[论文解读] Data Retrieval over DNS in SQL Injection Attacks

Miroslav Stampar|arXiv (Cornell University)|Mar 12, 2013

Web Application Security Vulnerabilities参考文献 1被引用 9

一句话总结

本文提出了一种新颖的SQL注入技术，通过DNS请求将数据库查询结果外泄，从而在传统通道被阻断时实现隐蔽的数据外泄。通过利用DNS解析作为隐蔽信道，攻击者可使用修改版的sqlmap工具静默提取敏感数据，实现在空气隔离或受限环境中的隐蔽且可靠的数据外泄。

ABSTRACT

This paper describes an advanced SQL injection technique where DNS resolution process is exploited for retrieval of malicious SQL query results. Resulting DNS requests are intercepted by attackers themselves at the controlled remote name server extracting valuable data. Open source SQL injection tool sqlmap has been adjusted to automate this task. With modifications done, attackers are able to use this technique for fast and low profile data retrieval, especially in cases where other standard ones fail.

研究动机与目标

• 解决在标准带外通道被阻断或过滤时，从数据库中外泄数据的挑战。
• 探索利用DNS解析作为隐蔽信道，从SQL注入攻击中外泄结果的可行性。
• 开发并演示一种在SQL注入场景中通过DNS实现自动化数据外泄的实用方法。
• 增强现有工具（如sqlmap）以支持基于DNS的数据外泄，提升隐蔽性和可靠性。
• 评估DNS隧道在受网络限制的真实渗透测试场景中的有效性。

提出的方法

• 作者通过将数据库查询结果编码为DNS查询请求的子域名，利用DNS解析过程。
• 构造恶意负载，使SQL查询结果嵌入DNS查询的子域名中，例如 'data12345.example.com'。
• 远程攻击者控制一个DNS服务器以记录并解码这些子域名请求，从而重建原始数据。
• 该技术被集成到开源工具sqlmap中，实现DNS外泄过程的自动化执行。
• 该方法在直接出站连接被阻断的环境中运行，仅依赖通常被允许的DNS流量。
• 该方法使用标准DNS协议，通过模仿正常DNS行为避免触发网络监控。

实验结果

研究问题

• RQ1 DNS解析能否作为从SQL注入漏洞中外泄数据的可靠且隐蔽的信道？
• RQ2 DNS隧道在绕过阻断传统数据外泄方法的网络限制方面有多有效？
• RQ3 现有SQL注入工具（如sqlmap）在多大程度上可扩展以支持基于DNS的数据外泄？
• RQ4 基于DNS的数据外泄在真实攻击场景中的性能和可靠性特征如何？
• RQ5 攻击者如何在通过DNS外泄数据时维持持久性并避免被检测？

主要发现

• 即使在直接网络连接被阻断的情况下，该技术仍能通过DNS请求成功外泄数据，证明其在受限环境中的可行性。
• 该方法可使用修改版的sqlmap实现自动化数据外泄，减少了手动利用的需求。
• 结果显示，通过SQL注入实现的DNS隧道具有隐蔽性，因为DNS流量通常被防火墙允许且不被密切监控。
• 该方法可通过将结果拆分为多个DNS查询来检索大规模数据集，每个查询携带数据的一部分。
• 该技术已在PHDays 2012安全大会上得到验证，确认其在真实场景中的实用性和有效性。
• 作者证明，即使在空气隔离或高度安全的网络中，仅通过DNS作为隐蔽信道，也能实现数据外泄。