MySQL File priv to SSRF/RCE
学习和实践 AWS 黑客技术：
HackTricks 培训 AWS 红队专家 (ARTE)
学习和实践 GCP 黑客技术：
HackTricks 培训 GCP 红队专家 (GRTE)
这是来自 https://ibreak.software/2020/06/using-sql-injection-to-perform-ssrf-xspa-attacks/ 的 MySQL/MariaDB/Percona 技术摘要。
通过 SQL 函数进行服务器端请求伪造 (SSRF)
在 SQL 带外数据外泄的探索中，LOAD_FILE() 函数通常用于发起网络请求。然而，该函数受到其运行的操作系统和数据库启动配置的限制。
如果未设置 secure_file_priv 全局变量，则默认为 /var/lib/mysql-files/，限制文件访问仅限于此目录，除非设置为空字符串 ("")。此调整需要修改数据库的配置文件或启动参数。
假设 secure_file_priv 被禁用 ("")，并且授予了必要的文件和 file_priv 权限，则可以读取指定目录外的文件。然而，这些函数进行网络调用的能力高度依赖于操作系统。在 Windows 系统上，由于操作系统对 UNC 命名约定的理解，可以进行对 UNC 路径的网络调用，这可能导致 NTLMv2 哈希的外泄。
此 SSRF 方法仅限于 TCP 端口 445，并且不允许修改端口号，尽管可以用来访问具有完全读取权限的共享，并且如先前研究所示，可以窃取哈希以进行进一步利用。
通过用户定义函数 (UDF) 进行远程代码执行 (RCE)
MySQL 数据库提供使用来自外部库文件的用户定义函数 (UDF)。如果这些库在特定目录或系统的 $PATH 中可访问，则可以从 MySQL 内部调用它们。
此技术允许通过 UDF 执行网络/HTTP 请求，前提是满足几个条件，包括对 @@plugin_dir 的写入访问、file_priv 设置为 Y，以及禁用 secure_file_priv。
例如，可以加载 lib_mysqludf_sys 库或其他支持 HTTP 请求的 UDF 库以执行 SSRF。必须将库传输到服务器，这可以通过对库内容进行十六进制或 base64 编码，然后写入适当的目录来实现。
如果 @@plugin_dir 不可写，则过程会有所不同，尤其是对于 v5.0.67 以上的 MySQL 版本。在这种情况下，必须使用可写的替代路径。
这些过程的自动化可以通过支持 UDF 注入的工具如 SQLMap 来实现，对于盲 SQL 注入，可以利用输出重定向或 DNS 请求走私技术。
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE)
学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
Last updated