ช่องโหว่ SQL injection ผนวกรวมกับ oraexec ทำให้แฮกเกอร์ควบคุม Windows Server

การโจมตีแบบ SQL injection ที่ใช้ฐานข้อมูล Oracle ถูกตรวจพบว่าได้ถูกผสมกับเทคนิค “oraexec” เพื่ออัปโหลดเครื่องมือหลังการเจาะระบบชื่อ khunt ไปยังเซิร์ฟเวอร์ Windows ทั้งหลาย การรั่วไหลของข้อมูลและความสามารถในการควบคุมระบบระดับสูงนี้ทำให้ผู้ดูแลต้องทบทวนมาตรฐานการป้องกันเว็บแอปพลิเคชันอย่างเร่งด่วน

Overview

เหตุการณ์เกิดขึ้นกับแอปพลิเคชันที่เปิดเผยต่อสาธารณะซึ่งเชื่อมต่อกับ Oracle backend โดยไม่ได้ทำการตรวจสอบหรือกรองข้อมูลที่ผู้ใช้ส่งเข้าไปผ่านฟอร์มใด ๆ ผลจากความล่าช้าของมาตรการเหล่านี้ทำให้ผู้โจมตีสามารถแทรกคำสั่ง SQL ที่เป็นอันตรายได้อย่างอิสระ ตามรายงานของบริษัท Huntress การโจมตีแบบนี้ถือว่าเป็นเทคนิคที่เคยมีมากว่าหลายสิบปีแล้ว แต่ยังคงพบเจออยู่ในระบบที่ไม่ได้รับการป้องกันที่เหมาะสม

Attack Chain

หลังจากผู้โจมตีประสบความสำเร็จในการทำ SQL injection พวกเขาใช้ช่องโหว่นี้เพื่ออัปโหลดไฟล์เครื่องมือพิเศษซึ่งถูกเก็บไว้ภายในฐานข้อมูล ไฟล์ดังกล่าวคือชุดเครื่องมือที่ชื่อว่า khunt ซึ่งเป็น toolkit ที่ออกแบบมาสำหรับการทำ post‑exploitation ภายในระบบเป้าหมาย การใช้วิธีนี้เป็นกรณีศึกษาที่หายากในสนามไซเบอร์ เนื่องจากต้องอาศัยความเข้าใจเชิงลึกของฟังก์ชัน oraexec ของ Oracle ซึ่งโดยทั่วไปมักถูกพูดถึงแต่ไม่ค่อยมีการใช้งานจริง

ต่อมาเครื่องมือ khunt ทำงานบนเซิร์ฟเวอร์ Windows โดยเปิดใช้ cmd.exe และ PowerShell เพื่อรันคำสั่งของระบบปฏิบัติการ ผู้โจมตีจึงสามารถเข้าถึงข้อมูลสำคัญได้หลายประเภท เช่น รายชื่อผู้ใช้และรหัสผ่าน การค้นหาไฟล์และตรวจสอบขนาดไฟล์ รวมถึงการแตกไฟล์ ZIP ที่อาจเป็นส่วนหนึ่งของการส่งต่อข้อมูลเพิ่มเติม

Khunt Toolkit Capabilities

เครื่องมือ khunt มีฟังก์ชันหลากหลายที่ช่วยให้ผู้โจมตีควบคุมระบบได้อย่างเต็มที่ รายละเอียดของความสามารถสำคัญ ได้แก่:

• โหลดและเรียกใช้ cmd.exe หรือ PowerShell เพื่อรันคำสั่ง OS ใด ๆ
• ขโมยชื่อผู้ใช้และรหัสผ่านจากระบบ รวมถึงการค้นหาไฟล์ที่อาจบรรจุข้อมูลลับ
• แสดงรายการไฟล์ อ่านเนื้อหา ค้นหาคำสำคัญ และตรวจสอบขนาดไฟล์ในโครงสร้างของเครื่องเป้าหมาย
• แตกไฟล์ ZIP ที่อัปโหลดเข้ามาเพื่อดึงข้อมูลเพิ่มเติม

โดยเฉพาะอย่างยิ่ง ผู้โจมตีเลือกใช้คำสั่ง PowerShell เพื่อเรียกโปรแกรมจัดการรีจิสทรี Windows และคัดลอก hive ของ SAM, SECURITY, และ SYSTEM ไปยังที่เก็บชั่วคราว การทำเช่นนี้เปิดโอกาสให้สามารถถอดรหัสแฮชของบัญชีผู้ใช้ภายในระบบได้ในภายหลัง

Defense Recommendations

ตามคำแนะนำของ Huntress การป้องกันขั้นพื้นฐานเริ่มจากการตรวจสอบและทำความสะอาดข้อมูลที่รับเข้ามาทุกจุด ควรใช้เทคนิค input sanitization และ query parameterization อย่างเคร่งครัดเพื่อขจัดความเป็นไปได้ในการแทรกคำสั่ง SQL นอกจากนี้ ผู้ดูแลระบบควรจำกัดสิทธิ์ของบัญชีผู้ใช้ที่สามารถดำเนินการ query บนฐานข้อมูลให้เหลือน้อยที่สุด ไม่ให้มีการมอบหมายสิทธิ์เกินความจำเป็น

แม้ว่าโจมตีแบบ SQL injection จะสำเร็จแล้ว การกำหนดสิทธิ์บนระดับฐานข้อมูลให้ไม่สามารถสร้างหรือรันโค้ด Java หรือเรียกใช้ stored procedures ก็จะช่วยลดผลกระทบได้อย่างมีนัยสำคัญ การทำ audit ของการตั้งค่าผู้ใช้และการตรวจสอบล็อกของ Oracle อย่างสม่ำเสมอเป็นขั้นตอนที่ควรดำเนินต่อไป

Impact and Implications

ความสามารถของ khunt ในการเข้าถึงและดึงข้อมูลรีจิสทรีสำคัญทำให้ผู้โจมตีสามารถแยกแยะและถอดรหัสแฮชของบัญชีผู้ใช้บน Windows Server ได้อย่างง่ายดาย ส่งผลให้ระบบที่เคยเชื่อถือได้กลายเป็นเป้าหมายที่อ่อนแอต่อการเข้าถึงโดยไม่ได้รับอนุญาต การโจมตีดังกล่าวยังเปิดเผยความเสี่ยงขององค์กรหลายระดับ ตั้งแต่การละเมิดข้อมูลส่วนบุคคลของพนักงาน ไปจนถึงการสูญเสียความเชื่อมั่นจากลูกค้าและพันธมิตร

นอกจากนี้ การใช้เทคนิคเก่าอย่าง SQL injection ร่วมกับวิธีการใหม่เช่น oraexec แสดงให้เห็นว่าผู้โจมตียังคงหาช่องทางใหม่ ๆ จากช่องโหว่ที่อาจถูกมองข้ามมาเป็นเวลานาน จึงทำให้องค์กรต้องเพิ่มความตระหนักและทบทวนกระบวนการพัฒนาแอปพลิเคชันให้สอดคล้องกับแนวทางความปลอดภัยล่าสุด

Summary

การโจมตีที่ผสมผสาน SQL injection กับเทคนิค oraexec ทำให้ผู้โจมตีสามารถติดตั้ง toolkit khunt บนเซิร์ฟเวอร์ Windows และดึงข้อมูลรีจิสทรีสำคัญออกมาได้ การป้องกันต้องอาศัยการกรองอินพุตอย่างเคร่งครัดและการจำกัดสิทธิ์ของบัญชีผู้ใช้บนฐานข้อมูลเพื่อหลีกเลี่ยงผลกระทบในระดับระบบ.