⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL, IP, conta ou recurso exato do alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Avaliação de Segurança de Banco de Dados

Quando Usar

• Avaliando o endurecimento e a exposição do banco de dados dentro de um escopo aprovado.
• Verificando limites de autorização e recursos arriscados de execução do lado do servidor.

Cenários de Aplicação

• Banco de dados não autorizado/senha fraca/vinculação incorreta 0.0.0.0
• Permissões excessivas, funções perigosas (xp_cmdshell, COPY PROGRAM, UDF)
• Lateral: de conta de aplicativo para DBA
• Injeção NoSQL e Redis escrevendo arquivos, etc. (ambiente autorizado)

Fluxo de Trabalho

□ 网络暴露与 TLS
□ 账号角色与 grantee
□ 敏感表访问控制
□ 危险配置：file_priv、xp_cmdshell、load_file
□ 审计日志是否开启
□ 备份与快照权限

Cadeia de Ferramentas

Referências

• references/db-misconfig-checklist.md
• ../pentest-tools/ ../cloud-k8s/

Contexto de Rota

Upstream: MASTER R35
Downstream: Obter comando do OS → attack-chain; Hospedagem em nuvem → cloud-k8s

Autoverificação de Conclusão da Tarefa

• Evitou escrita/exclusão não autorizada?
• Distinguiu problemas de configuração de cadeias exploráveis?
• Checklist?

Limitações

• Nunca execute contra armazenamentos de dados de produção sem aprovação explícita por escrito.
• Caminhos de exploração ativa (UDF/execução de comando) são capazes de destruição; simule primeiro.

Adaptado de zhaoxuya520/reverse-skill (MIT).