Database Security: Hardening, Misconfigurations and Pentests

# Shodan per trovare DB esposti (in un contesto legale/autorizzato)
# product:MySQL port:3306
# product:PostgreSQL port:5432
# product:"MongoDB" port:27017
# product:Redis port:6379 "OK"

# Nmap per identificare DB esposti nell'infrastruttura target
nmap -sV -p 1433,3306,5432,27017,6379,9200,5984 IP_RANGE
# Vedi anche: nmap (https://hackita.it/articoli/nmap)

# Test accesso Redis senza password
redis-cli -h IP ping
# PONG senza autenticazione indica che almeno il comando PING è consentito.
# Verifica ACL e permessi prima di concludere che tutti i dati siano accessibili.

# Test MongoDB senza auth
mongosh "mongodb://IP:27017" --eval "db.adminCommand('listDatabases')"
# Se restituisce la lista senza credenziali → accesso non autenticato confermato.

# Test Elasticsearch senza auth
curl http://IP:9200/_cat/indices
# Una risposta 200 con la lista degli indici indica accesso non autenticato
# almeno a quell'API; verifica poi i privilegi effettivi di lettura e scrittura.

# Usa questi test solo su sistemi autorizzati e nel rispetto del rate limit.
# Preferisci una wordlist approvata per l'ambiente e combinazioni ricavate
# da documentazione, password policy o credenziali legacy note al cliente.

# Audit controllato MySQL con Hydra
hydra -L utenti_db.txt \
  -P password_approvate.txt \
  -t 2 -W 3 -f IP mysql

# Test manuale MSSQL
impacket-mssqlclient 'sa:PASSWORD_TEST@IP'

# Test manuale MySQL
mysql -h IP -u root -p

# Test manuale PostgreSQL
psql -h IP -U postgres -W

# MySQL: verifica se root può autenticarsi da remoto
mysql -h IP -u root -p
# Solo una connessione completata con successo conferma l'accesso remoto.
# Il prompt della password viene mostrato dal client prima dell'esito del login.

# MSSQL: SA abilitato e raggiungibile
impacket-mssqlclient 'sa:PASSWORD@IP'

# PostgreSQL: postgres superuser raggiungibile da remoto
psql -h IP -U postgres -c "SELECT version();"

# MSSQL: xp_cmdshell abilitata
impacket-mssqlclient 'DOMAIN/USER:PASSWORD@IP' -windows-auth
SQL> SELECT value_in_use FROM sys.configurations WHERE name = 'xp_cmdshell';
# value_in_use = 1 indica che la feature è attiva.
# L'esecuzione richiede comunque i permessi necessari e usa il contesto
# dell'account del servizio SQL Server o di un proxy configurato.

# MySQL: FILE privilege e secure_file_priv
mysql -h IP -u USER -p -e "SHOW GRANTS FOR CURRENT_USER(); SELECT @@secure_file_priv;"
# secure_file_priv = ''   → nessuna restrizione di directory imposta da MySQL
# secure_file_priv = PATH → operazioni file limitate a quella directory
# secure_file_priv = NULL → import/export lato server disabilitato
# Restano sempre necessari FILE privilege e permessi del sistema operativo.

# PostgreSQL: verifica privilegi per programmi lato server
psql -h IP -U USER -c "SELECT current_user, usesuper FROM pg_user WHERE usename=current_user;"
psql -h IP -U USER -c "SELECT pg_has_role(current_user, 'pg_execute_server_program', 'member');"
# COPY ... PROGRAM è riservato ai superuser o ai membri del ruolo
# pg_execute_server_program.

-- Oracle: controlla grant potenzialmente pericolosi assegnati a PUBLIC
SELECT OWNER, TABLE_NAME, PRIVILEGE
FROM DBA_TAB_PRIVS
WHERE GRANTEE = 'PUBLIC'
  AND TABLE_NAME IN ('UTL_FILE','UTL_HTTP','DBMS_SCHEDULER','DBMS_ADVISOR');

# Cerca colonne con nomi sensibili nel DB (una volta dentro)
# MySQL
SELECT TABLE_SCHEMA, TABLE_NAME, COLUMN_NAME
FROM INFORMATION_SCHEMA.COLUMNS
WHERE COLUMN_NAME IN ('password','passwd','pwd','secret','token','api_key',
                      'credit_card','ssn','pin','cvv','private_key')
AND TABLE_SCHEMA NOT IN ('information_schema','mysql','performance_schema');

