SCCM SCOM WSUS: 2009-10-25

Внедрение SQL-кода (англ. SQL injection) — один из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода.
Внедрение SQL, в зависимости от типа используемой СУБД и условий внедрения, может дать возможность атакующему выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), получить возможность чтения и/или записи локальных файлов и выполнения произвольных команд на атакуемом сервере.

Существует миф, что SQL Injection возможна только в Web-приложениях, но, к несчастью для ВСЕХ разработчиков, внедрение произвольного кода возможно в любом приложении где используется СУБД (так же любая).
В этой статье я хочу показать, что от внедрения SQL-кода не застрахован никто, в тои числе и профессиональные разработчики, пишушие крупные промышленные системы, которые успешно используются на предприятиях. В качестве “жертвы” выступит крупная система документооборота DocsVision 3.6. Опишу суть SQL Injection в DV: допустим у нас официально куплено N-лицензий этой системы документооборота, но мы решили увеличить кол-во этих лицензий путём внедрения своего произвольного кода. Изначально может показаться, что задача практически нерешаемая, так как это комерческий продукт и наверняка разработчики уделили достаточно много времени для его защиты, но…

Запускаем SQL Server Profiler и анализируем все запросы, которые генерит приложение DocsVision, особое внимание уделяем коду, который отсылает приложение при каждом новом подключении пользователя.
И вот, что удалось “поймать”:

1.SELECT COUNT(*) FROM
2.(SELECT DISTINCT [UserID], [ComputerName] FROM [dbo].[dvsys_sessions]) t0

Где [UserID] – идентификатор пользователя, а [ComputerName] – рабочая станция, с которой идёт подключение. Не трудно сделать вывод, что приложение считает кол-во уникальных подключений [UserID]+[ComputerName]. Теперь мы знаем какие значения отслеживает приложение, но, не имея исходного кода, мы не можем поменять текст запроса, который зашит внутри кода, НО мы можем изменить объект к которому идёт обращение, а именно таблицу, которая хранит информацию об этих подключениях: [dbo].[dvsys_sessions].

Смотрим DDL-скрипт этой таблицы:

CREATE TABLE [dbo].[dvsys_sessions](
    [SessionID] [uniqueidentifier] ROWGUIDCOL  NOT NULL,
    [UserID] [uniqueidentifier] NULL,
    [LocaleID] [int] NOT NULL,
    [LoginTime] [datetime] NOT NULL,
    [LastAccessTime] [datetime] NOT NULL,
    [ComputerName] [varchar](32) NULL,
 CONSTRAINT [PK_dvsys_sessions] PRIMARY KEY CLUSTERED
(
    [SessionID] ASC
)WITH (PAD_INDEX  = OFF, STATISTICS_NORECOMPUTE  = OFF, IGNORE_DUP_KEY = OFF, ALLOW_ROW_LOCKS  = ON, ALLOW_PAGE_LOCKS  = ON) ON [PRIMARY]
) ON [PRIMARY]
 
GO

Ну и сразу же возникает идея: обнулять (NULL) поля [UserID] и [ComputerName], но значения всё-таки нужны и просто удалить мы их не можем, для того, чтобы обмануть приложение, создадим в этой таблице 2 наших поля [UserID2] и [ComputerName2], в которые будем дублировать значения из полей [UserID] и [ComputerName], а их сами очищать с помощью DML-триггера. Тогда DDL-скрипт таблицы будет выглядить так:

CREATE TABLE [dbo].[dvsys_sessions](
    [SessionID] [uniqueidentifier] ROWGUIDCOL  NOT NULL,
    [UserID] [uniqueidentifier] NULL,
    [LocaleID] [int] NOT NULL,
    [LoginTime] [datetime] NOT NULL,
    [LastAccessTime] [datetime] NOT NULL,
    [ComputerName] [varchar](32) NULL,
    [UserID2] [uniqueidentifier] NULL,
    [ComputerName2] [varchar](32) NULL,
 CONSTRAINT [PK_dvsys_sessions] PRIMARY KEY CLUSTERED
(
    [SessionID] ASC
)WITH (PAD_INDEX  = OFF, STATISTICS_NORECOMPUTE  = OFF, IGNORE_DUP_KEY = OFF, ALLOW_ROW_LOCKS  = ON, ALLOW_PAGE_LOCKS  = ON) ON [PRIMARY]
) ON [PRIMARY]
 
GO

А код триггера, который и будет выполнять всю “грязную” работу:

