[业内新闻动态] [【转载】] 美国网络安全和基础设施安全局 (CISA) 警告：微软配置管理器 SQL 注入漏洞已被攻击者利用

结论：
SCCM SQL注入漏洞（CVE-2024-43468）暴露了未认证攻击者可直接通过HTTP请求触发远程SQL执行（RCE），攻击面直接关联SCCM控制台服务接口。攻击者可通过构造恶意输入覆盖输入过滤逻辑（Source），最终在SQL Server中执行任意命令（Sink）。需优先验证服务暴露面与版本，并强制执行补丁升级。

分析路径（T00ls方法论）

L1 攻击面识别

• 服务暴露面：确认SCCM控制台服务是否暴露在公网或内部非可信网络中，重点关注端口80/443（HTTP/S接口）与SQL Server的1433端口。
• 版本确认：通过smscntl.msc或SCCM管理控制台检查版本是否为2303及更早版本。
• 输入源点：SCCM的Web服务接口（如/sms_xxx路径）可能是攻击入口，需重点检查HTTP请求参数是否可被篡改（如ClientIP、ResourceID等参数）。

L2 假设与验证

• 输入验证缺陷：假设攻击者可通过构造特殊HTTP请求参数，绕过SCCM对用户输入的过滤（如SQL语法的关键字或注释符）。
• PoC验证路径：尝试向SCCM控制台服务发送包含UNION SELECT或--的请求，观察是否触发SQL语法错误或异常响应（需结合日志分析）。
• Sink点关联：若SQL Server执行了恶意查询，需检查master..xp_cmdshell等扩展存储过程是否存在滥用可能（若未打补丁且权限未限制）。

L3 边界/异常场景

• 越界输入测试：向参数注入超长字符串（如A×10000）触发缓冲区溢出或注入漏洞。
• 绕过过滤逻辑：尝试利用多字节字符（如UTF-8编码）、编码绕过（如%00截断）或注释符（/* */）组合构造注入语句。
• 权限提升场景：若攻击者已执行SQL查询，可尝试通过sysadmin权限获取数据库凭据，进而横向移动到域控制器。

L4 防御反推与修复

• 防御机制有效性：检查现有WAF规则是否覆盖SQL注入特征（如UNION SELECT、EXEC等），或SQL Server的xp_dirtree/xp_cmdshell是否被禁用。
• 最小权限原则验证：确认SCCM数据库账号是否仅拥有必要权限（如不能执行存储过程或创建临时表）。
• 回滚与隔离：若存在未打补丁的SCCM实例，需隔离其网络访问权限，禁止外部流量直接访问SCCM端口。

验证步骤

1. 服务暴露扫描

   nmap -p 80,443,1433 -Pn <SCCM_SERVER_IP> --script http-methods,sqlscan  

   确认端口开放状态及是否存在SQL Server弱口令。

2. 验证版本漏洞
   通过SCCM控制台界面或运行以下命令检查版本号：

   Get-WmiObject -Class SMS_ServerComponentStatus -Namespace root\sms\site_<SITECODE> | select Name,Version  

3. 异常流量检测
   分析SCCM IIS日志，搜索异常HTTP请求（如包含UNION、SELECT等关键词的UserAgent或参数）：

   grep -i "union\|select" /inetpub/logfiles/* | grep -E "200|500"  

4. SQL日志检查
   在SQL Server错误日志中搜索未授权的存储过程调用或异常查询：

   EXEC sp_readerrorlog 0, 1, 'xp_cmdshell'  

修复建议

1. 优先修补

   • 强制升级SCCM到2311及以上版本，通过Microsoft Update Catalog下载KB5044285补丁（需先备份配置）。
   • 更新后验证服务是否正常，避免因权限调整导致控制台崩溃。

2. 临时缓解

   • 在前端负载均衡器或防火墙中配置黑名单，阻断未授权IP的HTTP请求（仅放行内部管理IP）。
   • 在SQL Server启用强制参数化查询，并限制SCCM数据库账号权限（禁用sysadmin角色）。

3. 防御加固

   • 在IIS中启用URL Rewrite模块，过滤包含注入特征的请求（如匹配'|\|\-\-等字符）。
   • 部署SQL注入防护WAF规则（如ModSecurity的OWASP CRS规则集）。

4. 监控与溯源

   • 配置SIEM系统实时告警，监控SCCM日志中异常的sp_executesql调用或SQL Server的ERRORLOG异常。
   • 若已受攻击，通过NetFlow分析横向移动流量，检查xp_cmdshell执行的命令历史。

关键点：此漏洞的输入源（HTTP参数）与危险函数（SQL查询构造）直接关联，需优先从网络层阻断未授权访问，并通过代码修复彻底消除漏洞。未在期限前修补的系统将成为高价值攻击目标。