はじめに
Impacketは、ネットワークプロトコルを扱うためのPythonクラスのコレクションであり、特にWindowsネットワーク環境でのセキュリティ評価やペネトレーションテストにおいて非常に強力なツール群を提供します。Fortra社（旧Core Security）によってメンテナンスされており、多くのセキュリティ専門家やシステム管理者に利用されています。
Impacketには様々なスクリプトが含まれていますが、この記事ではその中の一つ、mssqlinstance.py に焦点を当てて解説します。mssqlinstance.py は、ネットワーク上の特定のホストで実行されている Microsoft SQL Server (MSSQL) のインスタンス情報を取得するためのツールです。
このツールは、SQL Server Browser サービスが使用するプロトコル（UDPポート1434）を利用して、ターゲットホストに問い合わせを行い、稼働中のSQL Serverインスタンスの名前、バージョン、TCPポート番号などの情報を収集します。ネットワーク偵察（Reconnaissance）フェーズにおいて、攻撃対象となりうるSQL Serverを発見するために非常に役立ちます。🔍
この記事を通じて、mssqlinstance.py の基本的な使い方から、その動作原理、そしてセキュリティ上の意味合いまでを深く理解していきましょう。
Impacketのインストール
mssqlinstance.py を使用するには、まずImpacketをシステムにインストールする必要があります。ImpacketはPythonで書かれているため、Pythonおよびpip（Pythonのパッケージインストーラ）が必要です。
主なインストール方法は以下の通りです。
1. pipを使用する方法 (推奨)
Pythonのパッケージマネージャーであるpipを使って簡単にインストールできます。ターミナルまたはコマンドプロンプトで以下のコマンドを実行します。
pip install impacketもしくは、特定のPythonバージョンを指定する場合は、
pip3 install impacketのように実行します。
2. GitHubからソースコードを取得する方法
最新の開発版を使用したい場合や、特定のバージョンを使いたい場合は、公式のGitHubリポジトリからソースコードをクローンしてインストールします。
git clone https://github.com/fortra/impacket.git
cd impacket/
pip install .または、
python setup.py installを実行します。
3. Kali Linuxなどのセキュリティディストリビューション
Kali Linuxのようなペネトレーションテストに特化したLinuxディストリビューションでは、Impacketのスクリプト群（impacket-scriptsパッケージなど）がプリインストールされているか、簡単にインストールできる場合があります。
sudo apt update && sudo apt install impacket-scripts
これにより、impacket-mssqlinstance のようなコマンド名で直接スクリプトを実行できるようになります。
注意: Impacketは多くの依存関係を持つことがあります。インストール中にエラーが発生した場合は、エラーメッセージを確認し、必要なライブラリ（例: `python3-ldap`, `python3-openssl` など）を別途インストールしてください。
mssqlinstance.py の基本的な使い方
mssqlinstance.py の使い方は非常にシンプルです。基本的な構文は以下の通りです。
mssqlinstance.py <ターゲットホスト> [オプション]
または、Kali Linuxなどで impacket-scripts パッケージをインストールしている場合は、
impacket-mssqlinstance <ターゲットホスト> [オプション]となります。
<ターゲットホスト> には、調査したいサーバーのIPアドレスまたはホスト名を指定します。
実行例
例えば、IPアドレス 192.168.1.100 のサーバーで稼働しているSQL Serverインスタンスを検索するには、以下のコマンドを実行します。
mssqlinstance.py 192.168.1.100または、
impacket-mssqlinstance 192.168.1.100このコマンドは、ターゲットホストのUDPポート1434（SQL Server Browserサービスのデフォルトポート）に対して問い合わせパケットを送信します。もしターゲットホスト上でSQL Server Browserサービスが稼働しており、SQL Serverインスタンスが存在すれば、その情報が返されます。
主要なオプション
mssqlinstance.py は非常にシンプルなツールであり、多くのオプションはありませんが、以下のオプションが利用可能です。
| オプション | 説明 | デフォルト値 |
|---|---|---|
host (位置引数) |
ターゲットホストのIPアドレスまたはホスト名。必須の引数です。 | なし |
-timeout TIMEOUT |
ターゲットホストからの応答を待つタイムアウト時間（秒）。ネットワークの状況に応じて調整します。 | 5 |
-h, --help |
ヘルプメッセージを表示して終了します。 | – |
