คำตอบการวิจัย
ประเด็นสำคัญ Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle แฮกเกอร์ใช้ CREATE JAVA SOURCE ใน Oracle JVM เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือ 'khunt' ทั้งหมดเป็น Java schema object ภายในฐานข้อมูล ทำให้ EDR และ Antivirus ตรวจจับไม่ได้ เครื่องมือ khunt ประกอบด้วย KhuntCmd, KhuntHash, KhuntFS/FS2, KhuntT, KhuntUnzip และ PL/SQL wrappers ซึ่งช่วยให้แฮกเกอร์ยกระดับสิทธิ์เป็น SYSTEM และขโมย SAM, SECURITY, SYSTEM registry hives Huntress ชี้ให้เห็นว่าการโจมตีครั้งนี้เผยให้เห็นจุดบอดสำคัญ: ระบบ EDR/AV ไม่ได้ตรวจสอบ Java object และ PL/SQL wrapper ใน Oracle และบัญชีฐานข้อมูลที่ได้รับสิทธิ์มากเกินไปทำให้การโจมตีสำเร็จ What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w AI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com เมื่อวันที่ 27 กรกฎาคม 2026 ทีม Huntress ได้รับแจ้งเตือนถึงกิจกรรมการขโมยข้อมูลประจำตัวบนเซิร์ฟเวอร์ที่โฮสต์ฐานข้อมูล Oracle
คนยังถาม คำตอบสั้น ๆ สำหรับ "เจาะลึกการโจมตี Khunt: เมื่อแฮกเกอร์เปลี่ยนฐานข้อมูล Oracle ให้เป็นฐานปฏิบัติการหลังการแสวงหาประโยชน์" คืออะไร Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle แฮกเกอร์ใช้ CREATE JAVA SOURCE ใน Oracle JVM เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือ 'khunt' ทั้งหมดเป็น Java schema object ภายในฐานข้อมูล ทำให้ EDR และ Antivirus ตรวจจับไม่ได้
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? เครื่องมือ khunt ประกอบด้วย KhuntCmd, KhuntHash, KhuntFS/FS2, KhuntT, KhuntUnzip และ PL/SQL wrappers ซึ่งช่วยให้แฮกเกอร์ยกระดับสิทธิ์เป็น SYSTEM และขโมย SAM, SECURITY, SYSTEM registry hives
คำตอบการวิจัย
ประเด็นสำคัญ Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle แฮกเกอร์ใช้ CREATE JAVA SOURCE ใน Oracle JVM เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือ 'khunt' ทั้งหมดเป็น Java schema object ภายในฐานข้อมูล ทำให้ EDR และ Antivirus ตรวจจับไม่ได้ เครื่องมือ khunt ประกอบด้วย KhuntCmd, KhuntHash, KhuntFS/FS2, KhuntT, KhuntUnzip และ PL/SQL wrappers ซึ่งช่วยให้แฮกเกอร์ยกระดับสิทธิ์เป็น SYSTEM และขโมย SAM, SECURITY, SYSTEM registry hives Huntress ชี้ให้เห็นว่าการโจมตีครั้งนี้เผยให้เห็นจุดบอดสำคัญ: ระบบ EDR/AV ไม่ได้ตรวจสอบ Java object และ PL/SQL wrapper ใน Oracle และบัญชีฐานข้อมูลที่ได้รับสิทธิ์มากเกินไปทำให้การโจมตีสำเร็จ What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w AI-generated editorial hero image representing the July 2026 