javy i wrapperów PL/SQL przechowywanych w Oracle .
Zestaw khunt zawierał następujące komponenty, każdy przechowywany jako obiekt bazy danych:
Komponent
Funkcja
KhuntCmd
Ładuje cmd.exe i wykonuje dowolne polecenia systemu operacyjnego, osadzając je w instrukcjach SQL wysyłanych do bazy
KhuntHash
Wyodrębnia nazwy użytkowników i skróty haseł z wewnętrznych tabel Oracle i zapisuje je do pliku
KhuntFS / KhuntFS2
Eksploratory plików do wyświetlania, odczytywania, wyszukiwania i sprawdzania rozmiarów plików na skompromitowanym systemie
KhuntT
Proste narzędzie do „pingowania”, aby potwierdzić, że zestaw jest zainstalowany i dostępny przed kontynuacją
KhuntUnzip
Narzędzie do rozpakowywania plików
khunt_ wrappery PL/SQL*
Procedury opakowujące PL/SQL używane do wywoływania podstawowych metod Javy
Pełna kontrola systemu: z bazy danych do systemu Windows
Atakujący nie poprzestali na dostępie do bazy danych. Użyli zestawu khunt, aby przejść z warstwy bazy danych do systemu operacyjnego Windows w wieloetapowym procesie:
Wykonanie poleceń OS przez KhuntCmd: Użyli modułu KhuntCmd, aby uruchomić cmd.exe /c whoami, co potwierdziło, że działają z uprawnieniami SYSTEM na serwerze Windows, ustanawiając zdalne wykonanie kodu (RCE) z bazy do systemu operacyjnego .
Kradzież poświadczeń: Użyli PowerShell, aby wywołać reg.exe i skopiować gałęzie rejestru SECURITY i SYSTEM, zapisując je jako khuntSECURITY.hiv i khuntSYSTEM.hiv w F:\Oracle\.
Enumeryzacja usług: Uruchomili tasklist /svc i zapisali wynik jako khunttasks.txt.
Dodatkowe wyodrębnianie gałęzi: Użyli esentutl.exe, aby skopiować gałąź SAM i drugą kopię SECURITY, zapisując je jako khuntSAM.hiv i khunt_SECURITY.hiv.
Wyeksfiltrowane gałęzie rejestru mogły być użyte offline do wyodrębnienia i odszyfrowania skrótów haseł dla wszystkich lokalnych kont w systemie .
Ślepe punkty monitorowania: kluczowe wnioski Huntress
Dochodzenie Huntress ujawniło kilka krytycznych luk, które pozwoliły na ten atak i uniknięcie wykrycia:
Baza danych jako przyczółek ataku: Baza danych została przekształcona z pasywnego magazynu danych w aktywną platformę ataku, a złośliwe narzędzie żyło wewnątrz bazy danych, a nie na dysku czy w pamięci .
Omijanie EDR/AV: Tradycyjne narzędzia EDR i antywirusy nie skanują klas Javy i wrapperów PL/SQL przechowywanych w Oracle, co czyni je niewidocznymi dla standardowych zabezpieczeń na poziomie systemu operacyjnego .
Klasyczna podatność, nowatorski sposób dostarczenia: Początkowy SQL injection był dobrze znaną klasą błędów. Nie był potrzebny żaden zerowy dzień. Funkcja autouzupełniania wystarczyła, aby dotrzeć do PL/SQL, a następnie do systemu operacyjnego, co pokazuje, że podstawowe błędy walidacji wejściowej mogą prowadzić do głębokiej kompromitacji, gdy silnik bazy danych ma możliwości na poziomie systemu operacyjnego .
Nadmiernie uprzywilejowane konta bazy danych: Nawet jeśli SQL injection się powiedzie, szkody są ograniczone, jeśli konto użytkownika bazy danych nie ma uprawnień do tworzenia źródeł Javy lub wykonywania procedur składowanych. Organizacje często nadają zbyt dużo uprawnień kontom bazy danych, co daje atakującym dodatkowe możliwości do wdrożenia khunt .
