SQL 注入攻擊新變種：從資料庫滲透到作業系統桌面

傳統認知中，SQL 注入僅威脅資料庫層面 (竊取/篡改/刪除資料)。但最新研究揭示：**SQL 注入可作為跳板，奪取資料庫伺服器作業系統的互動式 GUI 存取權** (遠端桌面/命令提示字元)，進而橫向移動攻擊內網核心資產。

攻擊鏈剖析 (Alberto Revelli @ EUSecWest 實戰演示)

1. 入口： Web 應用存在 SQL 注入漏洞 (輸入未參數化、錯誤回顯)
2. 提權： 利用 DBMS 內建功能 (如 SQL Server xp_cmdshell, sp_OACreate, CLR 整合, Oracle DBMS_SCHEDULER, UTL_FILE, MySQL INTO OUTFILE, PostgreSQL COPY ... PROGRAM) 執行作業系統命令
3. 繞過防禦： 結合 WAF 繞過技巧 (編碼、註釋、HTTP 參數污染)、IPS 規則盲區、低權限服務帳號提權 (Token 竊取、Named Pipe 模擬、漏洞利用)
4. 建立持久化通道：
   • 反向 Shell (PowerShell/cmd/Python/Metasploit Meterpreter)
   • RDP 啟用 + 建立管理員帳號
   • VNC/TeamViewer 靜默安裝
   • SSH 服務啟用 (Linux)
5. 互動式 GUI 存取： 攻擊者獲得完整桌面環境，可視化操作檔案、登錄、服務、網路設定，如同坐在伺服器前
6. 橫向滲透： 利用伺服器憑證 (LSASS 記憶體導出、SAM/NTDS.dit)、網路掃描、Pass-the-Hash 攻擊內網其他主機

關鍵啟用條件 (SQL Server 為例)

防禦纵深策略 (Defense in Depth)

1. 應用層 (第一道防線)

• 參數化查詢 / 預存程序 / ORM 安全用法 — 徹底杜絕注入根源
• 輸入驗證： 白名單驗證、長度限制、型別檢查
• 錯誤處理： 統一友善錯誤頁，記錄詳細日誌至安全儲存，不回顯給用戶
• WAF/應用防火牆： 規則集定期更新、虛擬補丁、行為分析模式

2. 資料庫層 (第二道防線)

• 最小權限原則： 應用連線帳號僅擁有 db_datareader/db_datawriter + 執行特定預存程序權限，**嚴禁 sa/db_owner**
• 停用高風險功能： sp_configure 'xp_cmdshell', 0, 'Ole Automation Procedures', 0, 'clr enabled', 0 (除非業務強制需求並經風評)
• 移除範例資料庫/預存程序/擴展程序
• 啟用稽核： SQL Server Audit / Extended Events 記錄 EXECUTE、FAILED_LOGIN、SCHEMA_CHANGE 等事件
• 資料庫防火牆/白名單： 僅允許應用伺服器 IP 連線

3. 作業系統/網路層 (第三道防線)

• 服務帳號最小權限： 專用網域帳號，非本地管理員，啟用「登入為服務」、「登入為批次作業」最小權限
• 應用程式白名單 (AppLocker/WDAC)： 僅允許簽名核准的二進位執行，阻擋 cmd.exe, powershell.exe, wscript.exe 等被 SQL 進程啟動
• 網路分段： 資料庫伺服器置於隔離 VLAN，僅開放應用伺服器連線埠 (1433/2433)，**禁止主動對外連線** (出站防火牆規則)
• EDR/XDR 部署： 行為偵測 (進程樹異常、憑證存取、側向移動)

4. 事件響應準備

• 資料庫伺服器離線鑑識映像 (磁碟/記憶體) 定期演練
• 建立 SQL 注入專用劇本：識別入口 → 封鎖來源 → 評估滲透深度 → 憑證輪換 → 根因修補

工具化威脅：Sqlninja 自動化攻擊框架

Revelli 發布的 Sqlninja 專針對 SQL Server 將上述攻擊鏈自動化：指紋識別 → 注入點利用 → xp_cmdshell 啟用/繞過 → 憑證導出 → 反向 Shell → Meterpreter 載入 → 系統資訊蒐集。防禦者必須假設攻擊者擁有此類工具，提前佈防。

結論

**SQL 注入不再只是資料庫威脅，而是企業網路邊界的破口。** 將其風險等級提升至「核心資產入侵入口」，在 SDLC 每個階段 (開發/測試/部署/運維) 落實纵深防禦，才是根本之道。