khunt SQL injection attack on an Oracle database AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What was the SQL injection attack discovered in July 2026 that used Oracle database objects to host the "khunt" post-exploitation toolkit, w. Article summary: Here is a complete breakdown of the attack, the toolkit, the privilege escalation path, and the defensive blind spots identified by Huntress.. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layo
openai.com เมื่อวันที่ 27 กรกฎาคม 2026 ทีม Huntress ได้รับแจ้งเตือนถึงกิจกรรมการขโมยข้อมูลประจำตัวบนเซิร์ฟเวอร์ที่โฮสต์ฐานข้อมูล Oracle
คนยังถาม คำตอบสั้น ๆ สำหรับ "เจาะลึกการโจมตี Khunt: เมื่อแฮกเกอร์เปลี่ยนฐานข้อมูล Oracle ให้เป็นฐานปฏิบัติการหลังการแสวงหาประโยชน์" คืออะไร Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? Huntress ค้นพบการโจมตี SQL injection ในเดือนกรกฎาคม 2026 แฮกเกอร์ใช้ช่องโหว่ในฟีเจอร์ค้นหาอัตโนมัติของเว็บแอป Java/Tomcat เพื่อเจาะเข้าสู่ฐานข้อมูล Oracle แฮกเกอร์ใช้ CREATE JAVA SOURCE ใน Oracle JVM เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือ 'khunt' ทั้งหมดเป็น Java schema object ภายในฐานข้อมูล ทำให้ EDR และ Antivirus ตรวจจับไม่ได้
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? เครื่องมือ khunt ประกอบด้วย KhuntCmd, KhuntHash, KhuntFS/FS2, KhuntT, KhuntUnzip และ PL/SQL wrappers ซึ่งช่วยให้แฮกเกอร์ยกระดับสิทธิ์เป็น SYSTEM และขโมย SAM, SECURITY, SYSTEM registry hives
กลไกการโจมตี: SQL Injection ผ่านฟีเจอร์ค้นหาอัตโนมัติ
ชุดเครื่องมือ Khunt: อาศัยอยู่ในฐานข้อมูลในรูปแบบวัตถุ Java แทนที่จะใช้ไฟล์มัลแวร์แบบดั้งเดิมบนเซิร์ฟเวอร์ที่ถูกบุกรุก ผู้โจมตีใช้ Java Virtual Machine (JVM) ที่ติดตั้งมาพร้อมกับ Oracle และคำสั่ง CREATE JAVA SOURCE เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือหลังการแสวงหาประโยชน์ทั้งหมดเป็นวัตถุ Java schema ภายในฐานข้อมูล Oracle
ชุดเครื่องมือ khunt ประกอบด้วยส่วนประกอบเหล่านี้ ซึ่งแต่ละส่วนจะถูกจัดเก็บเป็นวัตถุฐานข้อมูล:
ส่วนประกอบ หน้าที่ KhuntCmd โหลด cmd.exe และเรียกใช้คำสั่ง OS ตามอำเภอใจโดยฝังไว้ในคำสั่ง SQL ที่ส่งไปยังฐานข้อมูล KhuntHash ดึงชื่อผู้ใช้และแฮชรหัสผ่านจากตารางผู้ใช้ภายในของ Oracle และบันทึกลงในไฟล์ KhuntFS / KhuntFS2 โปรแกรมสำรวจไฟล์สำหรับแสดงรายการ, อ่าน, ค้นหา และตรวจสอบขนาดไฟล์บนระบบที่ถูกบุกรุก KhuntT เครื่องมือ "ping" อย่างง่ายเพื่อยืนยันว่าติดตั้งชุดเครื่องมือแล้วและสามารถเข้าถึงได้ก่อนดำเนินการต่อ KhuntUnzip ยูทิลิตี้สำหรับแตกไฟล์ zip khunt_ PL/SQL wrappersโพรซีเดอร์ PL/SQL ที่ใช้เรียกเมธอด Java ที่อยู่เบื้องหลัง
