Un incidente reciente ilustra cómo un ataque clásico de inyección SQL (SQLi) puede combinarse con trucos de base de datos para tomar el control total del sistema subyacente. En este caso, Huntress, investigando la incidencia, señaló que una aplicación pública con backend Oracle aceptó y ejecutó comandos SQL introducidos sin validación adecuada, permitiendo a los atacantes desplegar una toolkit residente en la base de datos, denominada khunt. Este enfoque combina técnicas discutidas desde hace años y, sin embargo, rara vez se observa en la práctica real.

Cómo defendemos

Qué ocurrió a continuación, según Huntress, fue aún más sorprendente: tras la inyección SQL, el atacante logró cargar una toolkit residente en la base de datos para post-explotación, denominada khunt. Esta técnica ha sido descrita en el pasado, incluida la descrita como oraexec, pero su uso en incidentes reales ha sido poco documentado hasta ahora.

La toolkit khunt otorgaba múltiples capacidades al atacante, entre ellas cargar cmd.exe en el sistema y ejecutar comandos del sistema operativo arbitrarios, robar nombres de usuario y contraseñas, listar, leer, buscar y verificar tamaños de archivos (es decir, explorar el sistema comprometido), descomprimir archivos y otras acciones. Entre las opciones más destacadas, los atacantes ejecutaron un comando de PowerShell e invocaron la herramienta de Registro de Windows, copiando las hives SAM, SECURITY y SYSTEM del registro. Más tarde podrían usar estas copias para extraer y decodificar hashes de contraseñas de cuentas locales en el sistema.

Para defenderse de este tipo de ataques, Huntress recomienda asegurar que los formularios no sean inyectables. Es crucial practicar una sanitización de entradas adecuada y la parametrización de consultas para cualquier dato de entrada. También es importante garantizar que los usuarios con la capacidad de ejecutar consultas no estén sobredimensionados en privilegios.

Incluso si alguien logra una inyección SQL, las cuentas de usuario no deberían tener permisos para crear fuentes Java, ejecutar procedimientos almacenados u otras operaciones poderosas.

Lecciones clave:
– Validación y saneamiento de entradas en todas las capas de la aplicación.
– Parametrización de consultas para evitar inyecciones.
– Principio de privilegios mínimos: limitar quién puede ejecutar consultas y operaciones sensibles.
– Controles de registro y monitoreo para detectar actividades de post-explotación y extracción de hives del registro.
– Gestión de credenciales y mecanismos de defensa en el nivel de la base de datos para evitar compromisos de hashes locales.

Este caso subraya la importancia de enfoques de defensa en profundidad que combinen buenas prácticas de desarrollo seguro, controles de acceso estrictos y monitorización continua para reducir la superficie de ataque y contener incidentes cuando ocurren.

from Latest from TechRadar https://ift.tt/gP8h16r
via IFTTT IA