例えば、ターゲット 10.0.0.5 に対して、応答待ち時間を10秒に設定して実行する場合は、以下のようになります。
mssqlinstance.py 10.0.0.5 -timeout 10出力結果の解釈
mssqlinstance.py がSQL Serverインスタンスを発見した場合、以下のような形式で情報が出力されます。各インスタンスごとに Instance X のように番号が振られ、その詳細が表示されます。
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies
[*] Trying to resolve hostname 192.168.1.100
[*] Sending UDP request to 192.168.1.100:1434
[*] Got response from 192.168.1.100:1434
[*] Instance 0
ServerName:WIN-SERVER2019
InstanceName:MSSQLSERVER
IsClustered:No
Version:15.0.2000.5
tcp:1433
[*] Instance 1
ServerName:WIN-SERVER2019
InstanceName:SQLEXPRESS
IsClustered:No
Version:15.0.2000.5
tcp:49172出力される主な情報は以下の通りです。
| 項目名 | 説明 |
|---|---|
ServerName |
SQL Serverが稼働しているサーバーのNetBIOS名またはホスト名。 |
InstanceName |
SQL Serverインスタンスの名前。デフォルトインスタンスの場合は通常 MSSQLSERVER と表示されます。名前付きインスタンスの場合は、その名前が表示されます（例: SQLEXPRESS）。 |
IsClustered |
そのインスタンスがフェールオーバークラスターの一部であるかどうかを示します (Yes または No)。 |
Version |
SQL Serverのバージョン番号。この番号から具体的な製品名（例: SQL Server 2019）を特定できます。 |
tcp |
インスタンスが待ち受けているTCPポート番号。デフォルトインスタンスは通常1433ですが、名前付きインスタンスは動的ポートまたは固定ポートを使用します。このポート番号は、後述の mssqlclient.py などで接続する際に重要になります。 |
np |
インスタンスが使用している名前付きパイプ (Named Pipe) のパス。TCP/IP接続が無効な場合や、特定の認証方式で利用されることがあります。 |
注意: ターゲットホスト上でSQL Server Browserサービスが停止している場合、またはファイアウォールによってUDP 1434ポートへの通信がブロックされている場合、mssqlinstance.py はインスタンス情報を取得できません。その場合でも、SQL Serverインスタンス自体は稼働している可能性があります。
SQL Server Browser サービスとは？ 🤔
mssqlinstance.py の動作を理解するには、SQL Server Browser サービスについて知ることが重要です。
SQL Server 2000 までは、1台のコンピュータにインストールできるSQL Serverインスタンスは1つだけで、通常はTCPポート1433を使用していました。しかし、SQL Server 2000 で複数のインスタンス（名前付きインスタンス）を同一ホスト上にインストールできるようになると、クライアントがどのポートに接続すればよいかを動的に知る仕組みが必要になりました。
そこで登場したのが、SQL Server Resolution Protocol (SSRP) であり、SQL Server 2005 以降はこれを置き換える形で SQL Server Browser サービス が導入されました。
SQL Server Browser サービスの主な役割は以下の通りです。
- UDPポート1434でクライアントからの問い合わせを待ち受ける。
- コンピュータ上にインストールされているSQL Serverインスタンスのリストを提供する。
- 各インスタンスが使用しているTCPポート番号や名前付きパイプの情報をクライアントに返す。
- 専用管理者接続 (DAC) エンドポイントへの接続を支援する。
クライアントアプリケーションは、接続したいインスタンス名を指定してまずUDP 1434ポートに問い合わせます。SQL Server Browser サービスが稼働していれば、そのインスタンスが使用している実際のTCPポート番号などを返し、クライアントはその情報を使って目的のインスタンスに接続します。
mssqlinstance.py は、このSQL Server Browser サービスの仕組みを利用して、インスタンス情報を取得しているのです。
- クライアントがUDP 1434ポートにインスタンス情報 (例: SQLEXPRESS) を問い合わせる。
- SQL Server Browser サービスが、SQLEXPRESSインスタンスはTCPポート 49172 を使用していることを応答する。
- クライアントがサーバーのTCPポート 49172 に接続を試みる。
セキュリティ上の意味合いと対策 🛡️
mssqlinstance.py は、ネットワーク内のSQL Serverインスタンスを容易に発見できるため、攻撃者にとっても初期偵察段階で非常に有用なツールとなり得ます。SQL Server Browser サービスが外部に公開されていると、以下のようなリスクが生じます。
