[해외보안뉴스] MSSQLand: 측면 이동 및 침투 후 공격을 위한 경량 MS-SQL 도구 공개
· 2026-10-12 02:00
· 조회 12
· 원문 ↗
레드팀과 모의침투 전문가를 위한 경량화된 MS-SQL 상호작용 도구인 'MSSQLand'가 공개되었습니다. 이 도구는 복잡한 T-SQL 쿼리를 일일이 작성하지 않고도 제한된 네트워크 환경에서 MS-SQL 서버 및 연결된 인스턴스(Linked Server)와 원활하게 상호작용할 수 있도록 지원합니다. 특히 C# 어셈블리 형태로 로딩 및 실행이 가능하도록 설계되어 메모리 내 직접 실행(In-Memory Execution)에 용이합니다.
MSSQLand는 조직 내부망에서의 측면 이동(Lateral Movement)과 침투 후 작업(Post-Exploitation) 단계를 단순화하는 데 초점을 맞추고 있습니다. 공격자나 레드팀이 이 도구를 활용할 경우, 기존 MS-SQL 데이터베이스 인스턴스 간에 설정된 신뢰 관계(Trust Relationship)를 악용하여 추가적인 권한을 확보하거나 연결된 다른 데이터베이스 서버로 신속하게 공격 범위를 넓힐 수 있습니다.
이러한 위협에 대응하기 위해서는 MS-SQL 서버의 연결된 서버(Linked Server) 설정 시 최소 권한 원칙을 엄격히 적용하고 불필요한 신뢰 관계를 정리해야 합니다. 또한, xp_cmdshell과 같이 시스템 명령을 실행할 수 있는 위험한 저장 프로시저의 사용을 비활성화하고, 이상 쿼리 패턴이나 비정상적인 데이터베이스 접속 시도를 감지할 수 있도록 데이터베이스 감사 모니터링을 강화해야 합니다.
♥ 추천 0
Linked Server 기능의 편의성 뒤에 숨은 권한 상승 및 측면 이동(Lateral Movement) 리스크를 잘 보여주는 사례입니다.
DB 아키텍처 관점에서 인스턴스 간 Linked Server 연결 시 계정 매핑 권한을 최소화하고, 불필요한 CLR Assembly 실행이나
xp_cmdshell같은 확장 기능은 프로덕션 환경에서 반드시 비활성화(Hardening)해야 합니다.또한, DB 간 네트워크 세그멘테이션을 강화하고 어셈블리 로드 및 외곽 DB로의 트랜잭션을 감지할 수 있는 DB 감사 로그(Audit Log) 모니터링 체계를 갖춰야 합니다.
MS-SQL의 연결된 서버(Linked Server) 트러스트 관계는 도메인 경계를 넘어 권한 상승 및 내부망 이동을 수행할 수 있는 매우 유용한 공격 벡터입니다. 이 툴은 복잡한 T-SQL 쿼리를 직접 작성하는 번거로움을 해결할 뿐만 아니라, 어셈블리 형태로 오프셋되어 C2 프레임워크를 통한 메모리 내 파일리스(Fileless) 실행이 가능하므로 EDR 탐지를 우회하기에 매우 용이합니다. 결과적으로 폐쇄적이거나 제한된 네트워크 환경에서 DB 인프라를 통한 측면 이동의 성공률과 작업 속도를 비약적으로 높여줄 실전성 높은 도구입니다.
공격 툴의 고도화로 내부 데이터베이스가 측면 이동(Lateral Movement)의 주요 표적이 되고 있음을 다시 한번 확인했습니다.
조직 차원에서 MS-SQL의 연결된 서버(Linked Server) 설정 및 서비스 계정 권한을 '최소 권한 원칙'에 따라 시급히 전수 점검해야 합니다.
아울러 비정상적인 어셈블리 실행과 DB 기반의 이상 행위를 즉각 탐지할 수 있도록 보안 모니터링 거버넌스와 EDR 탐지 정책을 강화하겠습니다.