CREATE TRIGGER [dbo].[FuckOffConnections] ON [dbo].[dvsys_sessions]
FOR INSERT
AS
Update t1
set
UserID=null,
ComputerName=null,
UserID2=t2.UserID,
ComputerName2=t2.ComputerName
From dvsys_sessions t1 inner join inserted t2 on t1.SessionID=t2.SessionID

Всё, что делает этот триггер-это дублирует записи в наши внедрённые поля, очищая первоисточник. Таким образом, не зависимо от кол-ва подключений к DocsVision, на запрос зашитий в системе всегда будет возвращать одну запись, т.е. система ВСЕГДА будет думать, что используется только одна лицензия.
Но на этом наше SQL-внедрение не закончено, ведь на эту таблицу могут ссылаться другие объекты базы данных, что может привести к сбою в работе. Для поиска всех объектов, которые ссылаются на таблицу [dbo].[dvsys_sessions], выполним запрос:

select distinct OBJECT_NAME(id) obj
from sys.sysdepends
where depid=OBJECT_ID('dbo.dvsys_sessions')

В результате мы получили 4 объекта:

dvsys_log_write_message
dvsys_session_get_info
dvsys_session_list
FuckOffConnections

т.к. FuckOffConnections-это наш триггер, то нам достаточно поправить всего 3 объекта (dvsys_log_write_message, dvsys_session_get_info, dvsys_session_list).
На деле изменения затронули всего 3 объекта, причём всего пару строк:

dvsys_log_write_message

ALTER PROCEDURE [dbo].[dvsys_log_write_message] (
    @UserID AS uniqueidentifier,
    @SessionID AS uniqueidentifier,
    @Type AS int,
    @Operation As int,
    @Code AS int,
    @TypeID AS uniqueidentifier = NULL,
    @ResourceID AS uniqueidentifier = NULL,
    @ParentID AS uniqueidentifier = NULL,
    @NewResourceID AS uniqueidentifier = NULL,
    @ResourceName As nvarchar(512) = NULL,
    @Data AS ntext = NULL
    )
AS
BEGIN
    SET NOCOUNT ON
    DECLARE @ComputerName AS varchar(32)
    DECLARE @InternalData AS varchar(128)
    SELECT @InternalData = NULL
 
    -- Retrieve ComputerName
    --Оригинальный код
    --SELECT @ComputerName = [ComputerName]
    --FROM [dbo].[dvsys_sessions] WITH(NOLOCK)
    --WHERE [SessionID] = @SessionID
 
    --Код, который мы внедрили:
    SELECT @ComputerName = [ComputerName2]
    FROM [dbo].[dvsys_sessions] WITH(NOLOCK)
    WHERE [SessionID] = @SessionID
 
    -- Retrieve LoginTime for Logout operation
    IF @Operation = 2
    BEGIN
        SELECT @InternalData = CONVERT(varchar(128), [LoginTime], 20)
        FROM [dbo].[dvsys_sessions] WITH(NOLOCK)
        WHERE [SessionID] = @SessionID
    END ELSE
    -- Get Card description and Card type ID
    IF (@Operation >= 3 AND @Operation <= 7) OR @Operation = 20
    BEGIN
        SELECT @ResourceName = [Description], @TypeID = CardTypeID
        FROM [dbo].[dvview_instances] WITH(NOLOCK)
        WHERE InstanceID = @ResourceID
    END ELSE
    -- Get Card description, Card type ID and topic name
    IF @Operation = 27
    BEGIN
        SELECT @ResourceName = [Description], @TypeID = CardTypeID, @InternalData = [Topic]
        FROM [dbo].[dvview_instances] WITH(NOLOCK)
        WHERE InstanceID = @ResourceID
    END ELSE
    -- Get InstanceID and description of Card that has row with specified ResourceID in section with specified TypeID
    IF (@Operation >= 8 AND @Operation <= 12) OR @Operation = 13 OR @Operation = 19
    BEGIN
        IF @ParentID IS NULL
        BEGIN
            DECLARE @GetRowParentID AS nvarchar(256)
            SELECT @GetRowParentID = N'SELECT @ParentID = [InstanceID] FROM [dvtable_{' + CONVERT(nvarchar(36), @TypeID) +
                N'}] WITH(NOLOCK) WHERE [RowID] = ''{' + CONVERT(nvarchar(36), @ResourceID) + N'}'''
 
            EXECUTE [dbo].[sp_executesql] @GetRowParentID, N'@ParentID uniqueidentifier OUTPUT', @ParentID OUTPUT
        END
 
