搜索

[26594] 2018-01-23_SSRFToRCEinMySQL

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2018-01-23_SSRFToRCEinMySQL S S R F   T o   R C E   i n   M y S Q L 原 创   x f k x f k   逢 魔 安 全 实 验 室   2 0 1 8 - 0 1 - 2 3 关 注 我 们 ， 掌 握 成 员 招 募 最 新 动 态 ！ 关 注 我 们 ， 掌 握 成 员 招 募 最 新 动 态 ！ 0 1 — 背 景 介 绍 S S R F ( S e r v e r - S i d e   R e q u e s t   F o r g e r y ) 服 务 端 请 求 伪 造 ， 是 一 种 由 攻 击 者 构 造 形 成 由 服 务 器 端 发 起 请 求 的 一 个 漏 洞 ， 一 般 情 况 下 ， S S R F   攻 击 的 目 标 是 从 外 网 无 法 访 问 的 内 部 系 统 。 在 互 联 网 上 已 经 很 多 介 绍 S S R F 漏 洞 的 原 理 ， 漏 洞 场 景 ， 漏 洞 利 用 方 法 的 文 章 ， 但 是 大 多 数 的 S S R F 漏 洞 利 用 都 是 内 网 扫 描 ， 内 网 服 务 识 别 ， 内 网 漏 洞 盲 打 ， 写 计 划 任 务 获 取 s h e l l ， 写 私 钥 获 取 s h e l l ， 利 用 S S R F 漏 洞 结 合 G o h p e r 或 者 D i c t 协 议 攻 击 R e d i s 、 M o n g o D B 、 M e m c a c h e 等 N o S Q L ， 但 是 很 少 见 有 利 用 S S R F 漏 洞 攻 击 内 网 M y S Q L 、 P o s t g r e S Q L 、 M S S Q L 等 关 系 型 数 据 库 ， 所 以 本 文 我 们 将 介 绍 如 何 利 用 S S R F 漏 洞 结 合 G o p h e r 系 统 攻 击 内 网 未 授 权 M y S Q L ， 并 且 获 取 系 统 s h e l l 的 方 法 。 0 2 — M y S Q L 通 信 协 议 M y S Q L 连 接 方 式 ： 连 接 方 式 ： 在 进 行 利 用 S S R F 攻 击 M y S Q L 之 前 ， 先 了 解 一 下 M y S Q L 的 通 信 协 议 。 M y S Q L 分 为 服 务 端 和 客 户 端 ， 客 户 端 连 接 服 务 器 使 存 在 三 种 方 法 ： 1 .   U n i x 套 接 字 ； 2 .   内 存 共 享 / 命 名 管 道 ； 3 .   T C P / I P 套 接 字 ； 在 L i n u x 或 者 U n i x 环 境 下 ， 当 我 们 输 入 m y s q l – u r o o t   – p r o o t 登 录 M y S Q L 服 务 器 时 就 是 用 的 U n i x 套 接 字 连 接 ； U n i x 套 接 字 其
实 不 是 一 个 网 络 协 议 ， 只 能 在 客 户 端 和 M y s q l 服 务 器 在 同 一 台 电 脑 上 才 可 以 使 用 。 在 w i n d o w 系 统 中 客 户 端 和 M y s q l 服 务 器 在 同 一 台 电 脑 上 ， 可 以 使 用 命 名 管 道 和 共 享 内 存 的 方 式 。 T C P / I P 套 接 字 是 在 任 何 系 统 下 都 可 以 使 用 的 方 式 ， 也 是 使 用 最 多 的 连 接 方 式 ， 当 我 们 输 入 m y s q l – h 1 2 7 . 0 . 0 . 1   – u r o o t   – p r o o t 时 就 是 要 T C P / I P 套 接 字 。 所 以 当 我 们 需 要 抓 取 m y s q l 通 信 数 据 包 时 必 须 使 用 T C P / I P 套 接 字 连 接 。 M y S Q L 认 证 过 程 ： 认 证 过 程 ：             M y S Q L 客 户 端 连 接 并 登 录 服 务 器 时 存 在 两 种 情 况 ： 需 要 密 码 认 证 以 及 无 需 密 码 认 证 。 当 需 要 密 码 认 证 时 使 用 挑 战 应 答 模 式 ， 服 务 器 先 发 送 s a l t 然 后 客 户 端 使 用 s a l t 加 密 密 码 然 后 验 证 ； 当 无 需 密 码 认 证 时 直 接 发 送 T C P / I P 数 据 包 即 可 。 所 以 在 非 交 互 模 式 下 登 录 并 操 作 M y S Q L 只 能 在 无 需 密 码 认 证 ， 未 授 权 情 况 下 进 行 ， 本 文 利 用 S S R F 漏 洞 攻 击 M y S Q L 也 是 在 其 未 授 权 情 况 下 进 行 的 。 M y S Q L 客 户 端 与 服 务 器 的 交 互 主 要 分 为 两 个 阶 段 ： C o n n e c t i o n   P h a s e （ 连 接 阶 段 或 者 叫 认 证 阶 段 ） 和 C o m m a n d P h a s e （ 命 令 阶 段 ） 。 