การควบคุมระบบเต็มรูปแบบ: จากฐานข้อมูลสู่ระบบปฏิบัติการ Windows ผู้โจมตีไม่ได้หยุดแค่การเข้าถึงระดับฐานข้อมูล พวกเขาใช้ชุดเครื่องมือ khunt เพื่อขยายขอบเขตจากชั้นฐานข้อมูลไปยังระบบปฏิบัติการ Windows ที่อยู่เบื้องหลังในหลายขั้นตอน:
การเรียกใช้คำสั่ง OS ผ่าน KhuntCmd : พวกเขาใช้โมดูล KhuntCmd เพื่อรัน cmd.exe /c whoami ซึ่งยืนยันว่าพวกเขากำลังทำงานด้วยสิทธิ์ SYSTEM บนเซิร์ฟเวอร์ Windows ทำให้เกิดการเรียกใช้โค้ดระยะไกล (RCE) จากฐานข้อมูลไปยัง OS การขโมยข้อมูลประจำตัว : พวกเขาใช้ PowerShell เพื่อเรียก reg.exe และคัดลอกรีจิสทรี hive ของ SECURITY และ SYSTEM โดยบันทึกเป็น khuntSECURITY.hiv และ khuntSYSTEM.hiv ใน F:\Oracle\ การระบุบริการ : พวกเขารัน tasklist /svc และบันทึกผลลัพธ์เป็น khunttasks.txt การดึง hive เพิ่มเติม : พวกเขาใช้ esentutl.exe เพื่อคัดลอก SAM และ SECURITY hive ชุดที่สอง โดยบันทึกเป็น khuntSAM.hiv และ khunt_SECURITY.hiv รีจิสทรี hive ที่ถูกส่งออกไปสามารถใช้แบบออฟไลน์เพื่อดึงและถอดรหัสแฮชรหัสผ่านสำหรับบัญชีท้องถิ่นทั้งหมดบนระบบ
จุดบอดด้านการป้องกัน: ข้อค้นพบสำคัญของ Huntress การสืบสวนของ Huntress เผยให้เห็นจุดบอดที่สำคัญหลายประการที่ทำให้การโจมตีครั้งนี้สำเร็จและหลบเลี่ยงการตรวจจับได้:
การเปลี่ยนฐานข้อมูลเป็นฐานปฏิบัติการ : ฐานข้อมูลถูกเปลี่ยนจากคลังข้อมูลแบบพาสซีฟเป็นแพลตฟอร์มการโจมตีแบบแอคทีฟ โดยเครื่องมือที่เป็นอันตรายอาศัยอยู่ภายในฐานข้อมูลแทนที่จะอยู่บนดิสก์หรือในหน่วยความจำ การหลบเลี่ยง EDR/AV : เครื่องมือ EDR และ Antivirus แบบดั้งเดิมมักไม่ตรวจสอบคลาส Java และ PL/SQL wrapper ที่เก็บไว้ภายใน Oracle ทำให้เครื่องมือมองไม่เห็นระบบป้องกันระดับ OS มาตรฐาน ช่องโหว่คลาสสิก รูปแบบการส่งมอบใหม่ : การโจมตี SQL injection ครั้งแรกเป็นช่องโหว่ที่รู้จักกันดี ไม่จำเป็นต้องใช้ zero-day ฟีเจอร์ค้นหาอัตโนมัติก็เพียงพอที่จะไปถึง PL/SQL และจากนั้นก็ไปยัง OS ซึ่งแสดงให้เห็นว่าความล้มเหลวในการตรวจสอบอินพุตพื้นฐานสามารถนำไปสู่การบุกรุกอย่างลึกซึ้งเมื่อเอ็นจิ้นฐานข้อมูลมีความสามารถระดับ OS บัญชีฐานข้อมูลที่ได้รับสิทธิ์มากเกินไป : แม้ว่า SQL injection จะสำเร็จ ความเสียหายก็จะถูกจำกัดหากบัญชีผู้ใช้ฐานข้อมูลไม่มีสิทธิ์ในการสร้าง Java source หรือเรียกใช้ stored procedure องค์กรมักจะให้สิทธิ์บัญชีฐานข้อมูลมากเกินไป ทำให้ผู้โจมตีมีสิทธิ์พิเศษที่จำเป็นในการปรับใช้ khunt
มาตรการบรรเทาผลกระทบที่ Huntress แนะนำ จากการโจมตีครั้งนี้ Huntress แนะนำมาตรการบรรเทาผลกระทบหลายประการ
