当攻击者通过 MSSQL（Microsoft SQL Server）端口上传 “WannaMine” 挖矿木马的 “install.exe” 时，通常会以下面的步骤进行：
一、漏洞扫描与目标确定
- 攻击者首先使用漏洞扫描工具在网络中扫描开放了 MSSQL 服务端口（通常是 1433 端口）的计算机。这些扫描工具可以快速检测大量 IP 地址，确定潜在的目标。
- 一旦发现开放 MSSQL 端口的计算机，攻击者会进一步尝试确定这些计算机是否存在可利用的漏洞，如弱口令、未打补丁的安全漏洞等。
二、利用漏洞获取访问权限
-
弱口令攻击：
- MSSQL 数据库如果设置了弱口令，攻击者可以使用暴力破解工具尝试不同的用户名和密码组合，直到成功登录到数据库。常见的弱口令包括简单的数字组合（如 “123456”）、常见的单词（如 “password”）等。
- 一旦成功登录，攻击者就获得了对数据库的一定程度的访问权限。
-
利用已知漏洞：
- 如果目标计算机上的 MSSQL 服务存在未修补的安全漏洞，攻击者可以利用这些漏洞来执行恶意代码或获取更高的系统权限。例如，某些漏洞可能允许攻击者在数据库服务器上执行任意系统命令。
三、上传 “install.exe”
- 一旦攻击者获得了足够的访问权限，他们可以使用各种方法将 “WannaMine” 挖矿木马的 “install.exe” 文件上传到目标计算机。
- 可以通过数据库的文件上传功能（如果存在且未进行严格限制），将 “install.exe” 文件存储在数据库中，然后通过特定的 SQL 语句将其导出到目标计算机的文件系统中。
- 或者利用数据库服务器上的其他可利用的服务或漏洞，将文件上传到服务器的特定目录。
四、执行恶意程序
- 上传成功后，攻击者会尝试执行 “install.exe” 文件。
- 这可以通过在数据库服务器上执行系统命令来实现，例如使用 SQL 语句调用操作系统的命令行工具来运行 “install.exe”。
- 一旦 “install.exe” 被执行，挖矿木马就会开始在目标计算机上运行。它会进行一系列恶意活动，包括修改系统设置、创建持久化机制、连接到远程服务器进行挖矿等。
为了防范此类攻击，建议采取以下措施：
- 加强 MSSQL 数据库的安全配置：
- 设置强密码，避免使用弱口令。
- 及时安装数据库的安全补丁，以修复已知漏洞。
- 限制数据库用户的权限，避免不必要的权限授予。
- 网络安全防护：
- 在网络边界部署防火墙，限制对 MSSQL 端口的访问，只允许来自可信来源的连接。
- 安装入侵检测系统（IDS）或入侵防御系统（IPS），及时检测和阻止恶意攻击行为。
- 定期安全审计：
- 定期检查数据库服务器的日志，及时发现异常活动。
- 对系统进行安全扫描，查找潜在的安全漏洞和恶意软件。