在 连 接 阶 段 包 括 握 手 包 和 认 证 包 ， 这 里 我 们 不 详 细 说 明 握 手 包 ， 主 要 关 注 认 证 数 据 包 。 认 证 数 据 包 格 式 如 下 ： 这 里 以 无 需 密 码 认 证 情 况 登 录 ， 看 看 认 证 数 据 包 内 容 ： 这 里 P a c k e t   L e n g t h 为 整 个 数 据 包 的 长 度 ， P a c k e t   N u m b e r 为 s e q u e n c e _ i d 随 每 个 数 据 包 递 增 ， 从 0 开 始 ， 命 令 执 行 阶 段 遇 到 命 令 重 新 重 置 为 0 。 这 两 个 P a c k e t 为 真 个 M y S Q L 通 协 议 的 基 础 数 据 包 。 客 户 端 请 求 命 令 数 据 包 格 式 如 下 ：
比 如 这 里 s e l e c t *   f r o m   f l a g ; 命 令 的 数 据 包 如 下 ： 0 3 — 构 造 攻 击 数 据 包 通 过 上 面 M y S Q L 通 信 协 议 的 分 析 ， 现 在 需 要 构 造 一 个 基 于 T C P / I P 的 数 据 包 ， 包 括 连 接 ， 认 证 ， 执 行 命 令 ， 退 出 等 M y S Q L 通 信 数 据 。
环 境 ： 环 境 ： u b u n t u 1 7 4 . 4 . 0 - 6 2 - g e n e r i c   # x 8 6 _ 6 4 m y s q l     V e r   1 4 . 1 4   D i s t r i b   5 . 7 . 2 0 ,   f o r   L i n u x   ( x 8 6 _ 6 4 ) 首 先 我 们 需 要 新 建 一 个 M y S Q L 用 户 ， 并 且 密 码 为 空 ， 使 用 r o o t 用 户 登 录 m y s q l 后 执 行 如 下 命 令 即 可 ： C R E A T E U S E R   '   u s e r n o p a s s ' @ ' l o c a l h o s t ' ; G R A N T U S A G E   O N   * . *   T O   '   u s e r n o p a s s ' @ ' l o c a l h o s t ' ; G R A N T A L L   O N   * . *   T O   '   u s e r n o p a s s ' @ ' l o c a l h o s t ' ; 上 面 我 们 新 建 了 一 个 用 户 u s e r n o p a s s ， 只 允 许 本 地 登 录 ， 接 下 来 开 始 抓 包 分 析 。 第 一 步 开 一 个 窗 口 抓 包 ： r o o t @ u b u n t u 1 7 : / # t c p d u m p – i   l o   p o r t   3 3 0 6   – w   m y s q l . p c a y 第 二 步 开 一 个 窗 口 使 用 T C P / I P 模 式 连 接 M y S Q L 服 务 器 ： r o o t @ u b u n t u 1 7 : / # m y s q l – h   1 2 7 . 0 . 0 . 1   – r   u s e r n o p a s s 为 了 抓 到 更 多 数 据 ， 然 后 随 便 s e l e c t 一 个 内 容 ， 在 e x i t 退 出 。 第 三 步 使 用 W i r e s h a r k 打 开 上 面 抓 到 的 m y s q l . p c a p 包 ： 打 开 数 据 包 后 过 滤 m y s q l 数 据 包 ， 然 后 随 便 选 一 个 m y s q l 数 据 包 邮 件 追 踪 流 ， T C P 流 ， 然 后 过 滤 出 客 户 端 发 送 到 M y S Q L 服 务 器 的 数 据 包 ， 将 显 示 格 式 调 整 为 原 始 数 据 即 可 ， 此 时 获 取 的 就 是 整 个 M y S Q L 客 户 端 连 接 服 务 器 并 且 执 行 命 令 到 退 出 发 送 的 数 据 包 内 容 ， 如 上 图 所 示 。 然 后 将 原 始 数 据 整 理 为 一 行 ， 并 将 其 u r l 编 码 ， 最 后 的 内 容 如 下 图 所 示 ： 将 M y S Q L 原 始 数 据 进 行 编 码 的 脚 本 如 下 ：
0 4 — 利 用 S S R F 获 取 S h e l l 上 面 我 们 构 造 好 了 一 堆 T C P 数 据 包 ， 如 果 需 要 使 用 S S R F 漏 洞 来 攻 击 M y S Q L 的 话 ， 那 么 我 们 可 以 使 用 g o p h e r 协 议 来 发 送 上 面 的 一 堆 T C P 数 据 包 ， 最 后 使 用 c u r l 发 送 请 求 即 可 。 这 里 我 们 s e l e c t 了 f l a g 表 中 的 数 据 ， 最 后 构 造 的 请 求 如 下 ： 但 是 很 多 情 况 下 ， S S R F 是 没 有 回 显 的 ， 及 时 发 送 了 数 据 而 且 M y S Q L 也 执 行 了 ， 但 是 我 们 看 不 到 执 行 后 的 返 回 数 据 ， 最 后 我 们 要 的 是 系 统 的 一 个 s h e l l 。 