การตรวจสอบอินพุตและการกำหนดพารามิเตอร์แบบสอบถามที่เหมาะสมสำหรับอินพุตเว็บทั้งหมด
การจำกัดสิทธิ์ของผู้ใช้ฐานข้อมูล เพื่อให้แม้แต่คำสั่งที่ถูกฉีดก็ไม่สามารถสร้าง Java source หรือเรียกใช้ stored procedure ตามอำเภอใจได้
การขยายขอบเขตการตรวจสอบให้ครอบคลุมวัตถุฐานข้อมูล (Java classes, PL/SQL wrappers) แทนที่จะจำกัดเฉพาะสิ่งประดิษฐ์ระดับ OS
การโจมตีครั้งนี้เป็นเครื่องเตือนใจที่ชัดเจนว่าเอ็นจิ้นฐานข้อมูลที่มีสภาพแวดล้อมการเขียนโปรแกรมในตัว (เช่น Oracle JVM) สามารถกลายเป็นแพลตฟอร์มการโจมตีที่แฝงตัวได้ เมื่อรวมกับฟิลด์อินพุตที่ไม่ผ่านการตรวจสอบแม้แต่ฟิลด์เดียว ทีมรักษาความปลอดภัยต้องขยายการตรวจสอบให้เกินกว่าระบบปฏิบัติการเพื่อรวมชั้นวัตถุฐานข้อมูลด้วย
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
กลไกการโจมตี: SQL Injection ผ่านฟีเจอร์ค้นหาอัตโนมัติ
ชุดเครื่องมือ Khunt: อาศัยอยู่ในฐานข้อมูลในรูปแบบวัตถุ Java แทนที่จะใช้ไฟล์มัลแวร์แบบดั้งเดิมบนเซิร์ฟเวอร์ที่ถูกบุกรุก ผู้โจมตีใช้ Java Virtual Machine (JVM) ที่ติดตั้งมาพร้อมกับ Oracle และคำสั่ง CREATE JAVA SOURCE เพื่อคอมไพล์และจัดเก็บชุดเครื่องมือหลังการแสวงหาประโยชน์ทั้งหมดเป็นวัตถุ Java schema ภายในฐานข้อมูล Oracle
ชุดเครื่องมือ khunt ประกอบด้วยส่วนประกอบเหล่านี้ ซึ่งแต่ละส่วนจะถูกจัดเก็บเป็นวัตถุฐานข้อมูล:
ส่วนประกอบ หน้าที่ KhuntCmd โหลด cmd.exe และเรียกใช้คำสั่ง OS ตามอำเภอใจโดยฝังไว้ในคำสั่ง SQL ที่ส่งไปยังฐานข้อมูล KhuntHash ดึงชื่อผู้ใช้และแฮชรหัสผ่านจากตารางผู้ใช้ภายในของ Oracle และบันทึกลงในไฟล์ KhuntFS / KhuntFS2 โปรแกรมสำรวจไฟล์สำหรับแสดงรายการ, อ่าน, ค้นหา และตรวจสอบขนาดไฟล์บนระบบที่ถูกบุกรุก KhuntT เครื่องมือ "ping" อย่างง่ายเพื่อยืนยันว่าติดตั้งชุดเครื่องมือแล้วและสามารถเข้าถึงได้ก่อนดำเนินการต่อ KhuntUnzip ยูทิลิตี้สำหรับแตกไฟล์ zip khunt_ PL/SQL wrappersโพรซีเดอร์ PL/SQL ที่ใช้เรียกเมธอด Java ที่อยู่เบื้องหลัง
การควบคุมระบบเต็มรูปแบบ: จากฐานข้อมูลสู่ระบบปฏิบัติการ Windows ผู้โจมตีไม่ได้หยุดแค่การเข้าถึงระดับฐานข้อมูล พวกเขาใช้ชุดเครื่องมือ khunt เพื่อขยายขอบเขตจากชั้นฐานข้อมูลไปยังระบบปฏิบัติการ Windows ที่อยู่เบื้องหลังในหลายขั้นตอน:
การเรียกใช้คำสั่ง OS ผ่าน KhuntCmd : พวกเขาใช้โมดูล KhuntCmd เพื่อรัน cmd.exe /c whoami ซึ่งยืนยันว่าพวกเขากำลังทำงานด้วยสิทธิ์ SYSTEM บนเซิร์ฟเวอร์ Windows ทำให้เกิดการเรียกใช้โค้ดระยะไกล (RCE) จากฐานข้อมูลไปยัง OS การขโมยข้อมูลประจำตัว : พวกเขาใช้ PowerShell เพื่อเรียก reg.exe และคัดลอกรีจิสทรี hive ของ SECURITY และ SYSTEM โดยบันทึกเป็น khuntSECURITY.hiv และ khuntSYSTEM.hiv ใน F:\Oracle\ การระบุบริการ : พวกเขารัน tasklist /svc และบันทึกผลลัพธ์เป็น khunttasks.txt การดึง hive เพิ่มเติม : พวกเขาใช้ esentutl.exe เพื่อคัดลอก SAM และ SECURITY hive ชุดที่สอง โดยบันทึกเป็น khuntSAM.hiv และ khunt_SECURITY.hiv รีจิสทรี hive ที่ถูกส่งออกไปสามารถใช้แบบออฟไลน์เพื่อดึงและถอดรหัสแฮชรหัสผ่านสำหรับบัญชีท้องถิ่นทั้งหมดบนระบบ