Zalecenia środków zaradczych od Huntress
Na podstawie tego ataku Huntress zalecił następujące środki zaradcze :
Prawidłowa sanityzacja danych wejściowych i parametryzacja zapytań dla wszystkich danych pochodzących z aplikacji webowych
Ograniczenie uprawnień użytkowników bazy danych, aby nawet wstrzyknięte zapytania nie mogły tworzyć źródeł Javy ani wykonywać dowolnych procedur składowanych
Rozszerzenie zakresu monitorowania o obiekty bazy danych (klasy Javy, wrappery PL/SQL), a nie tylko o artefakty na poziomie systemu operacyjnego
Ten atak jest wyraźnym przypomnieniem, że silniki baz danych z wbudowanymi środowiskami programistycznymi (jak JVM w Oracle) mogą stać się ukrytymi platformami ataku, gdy połączą się z choćby jednym niesprawdzonym polem wejściowym. Zespoły ds. bezpieczeństwa muszą rozszerzyć swoje monitorowanie poza system operacyjny, aby objąć warstwę obiektów bazy danych.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
Jak doszło do ataku: SQL injection przez autouzupełnianie
Początkowym wektorem ataku była podatność SQL injection w publicznie dostępnej aplikacji Java działającej na Apache Tomcat . Funkcja autouzupełniania wyszukiwania nie walidowała poprawnie danych wejściowych, co pozwoliło atakującym wstrzyknąć polecenia SQL przez połączenie JDBC z bazą Oracle . Jak zauważyli badacze z Huntress, nie była to nowa klasa podatności – ataki SQL injection są znane od dziesięcioleci i są zazwyczaj wynikiem nieprawidłowego przetwarzania danych wejściowych . Brak prawidłowej sanityzacji prostego pola wyszukiwania wystarczył, by uruchomić cały łańcuch kompromitacji.
Narzędzie Khunt: Żyjąc wewnątrz bazy danych jako obiekty Javy
Zamiast wdrażać tradycyjne złośliwe oprogramowanie na skompromitowanym serwerze, atakujący użyli wbudowanej w Oracle maszyny wirtualnej Javy (JVM) i instrukcji CREATE JAVA SOURCE, aby skompilować i przechowywać cały zestaw narzędzi do dalszej eksploatacji jako obiekty schematu Javy w bazie Oracle . To podejście sprawiło, że narzędzie było niewidoczne dla standardowych zabezpieczeń na poziomie systemu operacyjnego, ponieważ EDR i antywirusy skupiają się na procesach, plikach binarnych i plikach – nie analizują one klas Javy i wrapperów PL/SQL przechowywanych w Oracle .
Zestaw khunt zawierał następujące komponenty, każdy przechowywany jako obiekt bazy danych:
Komponent
Funkcja
KhuntCmd
Ładuje cmd.exe i wykonuje dowolne polecenia systemu operacyjnego, osadzając je w instrukcjach SQL wysyłanych do bazy
KhuntHash
Wyodrębnia nazwy użytkowników i skróty haseł z wewnętrznych tabel Oracle i zapisuje je do pliku
KhuntFS / KhuntFS2
Eksploratory plików do wyświetlania, odczytywania, wyszukiwania i sprawdzania rozmiarów plików na skompromitowanym systemie
KhuntT
Proste narzędzie do „pingowania”, aby potwierdzić, że zestaw jest zainstalowany i dostępny przed kontynuacją
KhuntUnzip
Narzędzie do rozpakowywania plików
khunt_ wrappery PL/SQL*
Procedury opakowujące PL/SQL używane do wywoływania podstawowych metod Javy
Pełna kontrola systemu: z bazy danych do systemu Windows
Atakujący nie poprzestali na dostępie do bazy danych. Użyli zestawu khunt, aby przejść z warstwy bazy danych do systemu operacyjnego Windows w wieloetapowym procesie:
Wykonanie poleceń OS przez KhuntCmd: Użyli modułu KhuntCmd, aby uruchomić cmd.exe /c whoami, co potwierdziło, że działają z uprawnieniami SYSTEM na serwerze Windows, ustanawiając zdalne wykonanie kodu (RCE) z bazy do systemu operacyjnego .
