3306 - Pentesting Mysql
RootedCON є найбільш важливою подією з кібербезпеки в Іспанії та однією з найважливіших в Європі. З метою просування технічних знань цей конгрес є важливою точкою зустрічі для професіоналів технологій та кібербезпеки у будь-якій галузі.
Основна інформація
MySQL можна описати як відкриту систему управління реляційними базами даних (RDBMS), яка доступна безкоштовно. Вона працює з мовою структурованих запитів (SQL), що дозволяє управляти та маніпулювати базами даних.
Порт за замовчуванням: 3306
Підключення
Локально
Віддалений
Зовнішнє перелічення
Деякі дії перелічення вимагають дійсних облікових даних
Запишіть будь-які бінарні дані
Команди MySQL
Перелік дозволів MySQL
SHOW DATABASES: Показати список доступних баз даних.
SHOW TABLES: Показати таблиці у вибраній базі даних.
SELECT: Вибрати дані з таблиці.
INSERT: Додати нові записи до таблиці.
UPDATE: Оновити існуючі записи в таблиці.
DELETE: Видалити записи з таблиці.
CREATE: Створити нові бази даних або таблиці.
DROP: Видалити бази даних або таблиці.
ALTER: Змінити структуру таблиці.
GRANT OPTION: Дозволити користувачеві надавати дозволи іншим користувачам.
ALL PRIVILEGES: Надати всі можливі дозволи для конкретної бази даних.
MySQL Файл RCE
Ви можете побачити в документації значення кожного привілею: https://dev.mysql.com/doc/refman/8.0/en/privileges-provided.html
MySQL довільне читання файлу клієнтом
Фактично, коли ви намагаєтеся завантажити дані локально в таблицю, вміст файлу, сервер MySQL або MariaDB просить клієнта прочитати його та надіслати вміст. Тоді, якщо ви можете підмінити mysql клієнт для підключення до вашого власного сервера MySQL, ви можете читати довільні файли. Зверніть увагу, що це поведінка використання:
(Зверніть увагу на слово "локальний") Оскільки без "локального" ви можете отримати:
Початковий PoC: https://github.com/allyshka/Rogue-MySql-Server У цій статті ви можете побачити повний опис атаки та навіть як розширити її до RCE: https://paper.seebug.org/1113/ Тут ви можете знайти огляд атаки: http://russiansecurity.expert/2016/04/20/mysql-connect-file-read/
RootedCON - найбільш важлива подія з кібербезпеки в Іспанії та одна з найважливіших в Європі. З місією просування технічних знань, цей конгрес є кипучою точкою зустрічі для професіоналів технологій та кібербезпеки у будь-якій галузі.
POST
Користувач Mysql
Буде дуже цікаво, якщо mysql працює як root:
Небезпечні налаштування mysqld.cnf
У конфігурації служб MySQL використовуються різні налаштування для визначення їхньої роботи та заходів безпеки:
Налаштування
user
використовується для визначення користувача, під яким буде виконуватися служба MySQL.password
застосовується для встановлення пароля, пов'язаного з користувачем MySQL.admin_address
вказує IP-адресу, на яку слухається з'єднання TCP/IP на адміністративному мережевому інтерфейсі.Змінна
debug
вказує на поточні конфігурації налагодження, включаючи чутливу інформацію в журналах.sql_warnings
керує тим, чи генеруються рядки інформації для однорядкових операторів INSERT, коли виникають попередження, що містять чутливі дані в журналах.З
secure_file_priv
обмежується обсяг операцій імпорту та експорту даних для підвищення безпеки.
Підвищення привілеїв
Підвищення привілеїв через бібліотеку
Якщо сервер mysql працює в якості root (або іншого користувача з більш високими привілеями), ви можете змусити його виконати команди. Для цього вам потрібно використовувати функції, визначені користувачем. Щоб створити функцію, визначену користувачем, вам знадобиться бібліотека для ОС, на якій працює mysql.
Зловмисну бібліотеку можна знайти всередині sqlmap та в metasploit, виконавши locate "*lib_mysqludf_sys*"
. Файли .so
- це бібліотеки linux, а файли .dll
- це файли для Windows, виберіть потрібний.
Якщо у вас немає цих бібліотек, ви можете шукати їх, або завантажити цей linux C-код та скомпілювати його всередині вразливої лінуксової машини:
Тепер, коли у вас є бібліотека, увійдіть в Mysql як привілейований користувач (root?) і виконайте наступні кроки:
Linux
Windows
Витягування облікових даних MySQL з файлів
У /etc/mysql/debian.cnf ви можете знайти пароль у відкритому вигляді користувача debian-sys-maint
Ви можете використати ці облікові дані для входу в базу даних mysql.