จุดบอดด้านการป้องกัน: ข้อค้นพบสำคัญของ Huntress การสืบสวนของ Huntress เผยให้เห็นจุดบอดที่สำคัญหลายประการที่ทำให้การโจมตีครั้งนี้สำเร็จและหลบเลี่ยงการตรวจจับได้:
การเปลี่ยนฐานข้อมูลเป็นฐานปฏิบัติการ : ฐานข้อมูลถูกเปลี่ยนจากคลังข้อมูลแบบพาสซีฟเป็นแพลตฟอร์มการโจมตีแบบแอคทีฟ โดยเครื่องมือที่เป็นอันตรายอาศัยอยู่ภายในฐานข้อมูลแทนที่จะอยู่บนดิสก์หรือในหน่วยความจำ การหลบเลี่ยง EDR/AV : เครื่องมือ EDR และ Antivirus แบบดั้งเดิมมักไม่ตรวจสอบคลาส Java และ PL/SQL wrapper ที่เก็บไว้ภายใน Oracle ทำให้เครื่องมือมองไม่เห็นระบบป้องกันระดับ OS มาตรฐาน ช่องโหว่คลาสสิก รูปแบบการส่งมอบใหม่ : การโจมตี SQL injection ครั้งแรกเป็นช่องโหว่ที่รู้จักกันดี ไม่จำเป็นต้องใช้ zero-day ฟีเจอร์ค้นหาอัตโนมัติก็เพียงพอที่จะไปถึง PL/SQL และจากนั้นก็ไปยัง OS ซึ่งแสดงให้เห็นว่าความล้มเหลวในการตรวจสอบอินพุตพื้นฐานสามารถนำไปสู่การบุกรุกอย่างลึกซึ้งเมื่อเอ็นจิ้นฐานข้อมูลมีความสามารถระดับ OS บัญชีฐานข้อมูลที่ได้รับสิทธิ์มากเกินไป : แม้ว่า SQL injection จะสำเร็จ ความเสียหายก็จะถูกจำกัดหากบัญชีผู้ใช้ฐานข้อมูลไม่มีสิทธิ์ในการสร้าง Java source หรือเรียกใช้ stored procedure องค์กรมักจะให้สิทธิ์บัญชีฐานข้อมูลมากเกินไป ทำให้ผู้โจมตีมีสิทธิ์พิเศษที่จำเป็นในการปรับใช้ khunt
มาตรการบรรเทาผลกระทบที่ Huntress แนะนำ จากการโจมตีครั้งนี้ Huntress แนะนำมาตรการบรรเทาผลกระทบหลายประการ
การตรวจสอบอินพุตและการกำหนดพารามิเตอร์แบบสอบถามที่เหมาะสมสำหรับอินพุตเว็บทั้งหมด
การจำกัดสิทธิ์ของผู้ใช้ฐานข้อมูล เพื่อให้แม้แต่คำสั่งที่ถูกฉีดก็ไม่สามารถสร้าง Java source หรือเรียกใช้ stored procedure ตามอำเภอใจได้
การขยายขอบเขตการตรวจสอบให้ครอบคลุมวัตถุฐานข้อมูล (Java classes, PL/SQL wrappers) แทนที่จะจำกัดเฉพาะสิ่งประดิษฐ์ระดับ OS
การโจมตีครั้งนี้เป็นเครื่องเตือนใจที่ชัดเจนว่าเอ็นจิ้นฐานข้อมูลที่มีสภาพแวดล้อมการเขียนโปรแกรมในตัว (เช่น Oracle JVM) สามารถกลายเป็นแพลตฟอร์มการโจมตีที่แฝงตัวได้ เมื่อรวมกับฟิลด์อินพุตที่ไม่ผ่านการตรวจสอบแม้แต่ฟิลด์เดียว ทีมรักษาความปลอดภัยต้องขยายการตรวจสอบให้เกินกว่าระบบปฏิบัติการเพื่อรวมชั้นวัตถุฐานข้อมูลด้วย
ibgids.nl
Hackers installeren khunt toolkit via SQL-injectie in Oracle ...