# PostgreSQL
SELECT table_schema, table_name, column_name
FROM information_schema.columns
WHERE column_name ILIKE ANY(ARRAY['%password%','%secret%','%token%','%api_key%','%credit%'])
AND table_schema NOT IN ('information_schema','pg_catalog');

# Leggi le password: sono in chiaro? MD5? bcrypt?
SELECT username, password FROM users LIMIT 5;
# "password" in chiaro → Critical
# "5f4dcc3b5aa765d61d8327deb882cf99" → MD5 → craccabile in secondi
# "$2b$12$..." → bcrypt → molto più sicuro

-- SA abilitato?
SELECT name, is_disabled FROM sys.sql_logins WHERE name = 'sa';
-- is_disabled = 0 → sa è attivo: verifica se è realmente necessario e ben protetto.

-- Autenticazione mista abilitata? (SQL + Windows)
-- Permette login SQL anche se AD è configurato
-- Controlla nelle proprietà del server → Security

-- Database sample installati? (Northwind, pubs, AdventureWorks)
SELECT name FROM sys.databases WHERE name IN ('Northwind','pubs','AdventureWorks');
-- Vanno rimossi in produzione

-- Database con TRUSTWORTHY abilitato?
SELECT name, is_trustworthy_on FROM sys.databases WHERE is_trustworthy_on = 1;
-- Qualsiasi database utente con TRUSTWORTHY = ON deve essere giustificato.
-- Non modificare i database di sistema senza valutarne dipendenze e supporto.

-- CLR Integration abilitata? (esecuzione codice .NET nel DB)
SELECT value FROM sys.configurations WHERE name = 'clr enabled';
-- 1 → abilitata → vettore di exploitation se non necessaria

-- Linked server configurati?
SELECT name, data_source FROM sys.servers WHERE is_linked = 1;
-- Ogni linked server è un potenziale pivot

-- 1. Preferisci Windows Authentication e disabilita sa se non necessario
ALTER LOGIN sa DISABLE;
-- Rinominare sa può ridurre il rumore degli attacchi opportunistici,
-- ma non sostituisce password robuste, auditing e limitazioni di rete.

-- 2. Disabilita xp_cmdshell
EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 0; RECONFIGURE;

-- 3. Disabilita CLR se non usato
EXEC sp_configure 'clr enabled', 0; RECONFIGURE;

-- 4. Rimuovi TRUSTWORTHY dai DB non necessari
ALTER DATABASE [AppDB] SET TRUSTWORTHY OFF;

-- 5. Usa principio del minimo privilegio
-- Crea un utente dedicato per l'applicazione con solo le permission necessarie
CREATE LOGIN app_user WITH PASSWORD = 'StrongPassword123!';
CREATE USER app_user FOR LOGIN app_user;
GRANT SELECT, INSERT, UPDATE ON SCHEMA::dbo TO app_user;
-- Non dare db_owner o sysadmin all'utente applicativo

-- 6. Configura SQL Server Audit per i login falliti
CREATE SERVER AUDIT [SecurityAudit]
TO FILE (FILEPATH = 'C:\SQLAudit\')
WITH (ON_FAILURE = CONTINUE);
ALTER SERVER AUDIT [SecurityAudit] WITH (STATE = ON);

CREATE SERVER AUDIT SPECIFICATION [LoginAuditSpec]
FOR SERVER AUDIT [SecurityAudit]
  ADD (FAILED_LOGIN_GROUP)
WITH (STATE = ON);
-- La directory deve esistere e l'account del servizio deve poterci scrivere.

# Connessione remota root abilitata?
mysql -h IP -u root -p""
# Se entra → root da remoto con password vuota → Critical

# Utenti senza password
mysql -u root -p -e "SELECT user, host, authentication_string FROM mysql.user WHERE authentication_string = '' OR authentication_string IS NULL;"

# Host wildcard (% = qualsiasi IP)
mysql -u root -p -e "SELECT user, host FROM mysql.user WHERE host = '%';"
# user=root host=% → root accessibile da qualsiasi IP → Critical

# FILE privilege (lettura/scrittura file OS)
mysql -u root -p -e "SELECT user, host, File_priv FROM mysql.user;"
# File_priv = Y abilita operazioni sui file compatibilmente con
# secure_file_priv e con i permessi dell'utente di sistema mysqld.