У файлі: /var/lib/mysql/mysql/user.MYD ви можете знайти всі хеші користувачів MySQL (те, що можна витягти з mysql.user всередині бази даних).
Ви можете їх витягти, виконавши:
Увімкнення журналювання
Ви можете увімкнути журналювання запитів до mysql, розкоментувавши наступні рядки у файлі /etc/mysql/my.cnf
:
Корисні файли
Файли конфігурації
windows *
config.ini
my.ini
windows\my.ini
winnt\my.ini
<InstDir>/mysql/data/
unix
my.cnf
/etc/my.cnf
/etc/mysql/my.cnf
/var/lib/mysql/my.cnf
~/.my.cnf
/etc/my.cnf
Історія команд
~/.mysql.history
Файли журналу
connections.log
update.log
common.log
Стандартна база даних/таблиці MySQL
ALL_PLUGINS APPLICABLE_ROLES CHARACTER_SETS CHECK_CONSTRAINTS COLLATIONS COLLATION_CHARACTER_SET_APPLICABILITY COLUMNS COLUMN_PRIVILEGES ENABLED_ROLES ENGINES EVENTS FILES GLOBAL_STATUS GLOBAL_VARIABLES KEY_COLUMN_USAGE KEY_CACHES OPTIMIZER_TRACE PARAMETERS PARTITIONS PLUGINS PROCESSLIST PROFILING REFERENTIAL_CONSTRAINTS ROUTINES SCHEMATA SCHEMA_PRIVILEGES SESSION_STATUS SESSION_VARIABLES STATISTICS SYSTEM_VARIABLES TABLES TABLESPACES TABLE_CONSTRAINTS TABLE_PRIVILEGES TRIGGERS USER_PRIVILEGES VIEWS INNODB_LOCKS INNODB_TRX INNODB_SYS_DATAFILES INNODB_FT_CONFIG INNODB_SYS_VIRTUAL INNODB_CMP INNODB_FT_BEING_DELETED INNODB_CMP_RESET INNODB_CMP_PER_INDEX INNODB_CMPMEM_RESET INNODB_FT_DELETED INNODB_BUFFER_PAGE_LRU INNODB_LOCK_WAITS INNODB_TEMP_TABLE_INFO INNODB_SYS_INDEXES INNODB_SYS_TABLES INNODB_SYS_FIELDS INNODB_CMP_PER_INDEX_RESET INNODB_BUFFER_PAGE INNODB_FT_DEFAULT_STOPWORD INNODB_FT_INDEX_TABLE INNODB_FT_INDEX_CACHE INNODB_SYS_TABLESPACES INNODB_METRICS INNODB_SYS_FOREIGN_COLS INNODB_CMPMEM INNODB_BUFFER_POOL_STATS INNODB_SYS_COLUMNS INNODB_SYS_FOREIGN INNODB_SYS_TABLESTATS GEOMETRY_COLUMNS SPATIAL_REF_SYS CLIENT_STATISTICS INDEX_STATISTICS USER_STATISTICS INNODB_MUTEXES TABLE_STATISTICS INNODB_TABLESPACES_ENCRYPTION user_variables INNODB_TABLESPACES_SCRUBBING INNODB_SYS_SEMAPHORE_WAITS
columns_priv column_stats db engine_cost event func general_log gtid_executed gtid_slave_pos help_category help_keyword help_relation help_topic host index_stats innodb_index_stats innodb_table_stats ndb_binlog_index plugin proc procs_priv proxies_priv roles_mapping server_cost servers slave_master_info slave_relay_log_info slave_worker_info slow_log tables_priv table_stats time_zone time_zone_leap_second time_zone_name time_zone_transition time_zone_transition_type transaction_registry user
accounts cond_instances events_stages_current events_stages_history events_stages_history_long events_stages_summary_by_account_by_event_name events_stages_summary_by_host_by_event_name events_stages_summary_by_thread_by_event_name events_stages_summary_by_user_by_event_name events_stages_summary_global_by_event_name events_statements_current events_statements_history events_statements_history_long events_statements_summary_by_account_by_event_name events_statements_summary_by_digest events_statements_summary_by_host_by_event_name events_statements_summary_by_program events_statements_summary_by_thread_by_event_name events_statements_summary_by_user_by_event_name events_statements_summary_global_by_event_name events_transactions_current events_transactions_history events_transactions_history_long events_transactions_summary_by_account_by_event_name events_transactions_summary_by_host_by_event_name events_transactions_summary_by_thread_by_event_name events_transactions_summary_by_user_by_event_name events_transactions_summary_global_by_event_name events_waits_current events_waits_history events_waits_history_long events_waits_summary_by_account_by_event_name events_waits_summary_by_host_by_event_name events_waits_summary_by_instance events_waits_summary_by_thread_by_event_name events_waits_summary_by_user_by_event_name events_waits_summary_global_by_event_name file_instances file_summary_by_event_name file_summary_by_instance global_status global_variables host_cache hosts memory_summary_by_account_by_event_name memory_summary_by_host_by_event_name