[論文レビュー] Data Retrieval over DNS in SQL Injection Attacks

Miroslav Stampar|arXiv (Cornell University)|Mar 12, 2013

Web Application Security Vulnerabilities参考文献 1被引用数 9

ひとこと要約

この論文は、従来のチャネルが遮断されている場合に、DNSリクエストを介してデータベースクエリ結果を漏洩させる、画期的なSQLインジェクション技術を提示している。通常のネットワークチャネルが遮断された環境においても、DNS解像度をコvertチャネルとして活用することで、攻撃者は修正済みのsqlmapツールを用いて、静かにかつ信頼性高く機密データを漏洩させることができる。空気ギャップ環境や制限付き環境においても、標的のデータを効果的に漏洩可能であることを示している。

ABSTRACT

This paper describes an advanced SQL injection technique where DNS resolution process is exploited for retrieval of malicious SQL query results. Resulting DNS requests are intercepted by attackers themselves at the controlled remote name server extracting valuable data. Open source SQL injection tool sqlmap has been adjusted to automate this task. With modifications done, attackers are able to use this technique for fast and low profile data retrieval, especially in cases where other standard ones fail.

研究の動機と目的

• 標準的なオール・オブ・バンド（out-of-band）チャネルが遮断またはフィルタリングされている場合に、データベースからデータを漏洩させる課題に対処すること。
• SQLインジェクション攻撃からの結果漏洩に、DNS解像度をコvertチャネルとして使用する可能性を検討すること。
• SQLインジェクションのシナリオにおいて、DNSを介した自動化されたデータ漏洩の実用的かつ実装可能な手法を開発・実証すること。
• 既存のツール（例：sqlmap）を拡張し、DNSベースのデータ漏洩をサポートすることで、より静かで信頼性の高い漏洩を実現すること。
• ネットワーク制限下で、実際のペンテストシナリオにおいてDNSトンネリングの有効性を評価すること。

提案手法

• 著者たちは、DNS解像度プロセスを活用し、データベースクエリの結果をDNSリクエストのサブドメイン名にエンコードする。
• 悪意あるペイロードは、SQLクエリの結果がDNSリクエストのサブドメインに埋め込まれるように構築され、例として 'data12345.example.com' のような形式を取る。
• リモートの攻撃者がDNSサーバーを制御しており、これらのサブドメインリクエストをログ記録・デコードし、元のデータを再構築する。
• この技術は、オープンソースのsqlmapツールに統合されており、DNS漏洩プロセスの自動実行が可能になっている。
• 直接のアウトバウンド接続が遮断されている環境でも動作し、通常は許可されているDNSトラフィックのみに依存している。
• 標準的なDNSプロトコルを使用しており、通常のDNS動作を模倣することで、ネットワーク監視を引き起こさない。

実験結果

リサーチクエスチョン

• RQ1 DNS解像度は、SQLインジェクション脆弱性からのデータ漏洩に、信頼性があり静かで効果的なチャネルとして利用可能か？
• RQ2 従来のデータ漏洩手法をブロックするネットワーク制限を、DNSトンネリングがどれほど効果的に回避できるか？
• RQ3 既存のSQLインジェクションツール（例：sqlmap）が、DNSベースのデータ漏洩をサポートするようにどれほど拡張可能か？
• RQ4 実際の攻撃シナリオにおいて、DNSベースのデータ漏洩のパフォーマンスと信頼性の特性はどのようなものか？
• RQ5 攻撃者は、DNSを介してデータを漏洩させる際、どのようにして持続可能性を確保し、検知を回避できるか？

主な発見

• 直接のネットワーク接続が遮断されている状況下でも、DNSリクエストを介したデータ漏洩が成功しており、制限付き環境での実現可能性が裏付けられた。
• 修正済みのsqlmapを用いることで、手動での攻撃に依存する必要がなくなり、データ漏洩の自動化が可能になった。
• DNSトラフィックはファイアウォールで許可されており、監視が厳しくないことが多いため、このアプローチは静かで、検知されにくい。
• 結果を複数のDNSリクエストに分割することで、大容量のデータセットを漏洩可能にした。
• この技術はPHDays 2012の国際セキュリティ会議で実証され、実世界のシナリオにおける実用性と有効性が確認された。
• 著者たちは、空気ギャップ環境や高度に保護されたネットワークにおいても、DNSのみをコvertチャネルとして使用することで、データを漏洩させられることを実証した。