Attackers Compile khunt Inside Oracle to Turn SQL Injection Into Windows SYSTEM Access
Angreifer nutzten eine SQL-Injection-Schwachstelle in einer Webanwendung, um in eine Oracle-Datenbank einzudringen. Dort kompilierten sie Java-Quellcode direkt in der Datenbank zu einem Post-Exploitation-Toolkit namens "khunt", um Befehle auszuführen. Betroffene Organisationen sollten ihre Webanwendungen auf SQL-Injections prüfen und die Sicherheit ihrer Datenbanken verstärken.
Angreifer nutzten eine SQL-Injection-Schwachstelle in einer Webanwendung, um in eine Oracle-Datenbank einzudringen. Dort kompilierten sie Java-Quellcode zu einem Post-Exploitation-Toolkit namens "khunt", um Befehle auszuführen. Diese Methode ermöglichte die Ausführung von Befehlen direkt aus der Datenbank, was potenziell zu Windows SYSTEM-Zugriff führen kann.
Organisationen, die Oracle-Datenbanken in Verbindung mit Webanwendungen betreiben, die anfällig für SQL-Injections sind.
Diese Angriffsmethode zeigt, wie Angreifer eine anfängliche SQL-Injection-Schwachstelle nutzen können, um direkt in der Datenbank ein Post-Exploitation-Toolkit zu kompilieren und auszuführen. Dies umgeht herkömmliche Endpunktsicherheitskontrollen, da keine ausführbaren Dateien auf die Festplatte geschrieben werden, und kann zu weitreichendem Systemzugriff führen.
Ein Angreifer erlangt über eine SQL-Injection SYSTEM-Zugriff auf den Host, der die Oracle-Datenbank hostet, was zur vollständigen Kompromittierung des Servers und der darauf befindlichen Daten führen kann.
Webanwendungen auf SQL-Injection-Schwachstellen prüfen und patchen. Oracle-Datenbanken auf ungewöhnliche Kompilierung oder Ausführung von Code überwachen und die Datenbankhärtung verbessern.
- ▸Überprüfen Sie alle öffentlich zugänglichen Webanwendungen auf bekannte SQL-Injection-Schwachstellen mittels automatisierten Scans und manuellen Tests.
- ▸Überprüfen Sie die Konfiguration Ihrer Oracle-Datenbanken, um sicherzustellen, dass die Kompilierung von Java-Code nur von autorisierten Benutzern und Prozessen möglich ist und unnötige Berechtigungen eingeschränkt sind.
- ▸Implementieren und überprüfen Sie Protokollierungs- und Überwachungsmechanismen für Oracle-Datenbanken, um ungewöhnliche Aktivitäten wie die Kompilierung von Code oder die Ausführung von Systembefehlen zu erkennen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1190 Exploit Public-Facing Application | High | Angreifer nutzten eine SQL-Injection-Schwachstelle in einer Webanwendung, um in eine Oracle-Datenbank einzudringen. |
| Execution | T1059.006 Command and Scripting Interpreter: Python | Low | kompilierten sie Java-Quellcode direkt in der Datenbank zu einem Post-Exploitation-Toolkit namens "khunt", um Befehle auszuführen. |
| Defense Evasion | T1027 Obfuscated Files or Information | Low | ohne ausführbare Dateien auf die Festplatte zu schreiben. |
| Privilege Escalation | T1068 Exploitation for Privilege Escalation | Low | potenziell zu Windows SYSTEM-Zugriff führen. |
- Es wird nicht spezifiziert, welche spezifischen Versionen von Oracle-Datenbanken oder Webanwendungen betroffen sind.
- Es werden keine konkreten CVEs oder IOCs genannt.
- Die genaue Methode, wie 'khunt' SYSTEM-Zugriff erlangt, wird nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Unklar
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir Oracle extern erreichbar?