memory_summary_by_thread_by_event_name memory_summary_by_user_by_event_name memory_summary_global_by_event_name metadata_locks mutex_instances objects_summary_global_by_type performance_timers prepared_statements_instances replication_applier_configuration replication_applier_status replication_applier_status_by_coordinator replication_applier_status_by_worker replication_connection_configuration replication_connection_status replication_group_member_stats replication_group_members rwlock_instances session_account_connect_attrs session_connect_attrs session_status session_variables setup_actors setup_consumers setup_instruments setup_objects setup_timers socket_instances socket_summary_by_event_name socket_summary_by_instance status_by_account status_by_host status_by_thread status_by_user table_handles table_io_waits_summary_by_index_usage table_io_waits_summary_by_table table_lock_waits_summary_by_table threads user_variables_by_thread users variables_by_thread
host_summary host_summary_by_file_io host_summary_by_file_io_type host_summary_by_stages host_summary_by_statement_latency host_summary_by_statement_type innodb_buffer_stats_by_schema innodb_buffer_stats_by_table innodb_lock_waits io_by_thread_by_latency io_global_by_file_by_bytes io_global_by_file_by_latency io_global_by_wait_by_bytes io_global_by_wait_by_latency latest_file_io memory_by_host_by_current_bytes memory_by_thread_by_current_bytes memory_by_user_by_current_bytes memory_global_by_current_bytes memory_global_total metrics processlist ps_check_lost_instrumentation schema_auto_increment_columns schema_index_statistics schema_object_overview schema_redundant_indexes schema_table_lock_waits schema_table_statistics schema_table_statistics_with_buffer schema_tables_with_full_table_scans schema_unused_indexes session session_ssl_status statement_analysis statements_with_errors_or_warnings statements_with_full_table_scans statements_with_runtimes_in_95th_percentile statements_with_sorting statements_with_temp_tables sys_config user_summary user_summary_by_file_io user_summary_by_file_io_type user_summary_by_stages user_summary_by_statement_latency user_summary_by_statement_type version wait_classes_global_by_avg_latency wait_classes_global_by_latency waits_by_host_by_latency waits_by_user_by_latency waits_global_by_latency x$host_summary x$host_summary_by_file_io x$host_summary_by_file_io_type x$host_summary_by_stages x$host_summary_by_statement_latency x$host_summary_by_statement_type x$innodb_buffer_stats_by_schema x$innodb_buffer_stats_by_table x$innodb_lock_waits x$io_by_thread_by_latency x$io_global_by_file_by_bytes x$io_global_by_file_by_latency x$io_global_by_wait_by_bytes x$io_global_by_wait_by_latency x$latest_file_io x$memory_by_host_by_current_bytes x$memory_by_thread_by_current_bytes x$memory_by_user_by_current_bytes x$memory_global_by_current_bytes x$memory_global_total x$processlist x$ps_digest_95th_percentile_by_avg_us x$ps_digest_avg_latency_distribution x$ps_schema_table_statistics_io x$schema_flattened_keys x$schema_index_statistics x$schema_table_lock_waits x$schema_table_statistics x$schema_table_statistics_with_buffer x$schema_tables_with_full_table_scans x$session x$statement_analysis x$statements_with_errors_or_warnings x$statements_with_full_table_scans x$statements_with_runtimes_in_95th_percentile x$statements_with_sorting x$statements_with_temp_tables x$user_summary x$user_summary_by_file_io x$user_summary_by_file_io_type x$user_summary_by_stages x$user_summary_by_statement_latency x$user_summary_by_statement_type x$wait_classes_global_by_avg_latency x$wait_classes_global_by_latency x$waits_by_host_by_latency x$waits_by_user_by_latency x$waits_global_by_latency
RootedCON - найбільш важлива подія з кібербезпеки в Іспанії та одна з найважливіших в Європі. З місією просування технічних знань, цей конгрес є важливою точкою зустрічі для професіоналів у галузі технологій та кібербезпеки у будь-якій галузі.
Last updated