        SELECT @ResourceName = [Description]
        FROM [dbo].[dvview_instances] WITH(NOLOCK)
        WHERE InstanceID = @ParentID
    END ELSE
    -- Get File name
    IF ((@Operation >= 14) AND (@Operation <= 18)) OR (@Operation = 21) OR (@Operation = 24) OR (@Operation = 25)
    BEGIN
        SELECT @ResourceName = [Name]
        FROM [dbo].[dvview_files] WITH(NOLOCK)
        WHERE FileID = @ResourceID
 
        -- Get Destination File name
        IF (@Operation = 25)
        BEGIN
            SELECT @InternalData = [Name]
            FROM [dbo].[dvview_files] WITH(NOLOCK)
            WHERE FileID = @ParentID
        END
    END ELSE
    -- Get Card description
    IF @Operation = 19
    BEGIN
        SELECT @ResourceName = [Description]
        FROM [dbo].[dvview_instances] WITH(NOLOCK)
        WHERE InstanceID = @ParentID
    END ELSE
    -- Get Report alias
    IF @Operation = 23
    BEGIN
        SELECT @ResourceName = [Alias]
        FROM [dbo].[dvsys_reports] WITH(NOLOCK)
        WHERE ID = @ResourceID
    END ELSE
    -- Get Card Type alias
    IF @Operation = 26
    BEGIN
        SELECT @ResourceName = [Alias]
        FROM [dbo].[dvsys_carddefs] WITH(NOLOCK)
        WHERE CardTypeID = @ResourceID
    END
 
    INSERT [dbo].[dvsys_log] WITH(ROWLOCK) (UserID, ComputerName, [Date], Type, Operation, Code, TypeID, ResourceID, ParentID, ResourceName, NewResourceID, Data)
    VALUES(@UserID, @ComputerName, GETDATE(), @Type, @Operation, @Code, @TypeID, @ResourceID, @ParentID, @ResourceName, @NewResourceID, ISNULL(@Data, @InternalData))
END

dvsys_session_get_info

ALTER PROCEDURE [dbo].[dvsys_session_get_info] (
    @SessionID AS uniqueidentifier
    )
AS
BEGIN
--Оригинальный код
--  SELECT t0.UserID, LocaleID, AccountName, ISNULL(ComputerName, '')
--  FROM [dbo].[dvsys_sessions] t0 WITH(NOLOCK)
--  JOIN [dbo].[dvsys_users] t1 WITH(NOLOCK) ON t0.UserID = t1.UserID
--  WHERE (SessionID = @SessionID)
 
--Внедрённый код
    SELECT t0.UserID2 as UserID, LocaleID, AccountName, ISNULL(ComputerName2, '')
    FROM [dbo].[dvsys_sessions] t0 WITH(NOLOCK)
    JOIN [dbo].[dvsys_users] t1 WITH(NOLOCK) ON t0.UserID2 = t1.UserID
    WHERE (SessionID = @SessionID)
END

dvsys_session_list

ALTER PROCEDURE [dbo].[dvsys_session_list]
AS
BEGIN
 
--Оригинальный код
--  SELECT SessionID, AccountName, LoginTime, LastAccessTime, ComputerName
--  FROM [dbo].[dvsys_sessions] t0 WITH(NOLOCK)
--  JOIN [dbo].[dvsys_users] t1 WITH(NOLOCK) ON t0.UserID = t1.UserID
--  ORDER BY AccountName ASC, LoginTime DESC
 
--Внедрённый код
    SELECT SessionID, AccountName, LoginTime, LastAccessTime, ComputerName2 as ComputerName
    FROM [dbo].[dvsys_sessions] t0 WITH(NOLOCK)
    JOIN [dbo].[dvsys_users] t1 WITH(NOLOCK) ON t0.UserID2 = t1.UserID
    ORDER BY AccountName ASC, LoginTime DESC
END

Вот и всё, за какие-то 30-40 минут, путём внедрения своего SQL-кода, мы увеличили кол-во лицензий до бесконечности (при этом совсем не затронув само приложение и не утратив его полную работоспособность).

Permission	Apply To
Reset Password	Computer Objects
Validated write to DNS host name	Computer Objects
Validated write to service principal name	Computer Objects
Read/Write Account Restrictions	Computer Objects
Create/Delete Computer Objects	This object and all descendant objects

Oct 30, 2009

SQL Injection в DocsVision 3.6

Domain Join Account – Minimum Rights

Set SPN for SQL 2005 (SCCM Remote SQL Fix)

Total Pageviews