Kradzież poświadczeń: Użyli PowerShell, aby wywołać reg.exe i skopiować gałęzie rejestru SECURITY i SYSTEM, zapisując je jako khuntSECURITY.hiv i khuntSYSTEM.hiv w F:\Oracle\.
Enumeryzacja usług: Uruchomili tasklist /svc i zapisali wynik jako khunttasks.txt.
Dodatkowe wyodrębnianie gałęzi: Użyli esentutl.exe, aby skopiować gałąź SAM i drugą kopię SECURITY, zapisując je jako khuntSAM.hiv i khunt_SECURITY.hiv.
Wyeksfiltrowane gałęzie rejestru mogły być użyte offline do wyodrębnienia i odszyfrowania skrótów haseł dla wszystkich lokalnych kont w systemie .
Ślepe punkty monitorowania: kluczowe wnioski Huntress
Dochodzenie Huntress ujawniło kilka krytycznych luk, które pozwoliły na ten atak i uniknięcie wykrycia:
Baza danych jako przyczółek ataku: Baza danych została przekształcona z pasywnego magazynu danych w aktywną platformę ataku, a złośliwe narzędzie żyło wewnątrz bazy danych, a nie na dysku czy w pamięci .
Omijanie EDR/AV: Tradycyjne narzędzia EDR i antywirusy nie skanują klas Javy i wrapperów PL/SQL przechowywanych w Oracle, co czyni je niewidocznymi dla standardowych zabezpieczeń na poziomie systemu operacyjnego .
Klasyczna podatność, nowatorski sposób dostarczenia: Początkowy SQL injection był dobrze znaną klasą błędów. Nie był potrzebny żaden zerowy dzień. Funkcja autouzupełniania wystarczyła, aby dotrzeć do PL/SQL, a następnie do systemu operacyjnego, co pokazuje, że podstawowe błędy walidacji wejściowej mogą prowadzić do głębokiej kompromitacji, gdy silnik bazy danych ma możliwości na poziomie systemu operacyjnego .
Nadmiernie uprzywilejowane konta bazy danych: Nawet jeśli SQL injection się powiedzie, szkody są ograniczone, jeśli konto użytkownika bazy danych nie ma uprawnień do tworzenia źródeł Javy lub wykonywania procedur składowanych. Organizacje często nadają zbyt dużo uprawnień kontom bazy danych, co daje atakującym dodatkowe możliwości do wdrożenia khunt .
Zalecenia środków zaradczych od Huntress
Na podstawie tego ataku Huntress zalecił następujące środki zaradcze :
Prawidłowa sanityzacja danych wejściowych i parametryzacja zapytań dla wszystkich danych pochodzących z aplikacji webowych
Ograniczenie uprawnień użytkowników bazy danych, aby nawet wstrzyknięte zapytania nie mogły tworzyć źródeł Javy ani wykonywać dowolnych procedur składowanych
Rozszerzenie zakresu monitorowania o obiekty bazy danych (klasy Javy, wrappery PL/SQL), a nie tylko o artefakty na poziomie systemu operacyjnego
Ten atak jest wyraźnym przypomnieniem, że silniki baz danych z wbudowanymi środowiskami programistycznymi (jak JVM w Oracle) mogą stać się ukrytymi platformami ataku, gdy połączą się z choćby jednym niesprawdzonym polem wejściowym. Zespoły ds. bezpieczeństwa muszą rozszerzyć swoje monitorowanie poza system operacyjny, aby objąć warstwę obiektów bazy danych.
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