# secure_file_priv
mysql -u root -p -e "SELECT @@secure_file_priv;"
# "" = può leggere/scrivere ovunque
# NULL = disabilitato (sicuro)

# Plugin di autenticazione debole
mysql -u root -p -e "SELECT user, plugin FROM mysql.user;"
# mysql_old_password → hashing debole → craccabile facilmente

# Usa mysql_secure_installation (wizard di hardening)
mysql_secure_installation
# → Imposta password root
# → Rimuove utenti anonimi
# → Disabilita accesso root remoto
# → Rimuove database di test

-- 1. Elenca gli account anonimi o non necessari
SELECT user, host FROM mysql.user WHERE user = '';
-- Rimuovili con DROP USER usando gli host effettivamente trovati
DROP USER IF EXISTS ''@'localhost';
DROP USER IF EXISTS ''@'%';

-- 2. Elenca gli account root raggiungibili da host non locali
SELECT user, host FROM mysql.user
WHERE user = 'root' AND host NOT IN ('localhost', '127.0.0.1', '::1');
-- Dopo aver verificato che non siano necessari:
-- DROP USER 'root'@'HOST_REMOTO';

-- 3. Rimuovi il database di test se presente e non necessario
DROP DATABASE IF EXISTS test;

-- 4. Crea un account applicativo con privilegi minimi
CREATE USER 'app'@'APP_SERVER_IP' IDENTIFIED BY 'StrongPass123!';
GRANT SELECT, INSERT, UPDATE, DELETE ON appdb.* TO 'app'@'APP_SERVER_IP';
-- Niente FILE, SYSTEM_USER, PROCESS o privilegi globali non necessari.

-- 5. Revoca FILE dagli account che non ne hanno bisogno
REVOKE FILE ON *.* FROM 'app'@'APP_SERVER_IP';

# /etc/mysql/mysql.conf.d/mysqld.cnf — configurazione sicura

[mysqld]
# Disabilita connessioni remote (solo localhost)
bind-address = 127.0.0.1

# Disabilita LOAD DATA LOCAL INFILE
local_infile = OFF

# Imposta secure_file_priv per limitare import/export lato server
secure_file_priv = /var/lib/mysql-files/

# Richiedi trasporto cifrato per le connessioni TCP
require_secure_transport = ON

# Mantieni il general query log disabilitato in produzione salvo diagnostica
# temporanea: può avere impatto sulle prestazioni e registrare dati sensibili.
general_log = OFF
log_error = /var/log/mysql/error.log

# pg_hba.conf — il file che controlla chi può connettersi e come
# Misconfigurazioni classiche:
cat /etc/postgresql/*/main/pg_hba.conf

# PERICOLOSO: trust da qualsiasi IP (nessuna password richiesta)
# host all all 0.0.0.0/0 trust
# → Chiunque può connettersi senza password

# LEGACY: autenticazione md5 estesa a qualunque rete
# host all all 0.0.0.0/0 md5
# → il supporto agli hash MD5 è deprecato; migra a scram-sha-256
#   e restringi sempre la rete sorgente.

# Test: postgres superuser senza password
psql -h IP -U postgres -c "SELECT version();" 2>&1
# Se entra → trust configurato o password vuota

# Superuser accessibile da remoto
psql -h IP -U postgres -c "SELECT usesuper FROM pg_user WHERE usename=current_user;"
# t → l'account è superuser e può usare COPY ... PROGRAM.
# Il comando viene eseguito come utente del sistema operativo del servizio PostgreSQL.

# /etc/postgresql/*/main/pg_hba.conf — configurazione sicura
# Formato: TYPE DATABASE USER ADDRESS METHOD

# Permetti solo connessioni locali con scram-sha-256
local   all             postgres                                peer
local   all             all                                     scram-sha-256
host    all             all             127.0.0.1/32            scram-sha-256
host    all             all             ::1/128                 scram-sha-256
# Tutto il resto è rifiutato implicitamente

-- 1. Cambia password del superuser postgres
ALTER USER postgres WITH PASSWORD 'StrongPassword123!';

-- 2. Crea un ruolo applicativo con minimi privilegi
CREATE ROLE app_user LOGIN PASSWORD 'AppPass456!';
GRANT CONNECT ON DATABASE appdb TO app_user;
GRANT USAGE ON SCHEMA public TO app_user;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO app_user;
-- Non assegnare SUPERUSER né pg_execute_server_program all'account applicativo.