正 常 情 况 下 ， 通 过 M y S Q L 获 取 系 统 s h e l l 一 般 通 过 s e l e c t i n t o   o u t f i l e 系 统 文 件 ， 或 者 使 用 u d f 来 搞 ， 那 么 这 里 同 样 我 们 将 获 取 s h e l l 的 数 据 包 提 取 出 来 ， 通 过 g o p h e r 协 议 发 送 这 些 数 据 包 同 样 可 以 达 到 g e t s h e l l 的 目 的 。 通 过 s e l e c t   x x x   i n t o   o u t f i l e   y y y 写 s h e l l 的 数 据 包 获 取 方 法 同 上 面 构 造 攻 击 数 据 包 的 过 程 ， 将 执 行 完 写 文 件 s q l 语 句 的 抓 包 内 容 提 取 出 来 构 造 好 即 可 ， 如 下 图 成 功 写 s h e l l 文 件 到 系 统 目 录 ： 通 过 u d f 直 接 执 行 系 统 命 令 过 程 同 样 ， 执 行 完 一 系 列 导 出 u d f 到 p l u g i n 的 命 令 后 ， 即 可 直 接 执 行 系 统 命 令 执 行 ， 如 下 图 所 示 反 弹 s h e l l ：
（ 注 意 ： 在 导 出 文 件 时 ， 当 前 m y s q l 用 户 必 须 存 在 f i l e 权 限 ； 部 分 M y S Q L 服 务 器 运 行 时 启 用 了 - - s e c u r e - f i l e - p r i v 选 项 ， 导 出 文 件 时 只 能 导 出 到 规 定 的 目 录 下 ， 一 般 为 / v a r / m y s q l / d a t a 命 令 ， 要 自 定 义 目 录 时 必 须 修 改 配 置 文 件 设 置 s e c u r e - f i l e - p r i v   =   “ ” ； 并 且 导 入 目 录 需 要 有 写 权 限 。 ） 0 5 — 实 战 演 练 例 如 下 面 这 段 常 见 的 p h p 代 码 ， 经 常 在 审 计 代 码 时 ， 遇 到 这 类 问 题 导 致 的 S S R F 漏 洞 ， 通 过 这 里 的 S S R F ， 如 果 存 在 未 授 权 的 M y S Q L 即 可 利 用 上 面 的 攻 击 方 法 获 取 数 据 库 敏 感 信 息 ， 甚 至 获 取 系 统 s h e l l 。 将 我 们 构 造 好 的 获 取 信 息 的 请 求 发 送 到 u r l 参 数 ， 结 果 如 下 ： 可 以 看 到 成 功 获 取 到 了 表 中 的 信 息 ， 利 用 导 出 文 件 或 者 u d f 获 取 系 统 s h e l l 的 方 法 一 样 ， 只 要 构 造 好 数 据 包 直 接 发 送 即 可 。             此 方 法 再 前 不 久 的 一 个 C T F 中 就 有 一 个 S S R F 题 目 ， 就 是 利 用 未 授 权 的 M y S Q L 获 取 数 据 库 中 的 信 息 。 0 6 —
其 他 这 里 我 们 只 是 介 绍 了 如 何 构 造 M y S Q L 数 据 库 的 数 据 包 ， 并 通 过 S S R F 漏 洞 进 行 利 益 ， 其 实 他 的 关 系 数 据 库 只 要 满 足 类 似 的 场 景 都 是 可 以 利 用 的 ， 比 如 P o s t g r e S Q L 同 样 可 以 通 过 此 过 程 进 行 攻 击 ， P o s t g r e S Q L 数 据 库 的 具 体 利 用 过 程 这 里 不 再 讲 解 ， 请 期 待 后 续 相 关 内 容 介 绍 。 0 7 — 参 考 链 接 h t t p : / / c o d i n g o . x y z / i n d e x . p h p / 2 0 1 7 / 1 2 / 2 7 / m y s q l _ p r o t o c o l / h t t p : / / v i n c . t o p / 2 0 1 7 / 0 4 / 1 9 / m y s q l - u d f % E 6 % 8 F % 9 0 % E 6 % 9 D % 8 3 l i n u x % E 5 % B 9 % B 3 % E 5 % 8 F % B 0 / 往 期 往 期 精 彩 精 彩 回 顾 回 顾 R P O 攻 击 技 术 浅 析 D e d e C M S 任 意 用 户 密 码 重 置 漏 洞 从 C P U 漏 洞 M e l t d o w n & S p e c t r e 看 侧 信 道 攻 击 渗 透 技 巧   |   W i n d o w s 上 传 并 执 行 恶 意 代 码 的 N 种 姿 势 逢 魔 安 全 扫 描 二 维 码 关 注 我 们 逢 魔 安 全 团 队 （ F o r m S e c ） 是 一 支 民 间 非 企 运 营 的 信 息 安 全 技 术 研 究 团 队 ， 团 队 在 古 城 西 安 不 断 招 募 成 员 ， 尽 请 关 注 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理