볼랜드포럼: MSSQL Server 2005와 해킹

	C++Builder \| Delphi \| FireMonkey \| C/C++ \| Free Pascal \| Firebird

경고! 게시물 작성자의 사전 허락없는 메일주소 추출행위 절대 금지

분야별 포럼

볼랜드포럼 홈

회원 메뉴

자유게시판		세상 살아가는 이야기들을 나누는 사랑방입니다.

[13554] MSSQL Server 2005와 해킹
수야!╋ [sooya23]	3619 읽음 2007-11-19 03:17

MSSQL Server 2005가 설치된 서버가 있습니다.
IIS는 설치하지도 않았고 기타 웹서버가 될만한 놈들은 설치하지 않았습니다.

그런데 이 서버가 웹에 직접 연결되어서 클라이언트가 직접 쿼리는 해가는 상황입니다.

뭐 그딴식으로 했냐라고 저를 욕하진 마세요 -_ -;; 아무튼..

저 클라이언트 프로그램을 통해서 IP를 알아내었습니다.

이제 MSSQL에 어떠한 공격이 가능할까요?

가장 간단히 할 수 있는 공격이 무엇이 있는지 한번 이야기해주시면 감사하겠습니다.

가장 궁금한건 DB의 ID와 PW를 알아낼 수 있느냐? ( 방법 )
이지만 알아낼 수 없다고해도 어떤 공격을 해버릴까? 하는것이랍니다.

MSSQL 2005 Server에 클라이언트가 붙을 수 있는 수가 몇인나 되나요? ;;

궁금한게 많습니다.

아시는데로 쭈욱 적어주시면 깊은 감사드리며 열람하도록 할께요 ^^

Trackback : http://www.borlandforum.com/impboard/impboard.dll/trackback?sn=100030

정찬호.라다 [rada] 2007-11-19 03:51 X

SQL Injection이 가장 빠를 것 같습니다.
ID나 Password에 SQL문장을 삽입한다면 DB의 아이디나 비밀번호는 알아낼 순 없어도 다른 사용자의 권한을 획득하는건 가능할 듯 싶습니다.

그리고 보통 EXE파일을 Olly나 IDA같은 툴, 아니 그냥 Hex 에디터만 잘 사용하더라도 DB의 아이디와 비밀번호를 찾아내실 수 있을 것 같습니다.
웹 클라이언트가 아니라 .exe형태의 클라이언트라면 파일을 조금만 분석해보시면 답이 나오실 것 같습니다. (검색어는 보통 ip주소나, 서버 이름입니다)

최근에는 TCP/IP를 통한 접속을 아예 차단해버리는 경우가 많아서 ID와 비밀번호를 안다고해도 디비에 접속하지 못하는 경우가 있을 겁니다.

[sage5nor] 2007-11-19 09:18 X

어?..수야님~~
방가방가~~~ㅋ

모르는게 많아서 도움되는 답글은 엄써요~

Lyn [tohnokanna] 2007-11-19 18:06 X

뭐 뚫는 사람이 생긴다면..

슬래머웜처럼 무한핑돌리기 ㅡ.ㅡ;

수야!╋ [sooya23] 2007-11-19 18:09 X

헥사값에 아주 잘 나오네요 라다님 ㄳㄳ
해미님 하이용 ㅋㅋ