-- 3. Row Level Security (RLS) per multi-tenant
ALTER TABLE orders ENABLE ROW LEVEL SECURITY;
CREATE POLICY user_orders ON orders
  USING (user_id = current_setting('app.current_user_id')::INTEGER);
-- Ogni utente vede solo i propri record → IDOR database-level prevenuto

-- 4. Revoca ruoli predefiniti ad alto impatto se assegnati per errore
REVOKE pg_read_server_files,
       pg_write_server_files,
       pg_execute_server_program
FROM app_user;

-- 5. Abilita TLS e usa regole hostssl per le connessioni remote
-- In postgresql.conf:
-- ssl = on
-- ssl_cert_file = 'server.crt'
-- ssl_key_file = 'server.key'
-- In pg_hba.conf: usa "hostssl" invece di "host"

# postgresql.conf — parametri di sicurezza chiave
log_connections = on               # logga le connessioni accettate
log_disconnections = on            # logga le disconnessioni
log_statement = 'ddl'              # logga CREATE, DROP e ALTER
log_min_duration_statement = 1000  # logga query più lente di 1 secondo
# Le autenticazioni fallite vengono registrate automaticamente.

-- Sbagliato: utente applicativo con tutti i privilegi
GRANT ALL PRIVILEGES ON *.* TO 'app'@'%';

-- Corretto: solo quello che serve
GRANT SELECT, INSERT, UPDATE, DELETE ON appdb.users TO 'app'@'localhost';
GRANT SELECT ON appdb.products TO 'app'@'localhost';
-- Niente DROP, CREATE, ALTER, FILE, SUPER

# Verifica le porte in ascolto
ss -tlnp | grep -E "3306|5432|1433|27017|6379"
# Se trovi 0.0.0.0:3306 → MySQL ascolta su TUTTE le interfacce → problema

# Firewall: permetti solo dall'IP dell'application server
iptables -A INPUT -p tcp --dport 3306 -s APP_SERVER_IP -j ACCEPT
iptables -A INPUT -p tcp --dport 3306 -j DROP

# Verifica che la sessione MySQL corrente usi TLS
mysql -h IP -u user -p -e "SHOW STATUS LIKE 'Ssl_cipher';"
# Un valore non vuoto indica che la sessione corrente è cifrata.
# Per imporre TLS lato server: require_secure_transport = ON

# Verifica che la sessione PostgreSQL corrente usi TLS
psql -h IP -U user -c   "SELECT ssl, version, cipher FROM pg_stat_ssl WHERE pid = pg_backend_pid();"
# ssl = t indica una sessione cifrata.

-- MSSQL: abilita SQL Server Audit
CREATE SERVER AUDIT [SecurityAudit]
TO FILE (FILEPATH = 'C:\Logs\')
WITH (ON_FAILURE = CONTINUE);
ALTER SERVER AUDIT [SecurityAudit] WITH (STATE = ON);

-- MySQL: usa un audit plugin compatibile con la tua edizione oppure
-- centralizza error log e slow query log. Abilita il general query log
-- soltanto per diagnostica temporanea e proteggi i file risultanti.

-- PostgreSQL: pgaudit extension
CREATE EXTENSION pgaudit;
-- In postgresql.conf:
-- pgaudit.log = 'all'  -- logga tutto
-- pgaudit.log = 'ddl,write'  -- logga solo DDL e scritture

# SQLMap — SQL injection + enumeration automatica
sqlmap -u "https://target.com/?id=1" --dbs --level=5 --risk=3

# Nessus / OpenVAS — vulnerability scanner per DB
# Lancia una scansione del DB per CVE noti e misconfigurazioni

# lynis — audit di sicurezza generale (include DB)
lynis audit system

# mysqlcheck — verifica integrità DB MySQL
mysqlcheck -u root -p --all-databases

# pg_activity — monitoring real-time PostgreSQL
pip install pg_activity
pg_activity -h IP -U postgres

# Nmap script per enumerazione DB
nmap --script ms-sql-info,ms-sql-empty-password,ms-sql-config IP
nmap --script mysql-info,mysql-empty-password,mysql-databases IP -p 3306
nmap --script pgsql-brute IP -p 5432

# CIS Benchmark scan (per hardening automatizzato)
# Scarica il benchmark per il tuo DB da: https://www.cisecurity.org/cis-benchmarks