Averiguar el Nombre de un Servidor SQL Server con Excel, Cadenas de Conexión, y Autenticación Integrada NTLM

Cuando estuve escribiendo la última parte de Hacking Remote Applications: Escaneando la Red Interna con Excel, acababa diciendo que, al igual que en los ataques de Connection String Parameter Pollution podríamos robar el hash NTLM de sesión para intentar crackear la contraseña de la cuenta con la que corre el servicio de Terminal Services o Citrix. Sin embargo, no hice la prueba hasta ayer mismo, ya que sabía que iba a funcionar. La sorpresa es que cuando lo he hecho me he encontrado con algo que yo no sabía y que me ha dado para jugar un rato. Esta es la historia.

Cuando hicimos las pruebas iniciales de robo de hash NTLM de sesión usamos CAIN, ya que directamente trae un módulo que reconoce las cadenas de autenticación por TDS (Tabular Data Stream) de SQL Server y nos hacía la vida mucho más fácil.

Figura 1: Hash NTLM de Sesión en CAIN, robado con un Connection String Parameter Pollution Attack

Sin embargo, cuando lo hemos probado con un Excel en Citrix conectándolo con una cadena de conexión a un Rogue SQL Server en el que teníamos montado un Wireshark, hemos encontrado un pequeño detalle que no había contemplado al inicio: El nombre del equipo en el que corre... el servidor SQL que responde, tal y como se puede ver en la siguiente captura.

Figura 2: Hash y Nombre de equipo en una conexión con autenticación integrada desde Excel

Como se puede apreciar, aparece no solo la negociación NTLM de sesión, sino también el nombre del servidor con el que estamos negociando, pero es el nombre interno de la máquina en la red, y no el publicado. Esto es así siempre que se utiliza SMB, y parece que al usar Autenticación Integrada para conectarse a SQL Server también va implicito ese comportamiento, algo en lo que no había caído.

De hecho, cuando he ido a repasar la herramienta que publiqué - que ya no está disponible en su repositorio - sobre cómo hacer fingerprinting a servidores SQL Server, he visto que en ninguna de las pruebas que realicé apareció el nombre del equipo. 

Figura 3: Fingerprinting SQL con esf

Sin embargo, probándolo con diferentes versiones hemos podido comprobar que siempre es posible acceder al nombre del equipo. Así que, basta con abrir tu Excel en local, hacer una cadena de conexión a un servidor SQL Server y, no importa si Wireshark trae el parseador para ese paquete o no, al final siempre se obtiene el nombre de la máquina. Y luego para celebrarlo, con el mismo Excel, te juegas un Missile Command o un Tower Defense. 

Figura 4: Nombre de equipo en un paquete de autenticación integrada TDS 

Resumiendo:

1) Busca un servidor SQL Server: Puedes hacerlo por Robtex, por Shodan, o utilizando un scan nmap por el puerto 1433.

2) Abre tu Wireshark y ponte a sniffar tráfico en tu máquina

3) Abre tu Excel y crea una cadena de conexión contra el servidor con autenticación integrada.

Nota: Recuerda que irá tu hash NTLM sesión, así que no uses una cuenta de importancia.

Como única solución, a parte de cancelar el inicio de sesión integrada en SQL Server, sería poner en los firewalls un filtrado de este tipo de paquetes, para evitar la fuga de información y, por supuesto, usar VPNs para conectarse al servidor SQL Server sería lo más que deseable, en caso de que tenga que estar expuesto externamente.

Saludos Malignos!