- 情報漏洩: 攻撃者はネットワーク内に存在するSQL Serverのインスタンス名、バージョン、稼働ポートなどの情報を容易に収集できます。バージョン情報からは既知の脆弱性を特定される可能性があります。
- 攻撃対象の特定: 発見されたインスタンスに対して、ブルートフォース攻撃、SQLインジェクション、既知の脆弱性を利用した攻撃などが試みられる可能性があります。
- 過去の脆弱性: SQL Server Browser サービス自体にも過去に脆弱性が発見された事例があります（例えば、2003年初頭に猛威を振るった SQL Slammer ワームは、SQL Server Resolution Service (SSRP、Browserサービスの前身) の脆弱性を悪用し、UDP 1434ポートを介して感染を広げました）。常に最新のパッチを適用することが重要です。
対策
これらのリスクを軽減するための対策としては、以下のようなものが考えられます。
- SQL Server Browserサービスの無効化:
- サーバー上にインスタンスが1つしかなく、それがデフォルトインスタンス(MSSQLSERVER)でデフォルトポート(1433)を使用している場合、Browserサービスは不要なことが多いです。
- 名前付きインスタンスを使用している場合でも、クライアント側で接続先のポート番号を固定的に指定できるのであれば、Browserサービスを無効化できます。
- サービスを無効化するには、SQL Server 構成マネージャーまたはWindowsのサービス管理コンソール (
services.msc) を使用します。
- ファイアウォールによるアクセス制御:
- SQL Server Browser サービスが必要な場合でも、信頼できるネットワークやIPアドレスからのみUDPポート1434へのアクセスを許可するように、ファイアウォールを設定します。
- 同様に、SQL Serverインスタンスが使用するTCPポート（例: 1433や動的ポート範囲）へのアクセスも厳格に制限します。
- ポート番号の変更: デフォルトのポート番号（1433、1434）を変更することも、攻撃者による発見を困難にする一助となりますが、根本的な解決策ではありません。
- 定期的なパッチ適用: SQL Server および関連コンポーネント（OS含む）には、常に最新のセキュリティパッチを適用し、既知の脆弱性を修正します。
- 最小権限の原則: SQL Serverへのアクセス権限を適切に管理し、不要な権限を与えないようにします。
mssqlinstance.py のようなツールは、防御側の視点で見れば、自組織のネットワーク内に意図せず公開されているSQL Serverインスタンスがないかを確認するための監査ツールとしても活用できます。定期的にスキャンを行い、セキュリティポリシーに従って適切に設定されているかを確認することが推奨されます。✅
関連ツールとの連携
mssqlinstance.py でSQL Serverインスタンスの存在とポート番号を発見した後、他のImpacketツールや一般的なペネトレーションテストツールと連携して、さらに調査や攻撃を進めることができます。
mssqlclient.py(Impacket): 発見したインスタンスに対して、SQL認証やWindows認証（パスワードやハッシュを使用）を用いて接続し、データベースの操作やコマンド実行を試みるためのクライアントツールです。ntlmrelayx.py(Impacket): NTLMリレー攻撃を実行するツールで、中継した認証情報をMSSQLプロトコルに対して使用することも可能です。- Nmap: より詳細なポートスキャンやサービスバージョンの検出、脆弱性スキャンを行うことができます。
mssqlinstance.pyで発見したポートに対して、Nmapのスクリプトエンジン(NSE)を使ってms-sql-info,ms-sql-empty-password,ms-sql-xp-cmdshellなどのスクリプトを実行できます。 - Metasploit Framework: 発見したSQL Serverのバージョン情報に基づいて、既知の脆弱性を悪用するエクスプロイトモジュールを検索し、利用することができます。
このように、mssqlinstance.py は攻撃チェーンの初期段階で重要な役割を果たすツールと言えます。
まとめ
impacket-mssqlinstance (mssqlinstance.py) は、Impacket スイートに含まれるシンプルながらも効果的なツールであり、ネットワーク上の Microsoft SQL Server インスタンスを迅速に発見するために設計されています。SQL Server Browser サービスが利用するUDPポート1434に問い合わせることで、インスタンス名、バージョン、ポート番号などの重要な情報を収集します。
このツールは、ペネトレーションテスターやセキュリティアナリストにとって、ネットワーク偵察フェーズにおける貴重な武器となります。一方で、その容易さゆえに、攻撃者にとっても有用なツールとなり得るため、SQL Server Browser サービスの適切な管理（無効化やアクセス制御）は、データベースサーバーのセキュリティを確保する上で非常に重要です。
この記事が、mssqlinstance.py の理解と、SQL Server 環境のセキュリティ向上の一助となれば幸いです。✨
コメント